Sicherheit & Risiko
142 Analysen
CVE-2008-4128 tritt 18 Jahre später wieder ins Radar: Die administrative HTTP-Schnittstelle in veralteten Cisco 871-Routern generiert weiterhin ausnutzbare CSRF-Ketten in großem Maßstab.
Eine Analyse von Group-IB, veröffentlicht am 12. Juli, beschreibt eine neue Variante des Banktrojaners. Malware aktiviert Debugging über Accessibility und erhält Shell ohne Kabel. Vietnam und Indonesien sind die aktuellen Ziele.
Sysdig hat die ersten Scans in Produktion der CVE-2026-20896 in Gitea Docker-Images festgestellt. Es sind etwa 6.200 Instanzen im Internet exponiert, viele von ihnen mit CI/CD-Geheimnissen in den Repos.
CVE-2026-59873 ermöglicht das Auslasten von CPU und Speicherplatz mit einem kleinen Tarball. Die Bibliothek erzielt wöchentlich 106 Millionen Downloads über npm und stützt einen großen Teil der JavaScript-Build-Kette.
Der Angreifer kompromittierte am 11. Juli das npm-Konto von jscrambler und veröffentlichte fünf bösartige Versionen des Tools, das von 43.000 Unternehmen, darunter Fortune-500-Kunden, verwendet wird, mit einem in Rust kompilierten Infostealer, der Browseranmeldedaten und Bitwarden-Tresore erfasst.
Die Progress Software hat am 11. Juli den Zugang zur Cloud der Storage Zone Controllers von ShareFile unterbrochen, was 86.000 Kunden betraf, nachdem der CVE-2026-2699 (CVSS 9.8) in Verbindung mit dem CVE-2026-2701 (CVSS 9.1) veröffentlicht wurde, die eine RCE ohne Credentials ermöglicht.
Die Path-Traversal-Schwachstelle in Adobe ColdFusion wurde am 30. Juni behoben, aber Angreifer begannen innerhalb von zwei Stunden mit der Ausnutzung. Das CISA setzte den 10. Juli als Frist für Bundesbehörden fest.
Ein Fehler in der Zugriffskontrolle ermöglicht die Ausführung von Befehlen ohne Authentifizierung im benachbarten Netzwerk und ist Teil des Pakets SAB-066, das 25 Sicherheitsanfälligkeiten in der UniFi-Linie behebt.
Sysdig hat den ersten Versuch einer Ausnutzung 13 Tage nach dem Patch gegen 6.200 exponierte Instanzen entdeckt. Der Fehler stammt aus einer Zeile der app.ini, die jeder IP vertraut.
Die Path-Traversal-Schwachstelle erhielt die Höchstwertung und wurde zwei Stunden nach dem technischen Bulletin aktiv ausgenutzt. Die CISA setzte eine Frist bis zum 10. Juli für die US-Bundesbehörden.
Vorläufiger Bericht, co-präsidiert von Yoshua Bengio und Maria Ressa, widerlegt die Safety-by-Design-Narrative großer Entwickler und gibt den Ball an Regulierungsbehörden und Unternehmenskäufer weiter.
CVE-2026-46242, 'Bad Epoll', ermöglicht es jedem lokalen nicht privilegierten Konto, Root-Zugriff auf Linux- und Android-Server mit Kernel 6.4+ zu erhalten. Der Fix existiert seit April; die meisten Distributionen haben den Backport noch nicht veröffentlicht.