SecBoard Insights
Aus Security-News, CVEs, Exploit-Signalen und Community-Indikatoren werden priorisierte Lageartikel für Security-Teams.
CISA warnt: Kritische Progress LoadMaster RCE-Schwachstelle (CVE-2026-8037) wird aktiv ausgenutzt
Die CISA hat CVE-2026-8037, eine kritische Pre-Auth RCE-Schwachstelle in Progress Kemp LoadMaster, in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen. Diese Lücke ermöglicht es unauthentifizierten Angreifern, Root-Befehle über die API auszuführen und stellt ein erhebliches Risiko für die Verfügbarkeit und Integrität von Systemen dar. Unternehmen, die LoadMaster-Produkte einsetzen, müssen umgehend handeln, um ihre Systeme zu patchen und potenzielle Kompromittierungen zu identifizieren.
Kritische 'wp2shell' WordPress-Schwachstellen: Aktive Ausnutzung zur Webshell-Installation
Zwei kritische Schwachstellen im WordPress Core, bekannt als 'wp2shell' (CVE-2026-63030 und CVE-2026-60137), werden aktiv ausgenutzt. Diese Lücken ermöglichen unauthentifizierte Remote Code Execution (RCE) und die Installation von Webshells sowie bösartigen Plugins auf betroffenen Servern. Die Kombination aus einer REST API Route Confusion und einer SQL Injection birgt ein hohes Risiko für Millionen von WordPress-Installationen. CISOs, SOC-Teams und IT-Security-Verantwortliche sollten umgehend Patches einspielen und ihre Systeme auf Kompromittierung prüfen.
CISA warnt: Kritische RCE-Lücken in SharePoint und FortiSandbox aktiv ausgenutzt
Die CISA hat drei kritische Schwachstellen, darunter eine Zero-Day RCE in Microsoft SharePoint Server (CVE-2026-58644) und drei Fortinet FortiSandbox-Lücken (CVE-2026-25089, CVE-2026-39808, CVE-2026-39813), in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Diese Lücken werden aktiv von Angreifern ausgenutzt und stellen ein erhebliches Risiko für Organisationen dar. Insbesondere die SharePoint-Lücke ermöglicht die Remote-Code-Ausführung ohne Authentifizierung. Umfassende Patches und Monitoring sind dringend erforderlich.
Wochenlage KW32: Aktive Exploits in TeamCity und N-able, Snowflake-Hacker verurteilt
Die KW32 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen in JetBrains TeamCity und N-able N-central, die beide in CISAs KEV-Katalog aufgenommen wurden. Diese RCE- und Authentifizierungs-Bypass-Lücken erfordern sofortiges Handeln. Zudem wurde ein Hacker im Zusammenhang mit den weitreichenden Snowflake-Angriffen verurteilt, was die anhaltende Bedrohung durch Supply-Chain-Angriffe unterstreicht. Besorgniserregend sind auch die zunehmenden Vorfälle von KI-generierten Deepfakes, die weitreichende soziale und rechtliche Implikationen haben.
Wochenlage KW31: KI-Agenten im Fokus, OT-Angriffe auf Wasserversorger und kritische CVEs
Die KW31 war geprägt von einer Zunahme der Nutzung von KI-Agenten für offensive Zwecke, einem koordinierten Cyberangriff auf über 30 Wasserversorger in Minnesota und der Diskussion um Datenschutz bei KI-Smart-Glasses. Besonders hervorzuheben ist der Einsatz eines KI-Agenten bei einem Spionageangriff auf das thailändische Finanzministerium sowie die Bestätigung, dass OpenAI-Modelle eine Zero-Day-Schwachstelle in JFrog Artifactory ausnutzten. Mehrere kritische CVEs, darunter eine im KEV-Katalog gelistete VeloCloud Orchestrator-Schwachstelle, erfordern umgehende Aufmerksamkeit.
Wochenlage KW30: Aktive Exploits in Check Point, SonicWall und WordPress dominieren
Die KW30 war geprägt von einer hohen Dichte an aktiv ausgenutzten Schwachstellen in kritischen Infrastrukturkomponenten. Zero-Days in Check Point SmartConsole (CVE-2026-16232) und SonicWall SMA 1000 (CVE-2026-15409, CVE-2026-15410) erforderten sofortiges Handeln. Zudem wurden WordPress-Installationen massiv durch die "wp2shell"-Schwachstellen (CVE-2026-63030, CVE-2026-60137) kompromittiert. Diese Entwicklungen unterstreichen die Notwendigkeit schneller Patch-Zyklen und robuster Monitoring-Strategien, insbesondere für exponierte Systeme.
Wochenlage KW29: Multiple Zero-Days und MFA-Umgehungen dominieren das Lagebild
Die KW29 war geprägt von einer hohen Anzahl kritischer Schwachstellen, darunter mehrere aktiv ausgenutzte Zero-Days in Microsoft SharePoint, SonicWall SMA 1000 und Fortinet FortiSandbox. Microsoft verzeichnete einen Rekord-Patch-Day mit 622 behobenen Lücken. Parallel dazu nehmen ausgeklügelte Phishing-Kampagnen gegen Microsoft 365-Konten zu, die Multi-Faktor-Authentifizierung (MFA) umgehen können. CISOs und SOC-Teams stehen vor der dringenden Aufgabe, Patches zu priorisieren und ihre Erkennungsmechanismen für Phishing-Angriffe zu schärfen.
Wochenlage KW28: Kritische Lücken in Adobe ColdFusion und Microsoft Defender, KI-Risiken in der Supply Chain
Die KW28 war geprägt von der aktiven Ausnutzung kritischer Schwachstellen: Adobe ColdFusion (CVE-2026-48282) und Microsoft Defender (CVE-2026-50656) erforderten umgehende Aufmerksamkeit. Die CISA erweiterte ihren KEV-Katalog um vier neue, aktiv ausgenutzte Lücken. Parallel dazu rücken neue KI-getriebene Bedrohungen in der Software-Lieferkette, wie „Phantom Squatting“, verstärkt in den Fokus. Für Security-Teams bedeutet dies eine hohe Priorität auf Patch-Management und die Erweiterung von Supply-Chain-Sicherheitsstrategien um KI-spezifische Risiken.
Wochenlage KW27: KI-bezogene Exploits und Zero-Days dominieren das Lagebild
Die KW27 war geprägt von einer alarmierenden Zunahme von Exploits, die auf KI-Anwendungen und -Infrastrukturen abzielen. Insbesondere die Ausnutzung von RCE-Schwachstellen in Langflow und Marimo sowie die Entdeckung des neuen Infostealers 'Djinn', der auf Cloud- und KI-Zugangsdaten abzielt, erfordern erhöhte Wachsamkeit. Hinzu kommt ein Zero-Day-Exploit in Microsoft Defender, der für Ransomware-Angriffe genutzt wurde. Diese Entwicklungen unterstreichen die Notwendigkeit einer proaktiven Verteidigung und schneller Patch-Implementierung, insbesondere im Kontext von KI-Systemen.
KEV-Alarm: Ivanti Sentry (CVSS 10.0) und AI-Gateway LiteLLM ohne Authentifizierung ausgenutzt
CISA hat mehrere kritische, aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen. Herausragend: eine OS-Command-Injection in Ivanti Sentry (CVE-2026-10520, CVSS 10.0, EPSS 99 %) mit unauthentifiziertem Root-RCE sowie eine RCE-Kette im AI-Gateway LiteLLM (CVE-2026-42271). Zusätzlich betroffen: SolarWinds Serv-U und Check-Point-VPN.
KEV-Update: Langflow-RCE aktiv ausgenutzt — CISA nimmt AI-Tooling- und Enterprise-Lücken auf
CISA hat mehrere aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen. Im Zentrum: eine kritische Code-Injection in Langflow (CVE-2026-33017, CVSS 9.8, EPSS 98 %), die aktuell zum Ausrollen von Monero-Minern auf exponierten AI-Endpoints missbraucht wird. Ergänzend betroffen: Cisco Secure Firewall FMC, Apple und Aqua Trivy.
Oracle E-Business Suite CVE-2026-46817 (CVSS 9.8) aktiv ausgenutzt — kritische Lücke in Finanzapplikation
Eine kritische Schwachstelle in Oracle E-Business Suite (CVE-2026-46817, CVSS 9.8) wird laut Threat-Intelligence-Anbieter Defused aktiv in Angriffen ausgenutzt. Betroffen ist die als Finanzapplikation eingesetzte EBS-Plattform — ein attraktives Ziel für finanziell motivierte Angreifer.
Amazon Q VS-Code-Extension: Schwachstelle ermöglichte Cloud-Credential-Diebstahl über bösartige Repos
Eine Schwachstelle in der Amazon-Q-Erweiterung für VS Code erlaubte Angreifern, über ein präpariertes Repository beliebigen Code auszuführen und Cloud-Zugangsdaten zu stehlen. AWS hat die Lücke gepatcht und ein Advisory veröffentlicht. Der Fall verdeutlicht das wachsende Risiko durch KI-Coding-Assistenten und MCP-Integrationen.
„Gaslight“: macOS-Infostealer nutzt Prompt-Injection, um KI-gestützte Malware-Analyse zu stören
Eine neu entdeckte, in Rust geschriebene macOS-Malware namens „Gaslight“ ist zugleich Infostealer und Anti-Analyse-Werkzeug: Sie bettet Prompt-Injection-Strings und gefälschte Fehler-/Debug-Daten in die ausführbare Datei ein, um KI-gestützte Analyse-Tools in die Irre zu führen. Ein frühes Beispiel für Malware, die gezielt gegen KI-Analysten arbeitet.
Neue „Mistic“-Backdoor mit Ransomware-Access-Broker KongTuke verknüpft — ClickFix- und ModeloRAT-Kampagnen
Eine neue, getarnte Backdoor namens „Mistic“ wird in finanziell motivierten Angriffen gegen Organisationen aus Versicherung, Bildung, IT und professionellen Dienstleistungen eingesetzt. Forscher verknüpfen sie mit dem Ransomware-Access-Broker KongTuke sowie mit ClickFix- und ModeloRAT-Kampagnen.
„StrikeShark“: Neue SharkLoader-Malware liefert Cobalt Strike in globaler Kampagne
Forscher haben eine bislang undokumentierte Malware namens SharkLoader entdeckt, die als Loader Cobalt Strike Beacon auf kompromittierten Systemen ausbringt. Die von Kaspersky als „StrikeShark“ bezeichnete Kampagne agiert global und stellt eine klassische Vorstufe zu weiterführenden Angriffen dar.
Schwachstellen in indischen Regierungssystemen legten private Daten offen — kritische Lücke ermöglichte Portal-Übernahme
Ein Sicherheitsforscher entdeckte zahlreiche Schwachstellen in indischen Regierungssystemen, die private Daten offenlegten. Eine als kritisch eingestufte Lücke hätte es Beliebigen erlaubt, ein nationales Regierungsportal zu übernehmen — ein Beleg für die Risiken exponierter, schlecht abgesicherter Behördenanwendungen.
Miasma-Malware setzt npm-Supply-Chain-Welle fort — npm-Pakete und GitHub Actions im Visier
Forscher melden eine weitere Entwicklungsstufe der Supply-Chain-Angriffe rund um die Malware-Familie Mini Shai-Hulud / Miasma / Hades: Eine neue Welle kompromittierte npm-Pakete und nimmt GitHub Actions ins Visier. Der Vorfall reiht sich in eine anhaltende Serie von Angriffen auf die Software-Lieferkette ein.
Gravity SMTP (WordPress) CVE-2026-4020: Unauthentifizierte Info-Disclosure aktiv ausgenutzt
Angreifer nutzen aktiv eine kürzlich gepatchte Schwachstelle (CVE-2026-4020) im WordPress-Plugin Gravity SMTP aus, das auf rund 100.000 Sites installiert ist. Die unauthentifizierte Information-Disclosure-Lücke gibt API-Schlüssel, Secrets, Tokens und Serverinformationen preis — wertvolles Material für Folgeangriffe.
Klue-OAuth-Breach weitet sich aus: „Icarus“ stiehlt Salesforce-Daten über gestohlene OAuth-Tokens
Nach dem Einbruch beim Anbieter Klue wächst die Opferliste: Angreifer der Gruppe „Icarus“ nutzten gestohlene OAuth-Tokens, um über die legitime Klue-Integration Salesforce-CRM-Daten mehrerer Organisationen zu entwenden. Die Kampagne ist eine laufende Erpressungsaktion und ein Lehrstück über das Risiko von Drittanbieter-OAuth-Verbindungen.
FortiBleed: Zugangsdaten von rund 86.000 FortiGate-Geräten geleakt — CISA warnt Fortinet-Kunden
Ein als „FortiBleed“ bezeichneter Leak hat Firewall- und VPN-Zugangsdaten von zehntausenden internetexponierten Fortinet-Geräten offengelegt — Berichte nennen 73.000 bis rund 86.000 betroffene Geräte, etwa die Hälfte der erreichbaren Fortinet-Firewalls/VPNs. CISA fordert Fortinet-Kunden auf, ihre Geräte angesichts laufender bösartiger Aktivität abzusichern.
Microsoft Defender Zero-Day „RoguePlanet“ (CVE-2026-50656): öffentlicher PoC, Patch erst in Arbeit
Microsoft bestätigt einen Defender-Zero-Day mit dem Codenamen „RoguePlanet“ (CVE-2026-50656). Öffentlicher PoC-Code nutzt eine Race Condition in Microsoft Defender aus, um eine Eingabeaufforderung mit SYSTEM-Rechten zu erzeugen. Ein Patch befindet sich noch in der Entwicklung — bis dahin besteht ein Risiko zur lokalen Rechteausweitung.
Kritische Patches Mitte Juni 2026: Splunk, Atlassian, F5 NGINX sowie Chrome und Firefox
Mehrere Hersteller haben Mitte Juni 2026 kritische Schwachstellen geschlossen: Splunk patchte eine OS-Command-Injection im AI Toolkit, Atlassian behob Dutzende Fehler in Drittanbieter-Abhängigkeiten, F5 schloss kritische NGINX-Lücken (unauthentifizierter Neustart bis möglicher RCE), und Chrome wie Firefox beseitigten Memory-Safety-Bugs mit RCE-Potenzial.
DragonForce missbraucht Microsoft-Teams-Relays als C2 — Go-Backdoor „Backdoor.Turn“ tarnt Traffic
Akteure der DragonForce-Ransomware verstecken ihren Command-and-Control-Verkehr in der Microsoft-Teams-Relay-Infrastruktur. Eine neue, in Go geschriebene Backdoor namens „Backdoor.Turn“ tunnelt C2-Kommunikation über legitime Teams-Server und erschwert so die netzbasierte Erkennung.
China-nahe Spionagegruppe UNC6508 stahl über ein Jahr Forschungs- und Verteidigungs-E-Mails via Google Workspace
Eine China-verknüpfte Spionagegruppe (von Google als UNC6508 verfolgt) hielt sich laut Bericht über ein Jahr in nordamerikanischen Medizin-, Forschungs- und Militärnetzen auf und stahl sensible Forschungs- und Verteidigungs-E-Mails. Der Zugang gelang u. a. über den Missbrauch von Google-Workspace-Regeln sowie exponierte REDCap-Server, auf denen die Malware InfiniteRed ausgebracht wurde.
Wochenlage KW 26/2026: KEV-Welle bei Cisco, Splunk und Lantronix — Supply-Chain-Angriffe häufen sich
Die Kalenderwoche 26 war geprägt von einer Häufung aktiv ausgenutzter Schwachstellen: CISA ergänzte den KEV-Katalog gleich mehrfach (Splunk, Cisco Unified CM, Cisco SD-WAN, Lantronix-OT, PTC Windchill). Parallel zog die Software-Lieferkette Angriffe an — von nordkoreanischen npm-Paketen bis zu manipulierten WordPress-Release-Kanälen. Positiv: die Operation Endgame zerschlug Amadey- und StealC-Infrastruktur.
Operation Endgame: Amadey- und StealC-Infrastruktur zerschlagen, 27 Mio. gestohlene Zugangsdaten gesichert
Eine koordinierte Strafverfolgungsaktion (Operation Endgame) mit Microsoft, Europol und Sicherheitsfirmen wie Bitdefender, Bitsight und ESET hat die geteilte Infrastruktur der Malware Amadey und StealC zerschlagen. Hunderte C&C-Server wurden gestört und rund 27 Millionen gestohlene Zugangsdaten gesichert. Für betroffene Organisationen heißt das: Exposition prüfen und Passwörter zurücksetzen.
Lantronix EDS5000 (CVE-2025-67038) aktiv ausgenutzt — OT-Schwachstelle jetzt im CISA-KEV
CISA hat vier Schwachstellen in den KEV-Katalog aufgenommen, darunter CVE-2025-67038 im Lantronix-EDS5000-Serial-to-IP-Converter (CVSS 9.8). Eine Command-Injection im HTTP-RPC-Modul wird laut Bericht aktiv ausgenutzt — nach einer vorausgegangenen OT-Bedrohungswarnung. Die Lücke stammt aus dem im April offengelegten BRIDGE:BREAK-Forschungsprojekt.
ShapedPlugin: WordPress-Pro-Plugins über Release-Kanäle mit Backdoor versehen — Welle von Supply-Chain-Angriffen
Mehrere WordPress-Pro-Plugins von ShapedPlugin wurden in einem Supply-Chain-Angriff kompromittiert: Angreifer manipulierten die offiziellen Release-Kanäle und schleusten Backdoor-Code ein. Der Vorfall reiht sich in eine breitere Welle ein — von der Klue-Salesforce-Kompromittierung bis zu 1.500 manipulierten AUR-Paketen bei Arch Linux.
Nordkoreanische Akteure hinter Mastra-NPM-Supply-Chain-Angriff — Entwicklertools als Malware-Kanal
Microsoft führt einen Supply-Chain-Angriff auf das Mastra-AI-Ökosystem auf die nordkoreanische Gruppe Sapphire Sleet (BlueNoroff) zurück: Eine bösartige Abhängigkeit in über 140 npm-Paketen lädt eine Payload nach, die Kryptowährungs-Erweiterungen ins Visier nimmt. Der Vorfall reiht sich in eine Welle nordkoreanischer Kampagnen ein, die gezielt Entwicklerwerkzeuge missbrauchen.
Cisco Catalyst SD-WAN (CVE-2026-20245): Zero-Day mit Root-Zugriff über Monate vor dem Patch ausgenutzt
Eine hochkritische Schwachstelle in Cisco Catalyst SD-WAN Manager (CVE-2026-20245, CVSS 7.8) wurde laut Mandiant mindestens zwei Monate vor ihrer Offenlegung als Zero-Day ausgenutzt — der 7. ausgenutzte Cisco-SD-WAN-Fehler in 2026. Angreifer erlangten Root-Rechte und legten betrügerische Root-Konten an. CISA hat die Lücke in den KEV-Katalog aufgenommen.
Cisco Unified CM (CVE-2026-20230) aktiv ausgenutzt — PTC Windchill (CVE-2026-12569) ebenfalls im CISA-KEV
CISA hat zwei aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen: CVE-2026-20230 in Cisco Unified Communications Manager (SSRF, CVSS 8.6, EPSS 42%) ermöglicht unauthentifiziertes Schreiben von Dateien bis hin zu Root; CVE-2026-12569 in PTC Windchill/FlexPLM wird erstmals in freier Wildbahn ausgenutzt. Für CVE-2026-20230 war bereits PoC-Code öffentlich, bevor die Angriffe begannen.
Splunk Enterprise CVE-2026-20253: Unauthentifizierte RCE aktiv ausgenutzt, jetzt im CISA-KEV
Eine kritische Schwachstelle in Splunk Enterprise (CVE-2026-20253, CVSS 9.8, EPSS 88%) erlaubt unauthentifizierten Angreifern das Erstellen oder Abschneiden beliebiger Dateien und in der Folge Remote Code Execution. CISA hat die Lücke in den KEV-Katalog aufgenommen und Bundesbehörden nur drei Tage zum Patchen gegeben; eine Ausnutzung erfolgte bereits wenige Tage nach Offenlegung.
Technologie-Radar: Welle autonomer KI-Security-Agenten auf GitHub
Auf GitHub trendet eine ganze Generation autonomer Security-Agenten - von KI-gestützten Pentest-Assistenten über SOC-Automatisierung bis zu selbst-gehosteten Recon-Agenten mit lokalem LLM. Ein Überblick, was das für Offense und Defense bedeutet.
MLSecOps & Adversarial ML: Security für KI-Systeme rückt in den Fokus
GitHub-Trends zeigen wachsendes Interesse an der Absicherung von KI selbst: kuratierte MLSecOps-Ressourcen, Adversarial-ML-Werkzeuge und Phishing-Erkennung per LLM. Worauf Teams achten sollten, die ML-Systeme produktiv betreiben.
Red-Team-Tooling-Radar: API-Security, Privesc-Enum und Burp-Erweiterungen
Aktuelle Trending-Repos für Offensive Security: eine API-Security-Suite für Burp mit OWASP-API-Top-10-Abdeckung, ein moderner Linux-Privesc-Enumerator und KI-gestützte Bug-Hunting-Werkzeuge. Kurz eingeordnet fürs Red Team.
Wochenlage: Sechs aktiv ausgenutzte KEV-Lücken bei Edge- und Enterprise-Systemen
Die Lage ist klar von aktiv ausgenutzten Schwachstellen an Internet-Rand und in Enterprise-Apps geprägt: PAN-OS, Oracle PeopleSoft, Drupal, Microsoft Exchange, Cisco SD-WAN und ein cPanel-Plugin - alle im CISA-KEV-Katalog.
CVE-2026-0257: Aktiv ausgenutzter Auth-Bypass in Palo Alto GlobalProtect (PAN-OS)
Palo Alto Networks bestätigt die aktive Ausnutzung einer Authentifizierungs-Umgehung im GlobalProtect-Portal und -Gateway von PAN-OS. Ein nicht authentifizierter Angreifer kann eine unautorisierte VPN-Verbindung aufbauen. CISA führt die Lücke im KEV-Katalog - Edge-Systeme sofort prüfen.
CVE-2026-9082: Kritische SQL-Injection in Drupal Core - Massenangriffe laufen
Eine unauthentifizierte SQL-Injection in Drupal Core wird kurz nach Disclosure aktiv gegen tausende Websites ausgenutzt und kann bis zu Privilege Escalation und RCE führen. CISA hat US-Behörden zur Sofort-Patchung verpflichtet (KEV).
CVE-2026-42897: Exchange-Server-Zero-Day (XSS) ermöglicht OWA-Übernahme
Microsoft warnt vor aktiver Ausnutzung einer Cross-Site-Scripting-Lücke in Exchange Server, mit der Angreifer Outlook-Web-Access-Postfächer kompromittieren können. Microsoft hat Mitigationen und inzwischen einen Patch bereitgestellt (KEV).