Sicherheit & Risiko
171 Analysen
Ein Fehler in der Zugriffskontrolle ermöglicht die Ausführung von Befehlen ohne Authentifizierung im benachbarten Netzwerk und ist Teil des Pakets SAB-066, das 25 Sicherheitsanfälligkeiten in der UniFi-Linie behebt.
Sysdig hat den ersten Versuch einer Ausnutzung 13 Tage nach dem Patch gegen 6.200 exponierte Instanzen entdeckt. Der Fehler stammt aus einer Zeile der app.ini, die jeder IP vertraut.
Die Path-Traversal-Schwachstelle erhielt die Höchstwertung und wurde zwei Stunden nach dem technischen Bulletin aktiv ausgenutzt. Die CISA setzte eine Frist bis zum 10. Juli für die US-Bundesbehörden.
Vorläufiger Bericht, co-präsidiert von Yoshua Bengio und Maria Ressa, widerlegt die Safety-by-Design-Narrative großer Entwickler und gibt den Ball an Regulierungsbehörden und Unternehmenskäufer weiter.
CVE-2026-46242, 'Bad Epoll', ermöglicht es jedem lokalen nicht privilegierten Konto, Root-Zugriff auf Linux- und Android-Server mit Kernel 6.4+ zu erhalten. Der Fix existiert seit April; die meisten Distributionen haben den Backport noch nicht veröffentlicht.
Die Singapore Land Authority bestätigte unbefugten Zugriff auf eine von IBM verwaltete Cloud-Umgebung, wodurch Namen, NRIC-Nummern und Adressen von etwa 70.000 Personen, die seit 1998 in einem nie anonymisierten Testdatensatz gespeichert werden, offengelegt wurden.
Ein Forscher der Nationalen Universität von Seoul hat einen funktionalen Exploit für CVE-2026-46242 veröffentlicht: Jeder lokale Prozess ohne Berechtigungen kann Root in Linux-Kernels von 6.4 bis 6.12 und auf Android-Geräten erlangen.
Die von Microsoft am 26. Mai behobene Remote-Code-Ausführungsschwäche blieb Monate ohne Patch auf exponierten Servern. CISA fügte sie am 1. Juli dem KEV-Katalog hinzu, und The Hacker News erläuterte den Angriff am 2. Juli.
Cato AI Labs hat am Mittwoch DuneSlide veröffentlicht, ein Paar von Zero-Click-Exploits in Cursor 3.0, die Sandboxing durch in MCP oder einer vom Agenten geladenen Webseite platzierte Anweisungen aufbrechen.
Sicherheitsbulletin APSB26-68 behebt 11 CVEs, sieben mit maximaler Bewertung, in ColdFusion 2025, ColdFusion 2023 und Campaign Classic 7.4.3. Adobe hat eine Prioritätsbewertung von 1 vergeben, eine Kategorie, die das Unternehmen für eine bevorstehende Ausnutzung hält.
CVE-2026-48558 ermöglicht die Fälschung einer Technikersitzung und das Umgehen der MFA; die finale Ladung, der Djinn Stealer, zielt auf MCP-Dateien mit Anmeldedaten der Code-Assistenten Claude, Gemini, Codex, Cline und Kilo ab.
JFrog identifiziert zwei gestohlene npm-Pakete und ein Cluster von 16 Go-Paketen mit Payload, die über tasks.json von VS Code aktiviert werden und Anweisungen in Tron-, Aptos- und BSC-Transaktionen suchen.