Security
Relevant vor dramatisch.
Nach Datum sortierte Incidents mit Originalquelle, betroffenen Versionen und einer Warnstufe, die das Risiko erklärt statt bloß rot zu blinken.
| Stufe | Datum | Komponente | Kurzbeschreibung | Quelle |
|---|---|---|---|---|
| hoch | 25.09.2026 | Amazon Kiro IDE | Kiro vor Version 1.0.242, eine Entwicklungsumgebung mit KI-Agent, konnte Anweisungen aus einem präparierten Projekt übernehmen. Öffnete jemand das Projekt als nicht vertrauenswürdigen Workspace und schrieb dem Agenten, waren Änderungen an der Kiro-Konfiguration im Benutzerprofil möglich. | CVE-2026-95985 |
| aktiv ausgenutzt | 25.09.2026 | Adobe Commerce, Adobe Commerce B2B und Magento Open Source | CISA führt CVE-2026-71362 seit dem 24. September als aktiv ausgenutzt. Die Lücke lässt sich laut Adobe über das Netzwerk ohne Zugangsdaten und ohne Nutzerhandlung ausnutzen; Betreiber erreichbarer betroffener Shops sollten auf die jeweilige 2026-aug-Ausgabe aktualisieren und eine mögliche frühere Kompromittierung untersuchen. | CVE-2026-71362 |
| kritisch | 24.09.2026 | Apache Tomcat 11, 10.1 und 9 | CVE-2026-76183 kann Zugriffsbeschränkungen für WebSocket-Endpunkte umgehen. Betroffene Betreiber sollten auf Tomcat 11.0.26, 10.1.60 oder 9.0.122 aktualisieren. | CVE-2026-76183 |
| aktiv ausgenutzt | 24.09.2026 | JetBrains TeamCity On-Premises | CISA kennzeichnet CVE-2026-63077 seit dem 23. September als in Ransomware-Kampagnen genutzt. Die bereits bekannte TeamCity-Lücke erlaubt ohne Anmeldung Betriebssystembefehle; Betreiber müssen patchen und mögliche Spuren untersuchen. | CVE-2026-63077 |
| kritisch | 23.09.2026 | F5 BIG-IP Access Policy Manager (APM) | CVE-2026-94127 kann ohne Anmeldung zur Codeausführung im Datenpfad bestimmter BIG-IP-APM-Systeme führen, die als OAuth-Autorisierungsserver eingerichtet sind. CISA bestätigt aktive Ausnutzung; Betreiber sollten die konkrete Konfiguration prüfen und den passenden Hotfix einspielen. | CVE-2026-94127 |
| kritisch | 22.09.2026 | Web to Print Online Designer für WordPress/WooCommerce | CVE-2026-82187 ermöglicht in Web to Print Online Designer 1.7.0 bis vor 2.15.0 einen unangemeldeten beliebigen Datei-Upload. Codeausführung setzt einen erreichbaren, PHP-verarbeitenden Ablageort voraus; aktive Ausnutzung ist zum Quellenstand nicht bestätigt. | CVE-2026-82187 |
| relevant | 20.09.2026 | NGINX Open Source HTTP/3 | CVE-2026-90439 kann in einer eng begrenzten NGINX-Open-Source-Konstellation beim TLS-Handshake Speicher überschreiben. Betroffen sind 1.29.2 bis 1.31.5 mit HTTP/3-Modul, aktivem HTTP/3, OpenSSL 3.5.0 oder älter und weiteren, öffentlich nicht ausgeführten Konfigurationsbedingungen; 1.30.5 und 1.31.6 beheben den Fehler. | CVE-2026-90439 |
| aktiv ausgenutzt | 20.09.2026 | Linux-Kernel in Ubuntu und Debian | CISA führt CVE-2026-53266, CVE-2025-39682 und CVE-2025-39964 als aktiv ausgenutzt. Alle beginnen mit lokaler Codeausführung, erreichen aber unterschiedliche Kernelpfade; die dokumentierte Root-Eskalation gilt hier für CVE-2025-39682. Entscheidend ist der feste Kernel des jeweiligen Distributionszweigs. | CVE-2026-53266, CVE-2025-39682, CVE-2025-39964 |
| aktiv ausgenutzt | 20.09.2026 | Cisco Secure Email Gateway | Eine manipulierte E-Mail kann ein ungepatchtes Cisco Secure Email Gateway bereits beim automatischen Prüfen kompromittieren; niemand muss sie öffnen. Cisco bestätigt aktive Ausnutzung, nennt keinen Workaround und empfiehlt das Update auf 16.5.0-780. | CVE-2026-76461 |
| kritisch | 14.09.2026 | Nodemailer für Node.js | Nodemailer 9.1.0 bis 10.0.4 kann den Node.js-Prozess beim Verarbeiten hinreichend großer, präparierter Adressangaben blockieren. Der Fehler ist kritisch, wenn eine öffentliche Anwendung solche Fremdwerte ohne wirksame Größenlimits an Nodemailer weitergibt; wiederholte Übermittlung kann die Blockade verstärken, und Version 10.0.5 behebt die Ursache. | CVE-2026-90776 |
| kritisch | 13.09.2026 | WordPress-Plugin The Events Calendar | CVE-2026-78159 ermöglichte Codeausführung über einen präparierten Kommentar auf einer Veranstaltungsseite. Version 6.17.3.1 schloss diesen Weg; eine später dokumentierte Umgehung betraf jedoch auch Version 6.17.4, weshalb Betreiber mindestens 6.17.4.1 einsetzen sollten. | CVE-2026-78159 |
| kritisch | 13.09.2026 | WordPress-Plugin The Events Calendar | Ein Angreifer kann unter einer sichtbaren Veranstaltung einen präparierten Kommentar absenden und dessen private Vorschau öffnen. Bis Version 6.17.4 verarbeitet das Plugin den Kommentar dabei so, dass Code auf dem Server ausgeführt werden kann; Version 6.17.4.1 schließt die Lücke. | CVE-2026-78006 |
| relevant | 12.09.2026 | Snowflake-Treiber für Python, Go, Java, Node.js, PHP und ODBC | Ein Token ist eine zeitlich oder sachlich begrenzte digitale Zugangsberechtigung. Mehrere Snowflake-Treiber konnten solche Tokens, signierte Speicher-URLs und Schlüssel in Diagnoselogs schreiben; ausnutzen lässt sich das nur mit Leserechten auf das Logziel. | CVE-2026-86597 |
| kritisch | 12.09.2026 | PHP BCMath-Erweiterung – bccomp() | Betroffen sind PHP 8.4 vor 8.4.24 und PHP 8.5 vor 8.5.9 – aber nur Anwendungen, die von außen beeinflussbare Werte an bccomp() übergeben. Dann kann eine gewöhnlich wirkende Anfrage den Speicher des PHP-Prozesses beschädigen. | CVE-2026-17544 |
| kritisch | 10.09.2026 | PHP PostgreSQL-Erweiterung (ext-pgsql) | Vier Komfortfunktionen von PHPs PostgreSQL-Erweiterung konnten fremde Werte falsch in eine SQL-Anweisung einsetzen. Angreifbar sind nur Anwendungen, die solche Werte an diese Funktionen übergeben. Betreiber sollten PHP aktualisieren und auf Abfragen umstellen, bei denen SQL-Code und Werte getrennt übertragen werden. | CVE-2026-17543 |
| kritisch | 09.09.2026 | FFmpeg | Ein übergroßes Paket im Live-Streamingprotokoll RIST kann einen FFmpeg-Prozess zum Absturz bringen und laut Canonical möglicherweise Code mit dessen Rechten ausführen. Kritisch ist das nur, wenn ein Dienst fremde Streams über FFmpegs asynchronen RIST-Eingang async:rist:// verarbeitet. | CVE-2026-75143 |
| kritisch | 08.09.2026 | ImageMagick | Ein präpariertes SVG kann beim Erzeugen eines Vorschaubilds MVG-Zeichenbefehle in ImageMagick einschleusen. Kritisch wird das bei öffentlich erreichbaren Upload- oder URL-Pipelines. | CVE-2026-56379 |
| kritisch | 07.09.2026 | strongSwan | Mehrere Fehler in der IPsec-Suite ermöglichen Abstürze, Autorisierungsumgehungen und unter engen Voraussetzungen Codeausführung. | CVE-2026-78123, CVE-2026-78124, CVE-2026-78126, CVE-2026-78127, CVE-2026-78129 bis CVE-2026-78135 |
| kritisch | 07.09.2026 | MiniUPnPd | Eine präparierte Netzwerkanfrage kann den UPnP-Dienst ohne Anmeldung abstürzen lassen oder Speicherinhalte offenlegen. | CVE-2026-5720 |
| relevant | 07.09.2026 | Linux-Kernel / Netfilter | Fehlende Prüfungen eines Ethernet-Headers können auf betroffenen Ubuntu-Kerneln zu Abstürzen oder zur Preisgabe von Kernel-Speicher führen; der Angriffsvektor ist widersprüchlich bewertet. | CVE-2026-53131 |
| kritisch | 07.09.2026 | jbig2dec | Ein Ganzzahlüberlauf im JBIG2-Decoder kann über hochgeladene, speziell aufgebaute Bilddaten einen Verarbeitungsprozess abstürzen lassen. | CVE-2026-38076 |
| relevant | 04.09.2026 | Ubuntu Linux-Kernel | Bestimmte AWS- und GCP-Kernel unter Ubuntu 18.04/20.04 erhalten Korrekturen für OCFS2- und SCTP-Fehler; nach dem Update ist ein Neustart nötig. | 5 CVEs |
| kritisch | 03.09.2026 | OpenSSH | Ein Speicherfehler im SSH-Client kann bei zwei gleichzeitigen Remote-Forwardings zu Absturz oder Codeausführung führen – kein pauschaler Angriff auf den SSH-Server. | CVE-2026-73282 |
| kritisch | 03.09.2026 | FFmpeg | Mehrere Parserfehler können beim Öffnen präparierter Medien einen Absturz oder die Ausführung fremden Codes als angemeldeter Nutzer auslösen. | CVE-2026-64830 u. a. |
| kritisch | 03.09.2026 | APR-util | Anwendungen mit dem Redis- oder memcached-Client von APR-util können bei manipulierten Netzwerkdaten abstürzen oder fremden Code ausführen. | CVE-2026-34501 / CVE-2026-34502 |
| kritisch | 03.09.2026 | libssh2 | Ein kontrollierter SSH- oder SFTP-Server kann präparierte Antworten senden und damit libssh2-Clients abstürzen lassen oder möglicherweise Code ausführen. | CVE-2026-66032 / CVE-2026-66035 |
| relevant | 03.09.2026 | GnuPG | GnuPG kann bei bestimmten CMS-Nachrichten zu kurze Authentifizierungsmerkmale akzeptieren; manipulierte verschlüsselte Nachrichten könnten dadurch als intakt erscheinen. | CVE-2026-57062 |
| relevant | 03.09.2026 | Apache Tika | Kann ein Angreifer Dateien in einem später analysierten Verzeichnis ablegen, kann Tikas ISA-Tab-Parser weitere lokal lesbare Dateien in die Ausgabe ziehen. | CVE-2026-66755 |
| kritisch | 01.09.2026 | libevent | Ein Fehler bei leeren Ausgabepuffern kann in Anwendungen mit libevent zu einem Absturz oder zur Ausführung fremden Codes führen. | CVE-2026-63381 |