Aktuelle Sicherheitslücken und Schwachstellen mit technischen Details und Handlungsempfehlungen.
CVE-2026-8037
CVSS: 9.6
Critical
CVE-2026-8037: Kritische Command Injection in Progress LoadMaster
In mehreren Progress-ADC-Produkten (LoadMaster und verwandte Komponenten) kann ein nicht authentifizierter Angreifer über unzureichend validierte Eingaben in verschiedenen Command-Endpoints beliebige Betriebssystembefehle ausführen. Die Schwachstelle ermöglicht Remote Code Execution auf der LoadMaster-Appliance mit höchstem Schweregrad. Ein Patch ist in den Versionen V7.2.63.2 und V7.2.54.18 verfügbar.
CVE-2026-8037: Kritische Command Injection in Progress LoadMaster
In mehreren Progress-ADC-Produkten (LoadMaster und verwandte Komponenten) kann ein nicht authentifizierter Angreifer über unzureichend validierte Eingaben in verschiedenen Command-Endpoints beliebige Betriebssystembefehle ausführen. Die Schwachstelle ermöglicht Remote Code Execution auf der LoadMaster-Appliance mit höchstem Schweregrad. Ein Patch ist in den Versionen V7.2.63.2 und V7.2.54.18 verfügbar.
Zusammenfassung
In den Progress ADC-Produkten LoadMaster, MOVEit WAF, ECS Connections Manager und Object Scale Connection Manager wurde eine kritische Schwachstelle (CVE-2026-8037) identifiziert. Ein nicht authentifizierter Angreifer kann über unsanitisierte Eingaben in mehreren Command-Endpoints der API beliebige Betriebssystembefehle auf der LoadMaster-Appliance ausführen (OS Command Injection Remote Code Execution). Die Schwachstelle wird mit einem CVSS-Score von 9.6 als kritisch eingestuft.
Technische Details
Die Schwachstelle liegt in der API der betroffenen Progress ADC-Produkte. Durch fehlende bzw. unzureichende Eingabevalidierung in mehreren Command-Endpoints kann ein Angreifer ohne vorherige Authentifizierung Betriebssystembefehle einschleusen und auf der Appliance ausführen. Dies ermöglicht vollständige Remote Code Execution (RCE) mit den Rechten des Dienstkontos und damit in der Regel die vollständige Kompromittierung des betroffenen Systems. Ein erfolgreicher Angriff kann zur Übernahme der LoadMaster-Appliance, zu Datenmanipulation und zur Nutzung des Systems als Sprungbrett für weitere Angriffe im Netzwerk führen.
Betroffene Systeme
Betroffen sind die folgenden Produkte von Progress Software in den angegebenen Versionen:
Patch einspielen: Systeme umgehend auf die korrigierten Versionen V7.2.63.2 bzw. V7.2.54.18 aktualisieren.
Sofortige Isolation: Bis zur Installation des Patches betroffene Appliances möglichst vom Netzwerk isolieren und den Zugriff auf die Verwaltungsschnittstelle einschränken.
Zugriffskontrolle: API- und Verwaltungs-Endpoints nur aus vertrauenswürdigen Netzwerken erreichbar machen.
Überwachung: Logs und Systemaktivitäten auf Anzeichen von Kompromittierung prüfen (unerwartete Befehlsausführung, neue Benutzer, ungewöhnliche Prozesse).
Offizielle Anleitung: Die Hinweise des Herstellers im Security Bulletin beachten und umsetzen.
JetBrains TeamCity: Kritische RCE über Agent-Polling-Protokoll (CVE-2026-63077)
In JetBrains TeamCity ermöglicht eine Schwachstelle im Agent-Polling-Protokoll eine nicht authentifizierte Remote-Code-Ausführung mit CVSS-Score 9.8. Angreifer können ohne Anmeldedaten beliebigen Code auf dem TeamCity-Server ausführen und die vollständige Kontrolle übernehmen. Ein Update auf 2026.1.3 bzw. 2025.11.7 ist dringend erforderlich.
JetBrains TeamCity: Kritische RCE über Agent-Polling-Protokoll (CVE-2026-63077)
In JetBrains TeamCity ermöglicht eine Schwachstelle im Agent-Polling-Protokoll eine nicht authentifizierte Remote-Code-Ausführung mit CVSS-Score 9.8. Angreifer können ohne Anmeldedaten beliebigen Code auf dem TeamCity-Server ausführen und die vollständige Kontrolle übernehmen. Ein Update auf 2026.1.3 bzw. 2025.11.7 ist dringend erforderlich.
Zusammenfassung
In JetBrains TeamCity wurde eine kritische Schwachstelle entdeckt, die eine nicht authentifizierte Remote-Code-Ausführung (RCE) über das Agent-Polling-Protokoll ermöglicht. Die Schwachstelle trägt die CVE-ID CVE-2026-63077 und wird mit einem CVSS-Score von 9.8 als kritisch eingestuft. Angreifer können die Lücke ohne vorherige Authentifizierung ausnutzen und damit beliebigen Code mit den Rechten des TeamCity-Servers ausführen. Ein Patch ist in den Versionen 2026.1.3 und 2025.11.7 verfügbar.
Technische Details
Die Schwachstelle betrifft das Agent-Polling-Protokoll von JetBrains TeamCity. Über dieses Protokoll kommunizieren Build-Agents mit dem TeamCity-Server, um nach neuen Aufgaben zu fragen. Aufgrund eines Fehlers, der unter CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten) klassifiziert ist, kann ein Angreifer manipulierte Daten über das Polling-Protokoll einschleusen und so beliebigen Code auf dem Server ausführen.
Wichtige Eckdaten im Überblick:
CVE-ID: CVE-2026-63077
CVSS-Score: 9.8 (Critical)
Schwachstellentyp: Nicht authentifizierte Remote-Code-Ausführung (RCE)
CWE: CWE-502 – Deserialisierung nicht vertrauenswürdiger Daten
Auswirkung: Vollständige Kompromittierung des TeamCity-Servers, Datenzugriff, Übernahme von Build-Umgebungen
Da für die Ausnutzung keine Authentifizierung und keine Benutzerinteraktion erforderlich ist, stellt die Schwachstelle ein hohes Risiko dar, insbesondere für TeamCity-Instanzen, die direkt aus dem Internet erreichbar sind.
Betroffene Systeme
Betroffen sind alle Versionen von JetBrains TeamCity vor 2026.1.3 sowie vor 2025.11.7:
JetBrains TeamCity < 2026.1.3
JetBrains TeamCity < 2025.11.7
Die Schwachstelle beheben die Versionen 2026.1.3 und 2025.11.7.
Empfehlungen und Maßnahmen
Sofort aktualisieren: Betroffene TeamCity-Server unverzüglich auf 2026.1.3 (bzw. 2025.11.7 für den älteren Release-Zweig) aktualisieren.
Exposition reduzieren: TeamCity-Server nicht direkt aus dem Internet erreichbar machen und den Zugriff auf das Agent-Polling-Protokoll auf vertrauenswürdige Netzwerke beschränken.
Indikatoren prüfen: Nach einer Kompromittierung suchen – Logs auf ungewöhnliche Agent-Registrierungen und unerwartete Build-Aktivitäten prüfen.
Zugangskontrolle: Zugriff auf die TeamCity-Verwaltung über VPN oder Firewall-Regeln einschränken und Multi-Faktor-Authentifizierung aktivieren.
CVE-2026-18556: Authentifizierungs-Umgehung in N-able N-central
In N-able N-central existiert eine Schwachstelle zur Authentifizierungs-Umgehung (CWE-288), die es einem nicht authentifizierten Angreifer ermöglicht, über einen alternativen Pfad administrative Zugriffsrechte zu erlangen. Die Schwachstelle wird aktiv ausgenutzt und betrifft alle Versionen bis einschließlich 2026.1. Ein Update auf Version 2026.3 behebt das Problem.
CVE-2026-18556: Authentifizierungs-Umgehung in N-able N-central
In N-able N-central existiert eine Schwachstelle zur Authentifizierungs-Umgehung (CWE-288), die es einem nicht authentifizierten Angreifer ermöglicht, über einen alternativen Pfad administrative Zugriffsrechte zu erlangen. Die Schwachstelle wird aktiv ausgenutzt und betrifft alle Versionen bis einschließlich 2026.1. Ein Update auf Version 2026.3 behebt das Problem.
CVE-2026-18556: Authentifizierungs-Umgehung in N-able N-central
CVE-ID: CVE-2026-18556
CVSS-Score: 8.2 (High, CVSS v4.0)
CWE: CWE-288 (Authentication Bypass Using an Alternate Path or Channel)
Hersteller: N-Able
Veröffentlicht: 01.08.2026
Zusammenfassung
N-able N-central weist eine Schwachstelle zur Authentifizierungs-Umgehung auf, die es einem nicht authentifizierten Angreifer aus der Ferne ermöglicht, administrative Zugriffsrechte auf betroffene Server zu erlangen. Die Schwachstelle (CWE-288) erlaubt die Umgehung der normalen Authentifizierung über einen alternativen Pfad oder Kanal. Angreifer nutzen die Schwachstelle aktiv aus, um administrative Konten zu übernehmen, Remote-Zugriffsfunktionen zu missbrauchen und Persistenz in verwalteten Umgebungen zu etablieren. Die Schwachstelle betrifft alle Versionen bis einschließlich 2026.1.
Technische Details
Die Schwachstelle ermöglicht eine Authentifizierungs-Umgehung über einen alternativen Pfad oder Kanal, sodass ein Angreifer ohne gültige Zugangsdaten administrative Funktionen von N-central erreichen kann (Unauthenticated Administrative Account Takeover).
Der CVSS-v4.0-Vektor lautet: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N (Score 8.2, High). Gemäß NVD liegt der CVSS-v3.1-Basisscore bei 7.4 (High) mit dem Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N.
Die Schwachstelle wurde seit dem 31.07.2026 aktiv ausgenutzt. Nach der erfolgreichen Ausnutzung verschafften sich Angreifer administrativen Zugriff auf N-central-Server, nutzten die Take-Control-Funktion, um Verbindungen zu verwalteten Systemen aufzubauen, und registrierten anschließend einen Cloudflare-Tunnel-Dienst, um auch nach Widerrufung des Serverzugriffs persistent im Netzwerk zu bleiben.
Betroffene Systeme
N-Able N-central bis einschließlich Version 2026.1 (alle Versionen von 0 bis 2026.1)
On-Premises-Installationen von N-central, die nicht mit der aktuellsten Version betrieben werden
Empfehlungen und Maßnahmen
Update durchführen: N-able empfiehlt dringend, betroffene Systeme unverzüglich auf Version 2026.3 zu aktualisieren. Die ursprüngliche Angriffsfläche wurde bereits in Version 2026.2 adressiert; für eine vollständige Behebung einschließlich nachfolgender Anpassungen sollte jedoch die aktuellste Version bzw. der neueste Hersteller-Hotfix eingesetzt werden.
Zugriff einschränken: Begrenzen Sie den Netzwerkzugriff auf die administrative Oberfläche von N-central auf vertrauenswürdige Verwaltungspfade (z. B. VPN oder restriktive Quell-IP-Filter).
Multi-Faktor-Authentifizierung (MFA) aktivieren und Benutzerkonten regelmäßig auditen.
Überwachung: Prüfen Sie die Umgebung auf ungewöhnliche Aktivitäten (unautorisierte Remote-Sitzungen, neue Dienste, unerwartete Tunnel).
Incident Response: Betroffene Kunden sollten auch verwaltete Endgeräte auf Persistenz-Mechanismen und unautorisierte Remote-Verbindungen untersuchen.
Betroffene Systeme:N-Able N-central 0 ≤ 2026.1, N-Able N-central 2026.1 (und alle früheren Versionen), N-Able N-central On-Premises bis einschließlich 2026.1
Exploit bekanntPatch verfügbar
CVE-2026-34486
CVSS: 7.5
High
CVE-2026-34486: Umgehung der Datenverschlüsselung in Apache Tomcat
In Apache Tomcat kann die Datenverschlüsselung des EncryptInterceptors durch einen Fehler in der Behebung von CVE-2026-29146 umgangen werden. Dadurch können vertrauliche Daten unverschlüsselt übertragen werden. Ein Upgrade auf die genannten Patch-Versionen ist dringend empfohlen.
CVE-2026-34486: Umgehung der Datenverschlüsselung in Apache Tomcat
In Apache Tomcat kann die Datenverschlüsselung des EncryptInterceptors durch einen Fehler in der Behebung von CVE-2026-29146 umgangen werden. Dadurch können vertrauliche Daten unverschlüsselt übertragen werden. Ein Upgrade auf die genannten Patch-Versionen ist dringend empfohlen.
Zusammenfassung
CVE-2026-34486 beschreibt eine Schwachstelle in Apache Tomcat, die auf die unzureichende Behebung von CVE-2026-29146 zurückzuführen ist. Die betroffene Fehlfunktion erlaubt es Angreifern, den EncryptInterceptor zu umgehen, wodurch vertrauliche Daten ohne Verschlüsselung übertragen werden können.
Technische Details
Die Schwachstelle ist ein Fehler bei der Verschlüsselung sensibler Daten (Missing Encryption of Sensitive Data). Durch den fehlerhaften Fix für CVE-2026-29146 kann die Verschlüsselungsschicht (EncryptInterceptor) von Apache Tomcat umgangen werden. Dies ermöglicht es, schützenswerte Informationen im Klartext zu übertragen und potenziell durch einen Angreifer abzufangen. Der CVSS-Score beträgt 7.5 (High).
Betroffene Systeme
Folgende Apache-Tomcat-Versionen sind von der Schwachstelle betroffen:
Apache Tomcat 11.0.20
Apache Tomcat 10.1.53
Apache Tomcat 9.0.116
Empfehlungen und Maßnahmen
Betroffene Systeme sollten unverzüglich auf eine behobene Version aktualisiert werden:
Upgrade auf Apache Tomcat 11.0.21
Upgrade auf Apache Tomcat 10.1.54
Upgrade auf Apache Tomcat 9.0.117
Sofern ein sofortiges Update nicht möglich ist, sollte die betroffene Umgebung bis zur Installation des Patches mit erhöhter Aufmerksamkeit überwacht werden.
CVE-2026-9198: Kritische Remote-Code-Ausführung (RCE) in IBM Langflow OSS
Unauthentifizierte Angreifer können in IBM Langflow OSS die Endpunkte /api/v1/auto_login und /api/v1/validate/code miteinander kombinieren und so beliebigen Code auf dem Host ausführen (vollständige Remote-Code-Ausführung). Betroffen sind Standardinstallationen von Langflow OSS in den Versionen 1.0.0 bis 1.10.0. Ein Fix ist mit Version 1.10.1 verfügbar.
Affected:IBM Langflow OSS 1.0.0 bis 1.10.0 (inklusive), IBM Langflow OSS auf Windows...
Exploit bekanntPatch verfügbar
CVE-2026-9198
CVSS: 9.8Critical
CVE-2026-9198: Kritische Remote-Code-Ausführung (RCE) in IBM Langflow OSS
Unauthentifizierte Angreifer können in IBM Langflow OSS die Endpunkte /api/v1/auto_login und /api/v1/validate/code miteinander kombinieren und so beliebigen Code auf dem Host ausführen (vollständige Remote-Code-Ausführung). Betroffen sind Standardinstallationen von Langflow OSS in den Versionen 1.0.0 bis 1.10.0. Ein Fix ist mit Version 1.10.1 verfügbar.
Security-Advisory: CVE-2026-9198
CVE-ID: CVE-2026-9198 CVSS v3.1: 9.8 (Kritisch) CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE: CWE-94 (Unzureichende Kontrolle der Codegenerierung – "Code Injection") Hersteller: IBM
Zusammenfassung
In IBM Langflow OSS (Open Source Software) können nicht authentifizierte Angreifer eine Kette aus zwei Sicherheitslücken ausnutzen, um auf Standardinstallationen eine vollständige Remote-Code-Ausführung (RCE) zu erlangen. Zunächst wird über den Endpunkt /api/v1/auto_login ein SUPERUSER-Token an jeden Netzwerkaufrufer ausgegeben. Mit diesem Token kann anschließend der Endpunkt /api/v1/validate/code aufgerufen werden, der über exec() beliebigen vom Angreifer kontrollierten Python-Code ausführt. Ein Angriff ist aus dem Netzwerk heraus ohne jedwede Authentifizierung möglich und führt zur vollständigen Kompromittierung des betroffenen Systems.
Technische Details
Die Schwachstelle kombiniert zwei separate Probleme:
Auto-Login-Bypass: Der Endpunkt /api/v1/auto_login stellt ohne Authentifizierung SUPERUSER-Tokens für jeden Netzwerkaufrufer aus. Dadurch kann sich ein Angreifer unberechtigt volle Administratorrechte innerhalb der Anwendung verschaffen.
Code-Injection: Der Endpunkt /api/v1/validate/code führt zur Validierung eingegebenen Benutzercode mittels exec() aus. Der Code-Validator führt dabei Python-Dekoratoren, Standardargumente und Annotationen bereits zum Zeitpunkt der Funktionsdefinition aus, wodurch beliebige Kommandos auf dem Hostsystem ausgeführt werden können.
Durch die Kombination beider Endpunkte (zuerst Token beschaffen, dann bösartigen Code einschleusen) kann ein nicht authentifizierter Angreifer vollständige Kontrolle über betroffene Langflow-Instanzen erlangen – inklusive Zugriff auf vertrauliche Daten, Manipulation und Ausfall des Dienstes. Betroffen sind alle Standardbereitstellungen, in denen die Auto-Login-Funktion aktiviert und der Validierungsendpunkt aus dem Netzwerk erreichbar ist.
Betroffene Systeme
IBM Langflow OSS – Versionen 1.0.0 bis 1.10.0 (inklusive)
Betroffene Plattformen: Windows, macOS, Linux
Empfehlungen und Maßnahmen
Update durchführen: IBM empfiehlt dringend, Langflow OSS auf Version 1.10.1 zu aktualisieren. Der Fix ist über PyPI unter https://pypi.org/project/langflow/ verfügbar.
Netzwerkzugriff einschränken: Bis zur Aktualisierung sollte der Zugriff auf die Endpunkte /api/v1/auto_login und /api/v1/validate/code auf vertrauenswürdige Netzwerke beschränkt werden.
Instanzen prüfen: Bei bereits kompromittierten Systemen sollten Logs und verdächtige Prozesse untersucht sowie gegebenenfalls eine Neuinstallation mit anschließender Aktualisierung durchgeführt werden.
Keine Workarounds verfügbar: Von IBM werden keine weiteren Workarounds oder Mitigationsmaßnahmen bereitgestellt; das Upgrade auf 1.10.1 ist der einzige offizielle Fix.
Betroffene Systeme:IBM Langflow OSS 1.0.0 bis 1.10.0 (inklusive), IBM Langflow OSS auf Windows, IBM Langflow OSS auf macOS, IBM Langflow OSS auf Linux
Exploit bekanntPatch verfügbar
CVE-2026-18577
CVSS: 8.2
High
N-able N-central: Authentifizierungs-Bypass und Kontoübernahme (CVE-2026-18577)
Eine unvollständige Korrektur von CVE-2026-18556 ermöglicht in N-able N-central bis einschließlich Version 2026.3 einen Authentifizierungs-Bypass und die vollständige Übernahme von Benutzerkonten. Angreifer können damit unbefugt auf verwaltete Systeme zugreifen. Der Hotfix 2026.3.1 (Build 2026.3.1.7) behebt die Schwachstelle.
N-able N-central: Authentifizierungs-Bypass und Kontoübernahme (CVE-2026-18577)
Eine unvollständige Korrektur von CVE-2026-18556 ermöglicht in N-able N-central bis einschließlich Version 2026.3 einen Authentifizierungs-Bypass und die vollständige Übernahme von Benutzerkonten. Angreifer können damit unbefugt auf verwaltete Systeme zugreifen. Der Hotfix 2026.3.1 (Build 2026.3.1.7) behebt die Schwachstelle.
Zusammenfassung
In N-able N-central wurde die Sicherheitslücke CVE-2026-18577 entdeckt. Sie entsteht durch eine unvollständige Korrektur der bereits bekannten Schwachstelle CVE-2026-18556 und ermöglicht Angreifern einen Authentifizierungs-Bypass sowie die vollständige Übernahme von Benutzerkonten. Betroffen sind alle Instanzen von N-central bis einschließlich Version 2026.3.
Technische Details
CVE-2026-18577 betrifft einen Authentifizierungs-Bypass, der durch die unvollständige Behebung von CVE-2026-18556 verursacht wurde. Ein nicht authentifizierter Angreifer kann die Schwachstelle ausnutzen, um die Authentifizierung zu umgehen und unbefugt Benutzerkonten zu übernehmen (Account Takeover). Bei erfolgreicher Ausnutzung erlangt der Angreifer Zugriff auf das N-central-System und damit potenziell auf die damit verwalteten Kundenumgebungen. Der CVSS-Score beträgt 8.2 (High).
N-able berichtet von Anzeichen möglicher Kompromittierungen: Auf betroffenen Systemen kann eine Datei namens „svchost.exe“ im Dokumentenordner von Benutzern sowie ein registrierter Dienst namens „Cloudflared“ auffallen. Zudem können Firewall-Logs eingehende Verbindungen von den IP-Adressen 173.249.252.200, 87.249.138.34, 37.19.210.32 und 68.235.46.214 zeigen.
Betroffene Systeme
N-able N-central (alle Versionen bis einschließlich 2026.3, d.h. 0 ≤ Version ≤ 2026.3), sowohl als gehostete (NCOD) als auch als selbst gehostete Instanz
Empfehlungen und Maßnahmen
Sofortiges Upgrade: Alle betroffenen N-central-Instanzen sollten umgehend auf den Hotfix N-central 2026.3.1 (Build 2026.3.1.7) aktualisiert werden. N-able empfiehlt das Upgrade dringend („ASAP“).
Gehostete Instanzen (NCOD): Das Upgrade wird automatisch von N-able durchgeführt; ein manuelles Eingreifen ist nicht erforderlich.
Selbst gehostete Instanzen: Der Hotfix ist über das N-able Me Portal herunterzuladen und gemäß der offiziellen Upgrade-Dokumentation zu installieren.
Kompromittierungsprüfung: Prüfen Sie betroffene Systeme auf die Datei „svchost.exe“ im Benutzer-Dokumentenordner, den Dienst „Cloudflared“ sowie eingehende Verbindungen von den oben genannten IP-Adressen in den Firewall-Logs. Bei Verdacht umgehend den N-able-Support und das eigene Sicherheitsteam kontaktieren.
Agent-Upgrades: Die Agenten müssen für den Schutz vor CVE-2026-18577 nicht zwingend aktualisiert werden, ein Upgrade wird jedoch empfohlen, um alle aktuellen Features und Sicherheitsfixes zu erhalten. Beachten Sie den größeren Agent-Installer (180 MB) und staffeln Sie die Upgrades.
Bestätigte Upgrade-Pfade: Ein direktes Upgrade auf 2026.3.1 ist von 2025.4, 2026.1, 2026.2 und 2026.3 möglich. Ältere Versionen sollten zunächst auf eine dieser Versionen und dann auf den Hotfix aktualisiert werden.
Cisco Secure FMC: Schwachstelle durch statische Anmeldedaten (CVE-2026-20316)
Cisco Secure Firewall Management Center (FMC) enthält statische Benutzeranmeldedaten für ein Konto mit niedrigen Privilegien. Ein entfernter, nicht authentifizierter Angreifer kann sich damit in das Web-Interface einloggen und auf sensible Daten zugreifen.
Affected:Cisco Secure Firewall Management Center (FMC) 7.2.4.1, Cisco Secure Firewall Management Center (FMC) 7.0.8...
Exploit bekanntPatch verfügbar
CVE-2026-20316
CVSS: 5.3Medium
Cisco Secure FMC: Schwachstelle durch statische Anmeldedaten (CVE-2026-20316)
Cisco Secure Firewall Management Center (FMC) enthält statische Benutzeranmeldedaten für ein Konto mit niedrigen Privilegien. Ein entfernter, nicht authentifizierter Angreifer kann sich damit in das Web-Interface einloggen und auf sensible Daten zugreifen.
Zusammenfassung
In Cisco Secure Firewall Management Center (FMC) Software wurde eine Schwachstelle (CVE-2026-20316) entdeckt, die auf statische Benutzeranmeldedaten für ein Konto mit niedrigen Privilegien zurückzuführen ist. Ein entfernter, nicht authentifizierter Angreifer kann diese Anmeldedaten ausnutzen, um sich im Web-Interface anzumelden und auf sensible Daten innerhalb des betroffenen Systems zuzugreifen. Obwohl der CVSS-Score 5.3 (Medium) beträgt, hat Cisco die Sicherheitsauswirkungen (SIR) als „High" eingestuft, da diese Schwachstelle mit anderen Schwachstellen kombiniert werden kann, um Privilegien zu erweitern.
Cisco hat Hotfixes für alle betroffenen Versionen veröffentlicht. Es stehen keine Workarounds zur Verfügung. Aktivitäten im Internet deuten darauf hin, dass diese Schwachstelle bereits aktiv ausgenutzt wird.
Technische Details
Die Schwachstelle (CWE-259: Use of Hard-coded Password) existiert im Web-Interface von Cisco Secure FMC. Aufgrund statischer Anmeldedaten für ein niedrig privilegiertes Konto kann ein Angreifer ohne Authentifizierung auf das System zugreifen. Der CVSS-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.
Hinweis: Wenn das FMC-Management-Interface keinen öffentlichen Internetzugang hat, ist die Angriffsfläche reduziert.
Cisco PSIRT wurde im Juli 2026 auf die aktive Ausnutzung dieser Schwachstelle aufmerksam. Zur Erkennung einer Kompromittierung kann folgender Befehl im Expert-Mode ausgeführt werden:
cat /var/log/messages | grep license
Enthält die Ausgabe den Pfad /var/tmp/license.tmp, liegt möglicherweise eine Ausnutzung vor.
Betroffene Systeme
Alle Versionen von Cisco Secure Firewall Management Center (FMC) vor den jeweiligen Hotfix-Releases sind betroffen:
Nicht betroffen sind: Cloud-Delivered FMC (cdFMC), Firewall Device Manager (FDM), Secure Firewall ASA, Secure Firewall FTD und Security Cloud Control (SCC).
Empfehlungen und Maßnahmen
Cisco empfiehlt, umgehend die bereitgestellten Hotfixes über das Cisco Software Center zu installieren. Da es keine Workarounds gibt, ist das Einspielen des Patches die einzige Abhilfemaßnahme. Zusätzlich sollten Administratoren alle Benutzeranmeldedaten, Schlüssel und Zertifikate auf dem betroffenen System rotieren, falls eine Kompromittierung vermutet wird.
Betroffene Systeme:Cisco Secure Firewall Management Center (FMC) 7.2.4.1, Cisco Secure Firewall Management Center (FMC) 7.0.8, Cisco Secure Firewall Management Center (FMC) 7.0.6.2, Cisco Secure Firewall Management Center (FMC) 7.6.2.1, Cisco Secure Firewall Management Center (FMC) 7.7.12, Cisco Secure Firewall Management Center (FMC) 7.4.4, Cisco Secure Firewall Management Center (FMC) 7.2.10.2, Cisco Secure Firewall Management Center (FMC) 7.4.2.4, Cisco Secure Firewall Management Center (FMC) 7.2.6, Cisco Secure Firewall Management Center (FMC) 7.3.1, Cisco Secure Firewall Management Center (FMC) 7.4.3, Cisco Secure Firewall Management Center (FMC) 7.0.3, Cisco Secure Firewall Management Center (FMC) 7.0.9, Cisco Secure Firewall Management Center (FMC) 7.2.10.1, Cisco Secure Firewall Management Center (FMC) 7.2.3.1, Cisco Secure Firewall Management Center (FMC) 7.7.10.1, Cisco Secure Firewall Management Center (FMC) 7.0.0.1, Cisco Secure Firewall Management Center (FMC) 7.7.11, Cisco Secure Firewall Management Center (FMC) 7.6.0, Cisco Secure Firewall Management Center (FMC) 7.4.7, Cisco Secure Firewall Management Center (FMC) 7.0.1.1, Cisco Secure Firewall Management Center (FMC) 10.0.0, Cisco Secure Firewall Management Center (FMC) 7.4.1, Cisco Secure Firewall Management Center (FMC) 7.4.2.1, Cisco Secure Firewall Management Center (FMC) 7.0.2.1, Cisco Secure Firewall Management Center (FMC) 7.2.1, Cisco Secure Firewall Management Center (FMC) 7.6.4, Cisco Secure Firewall Management Center (FMC) 7.0.0, Cisco Secure Firewall Management Center (FMC) 7.4.2.3, Cisco Secure Firewall Management Center (FMC) 7.6.5, Cisco Secure Firewall Management Center (FMC) 7.2.10, Cisco Secure Firewall Management Center (FMC) 7.0.6.1, Cisco Secure Firewall Management Center (FMC) 7.0.1, Cisco Secure Firewall Management Center (FMC) 7.2.2, Cisco Secure Firewall Management Center (FMC) 7.3.0, Cisco Secure Firewall Management Center (FMC) 7.6.2, Cisco Secure Firewall Management Center (FMC) 7.4.2.2, Cisco Secure Firewall Management Center (FMC) 7.2.0.1, Cisco Secure Firewall Management Center (FMC) 7.2.5.1, Cisco Secure Firewall Management Center (FMC) 7.4.6, Cisco Secure Firewall Management Center (FMC) 7.4.1.1, Cisco Secure Firewall Management Center (FMC) 7.0.8.1, Cisco Secure Firewall Management Center (FMC) 7.2.8.1, Cisco Secure Firewall Management Center (FMC) 7.0.4, Cisco Secure Firewall Management Center (FMC) 7.2.5, Cisco Secure Firewall Management Center (FMC) 7.2.3, Cisco Secure Firewall Management Center (FMC) 7.0.6, Cisco Secure Firewall Management Center (FMC) 10.0.1, Cisco Secure Firewall Management Center (FMC) 7.0.6.3, Cisco Secure Firewall Management Center (FMC) 7.2.4, Cisco Secure Firewall Management Center (FMC) 7.2.8, Cisco Secure Firewall Management Center (FMC) 7.7.0, Cisco Secure Firewall Management Center (FMC) 7.2.11, Cisco Secure Firewall Management Center (FMC) 7.2.0, Cisco Secure Firewall Management Center (FMC) 7.2.5.2, Cisco Secure Firewall Management Center (FMC) 7.0.2, Cisco Secure Firewall Management Center (FMC) 7.4.0, Cisco Secure Firewall Management Center (FMC) 7.4.2, Cisco Secure Firewall Management Center (FMC) 7.2.7, Cisco Secure Firewall Management Center (FMC) 7.7.10, Cisco Secure Firewall Management Center (FMC) 7.0.7, Cisco Secure Firewall Management Center (FMC) 7.0.5, Cisco Secure Firewall Management Center (FMC) 7.4.5, Cisco Secure Firewall Management Center (FMC) 7.2.9, Cisco Secure Firewall Management Center (FMC) 7.3.1.2, Cisco Secure Firewall Management Center (FMC) 7.6.1, Cisco Secure Firewall Management Center (FMC) 7.3.1.1
Exploit bekanntPatch verfügbar
CVE-2026-16812
CVSS: 10
Critical
Kritische Schwachstelle in Arista VeloCloud Orchestrator On-Prem (CVE-2026-16812)
Eine kritische Schwachstelle (CVSS 10) im VeloCloud Orchestrator On-Prem erlaubt Remote-Angreifern Zugriff auf privilegierte interne Funktionalität und kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators gefährden. Die Schwachstelle ist aktiv exploitiert.
Kritische Schwachstelle in Arista VeloCloud Orchestrator On-Prem (CVE-2026-16812)
Eine kritische Schwachstelle (CVSS 10) im VeloCloud Orchestrator On-Prem erlaubt Remote-Angreifern Zugriff auf privilegierte interne Funktionalität und kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators gefährden. Die Schwachstelle ist aktiv exploitiert.
Zusammenfassung
Arista Networks hat eine kritische Sicherheitslücke in mehreren Versionen des VeloCloud Orchestrator (VCO) On-Prem offengelegt. Die Schwachstelle mit der Bezeichnung CVE-2026-16812 weist einen CVSS-Score von 10,0 (Maximum) auf und ermöglicht es Remote-Angreifern, auf privilegierte interne Funktionalität zuzugreifen, die ausschließlich für die interne Nutzung bestimmt ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der von ihm verwalteten Daten vollständig kompromittieren.
Technische Details
Die Schwachstelle betrifft interne Funktionalität des VeloCloud Orchestrators, die nicht für den Remote-Zugang vorgesehen war. Ein Angreifer kann diese Schwachstelle ausnutzen, um unberechtigt auf privilegierte Systemkomponenten zuzugreifen. Die betroffene Funktionalität wurde ausschließlich für interne Zwecke entwickelt und ist nicht für eine externe Erreichbarkeit konzipiert.
Die Schwachstelle wurde extern entdeckt und ist aktiv exploitiert. Hosted- und Dedicated-Versionen des VCO wurden bereits im Vorfeld dieser Bekanntmeldung gepatcht.
Sofortiges Update: Aktualisieren Sie den VeloCloud Orchestrator On-Prem umgehend auf die entsprechende gepatchte Version (7.0.0.1, 6.4.2.4, 6.1.3.4 bzw. 5.2.3.14).
Netzwerksegregation: Stellen Sie sicher, dass der Orchestrator nicht direkt aus dem Internet erreichbar ist. Sperren Sie den Zugang auf autorisierte Netzwerke.
Monitoring: Überwachen Sie das System auf Anzeichen einer Kompromittierung, insbesondere ungewöhnliche Zugriffsmuster auf interne Schnittstellen.
Notfallmaßnahmen: Falls ein Update kurzfristig nicht möglich ist, isolieren Sie den betroffenen Orchestrator vom Netzwerk.
Fortinet FortiOS – Umgehung des Symbolischen-Link-Patches
Remote-Schwachstelle in FortiOS ermöglicht die Umgehung eines Patches für die Symbolische-Link-Persistenz. Betroffen sind mehrere Versionen von FortiOS.
Affected:Fortinet FortiOS 7.6.0 bis 7.6.1, Fortinet FortiOS 7.4.0 bis 7.4.6...
Patch verfügbar
CVE-2025-68686
CVSS: 5.3Medium
Fortinet FortiOS – Umgehung des Symbolischen-Link-Patches
Remote-Schwachstelle in FortiOS ermöglicht die Umgehung eines Patches für die Symbolische-Link-Persistenz. Betroffen sind mehrere Versionen von FortiOS.
Zusammenfassung
Eine Schwachstelle der Kategorie CWE-200 (Exposure of Sensitive Information) wurde in mehreren Versionen von Fortinet FortiOS entdeckt. Ein entfernter, nicht authentifizierter Angreifer kann über gefälschte HTTP-Anfragen die im Rahmen früherer Exploits implementierte Persistenz-Mechanismus für symbolische Links umgehen. Die Schwachstelle betrifft FortiOS-Versionen von 6.4.0 bis 7.6.1.
Technische Details
Die Schwachstelle betrifft die Persistenz-Mechanismus für symbolische Links (Symbolic Link Persistency), die als Teil eines früheren Patches gegen bekannte post-Exploit-Szenarien implementiert wurde. Ein Angreifer, der über eine andere Schwachstelle bereits Zugang auf Dateisystem-Ebene erlangt hat, kann diesen Mechanismus über speziell gearbeitete HTTP-Anfragen umgehen.
Die Schwachstelle ist unter dem FortiGuard-PSIRT FG-IR-25-934 dokumentiert und wurde der CVE-ID CVE-2025-68686 zugewiesen. Der CVSS-Score liegt bei 5.3 (Medium).
Betroffene Systeme
Produkt
Betroffene Versionen
Fortinet FortiOS
7.6.0 bis 7.6.1
Fortinet FortiOS
7.4.0 bis 7.4.6
Fortinet FortiOS
7.2.0 (alle Versionen)
Fortinet FortiOS
7.0.0 bis 7.0.19
Fortinet FortiOS
6.4.0 bis 6.4.16
Empfehlungen und Maßnahmen
Patch aktualisieren: Aktualisieren Sie Ihr FortiOS auf die neueste verfügbare Version gemäß den Fortinet-Empfehlungen (FG-IR-25-934).
Zugriff einschränken: Stellen Sie sicher, dass die Verwaltungsoberfläche nicht öffentlich erreichbar ist.
Protokollierung überwachen: Überwachen Sie HTTP-Protokolle auf ungewöhnliche Anfragen.
Post-Exploit-Check: Führen Sie eine vollständige Sicherheitsüberprüfung durch, falls Ihr System kompromittiert wurde.
WAF-Richtlinien: Aktualisieren Sie Ihre Web Application Firewall Regeln zur Erkennung entsprechender Anfragen.
Betroffene Systeme:Fortinet FortiOS 7.6.0 bis 7.6.1, Fortinet FortiOS 7.4.0 bis 7.4.6, Fortinet FortiOS 7.2.0 (alle Versionen), Fortinet FortiOS 7.0.0 bis 7.0.19, Fortinet FortiOS 6.4.0 bis 6.4.16
Kein Exploit bekanntPatch verfügbar
CVE-2026-50522
CVSS: 9.8
Critical
CVE-2026-50522: Kritische Schwachstelle in Microsoft SharePoint
Schwere Deserialisierungsschwachstelle in Microsoft Office SharePoint ermöglicht Codeausführung durch Angreifer über das Netzwerk. CVSS-Score: 9.8.
Affected:Microsoft SharePoint Enterprise Server 2016 16.0.0 <16.0.5561.1001, Microsoft SharePoint Server Subscription Edition 16.0.0 <16.0.19725.20434...
Exploit bekanntPatch verfügbar
CVE-2026-50522
CVSS: 9.8Critical
CVE-2026-50522: Kritische Schwachstelle in Microsoft SharePoint
Schwere Deserialisierungsschwachstelle in Microsoft Office SharePoint ermöglicht Codeausführung durch Angreifer über das Netzwerk. CVSS-Score: 9.8.
Zusammenfassung
CVE-2026-50522 beschreibt eine kritische Sicherheitsschwachstelle in Microsoft Office SharePoint, die eine Deserialisierung nicht vertrauenswürdiger Daten ermöglicht. Ein entfernter, nicht autorisierter Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Code auf dem betroffenen System auszuführen. Der CVSS-Score liegt bei 9.8 von 10, was der Stufe "Critical" entspricht.
Technische Details
Die Schwachstelle betrifft den Deserialisierungsmechanismus in Microsoft SharePoint. Durch das Einlesen nicht vertrauenswürdiger Daten kann ein Angreifer mithilfe von speziell aufgebauten Payloads die Ausführung beliebigen Codes auf dem Server erzwingen. Der Angriff erfolgt Netzwerk-basiert und erfordert keine lokale Authentifizierung. Aufgrund der Natur der Schwachstelle (Remote Code Execution via Insecure Deserialization) ist die Ausnutzung mit einem hohen Angriffserfolg zu rechnen.
Betroffene Systeme
Folgende Microsoft SharePoint-Versionen sind betroffen:
Microsoft SharePoint Enterprise Server 2016 — Version 16.0.0 older than 16.0.5561.1001
Microsoft SharePoint Server Subscription Edition — Version 16.0.0 older than 16.0.19725.20434
Microsoft SharePoint Server 2019 — Version 16.0.0 older than 16.0.10417.20175
Empfehlungen und Maßnahmen
Sofortiges Patchen: Installieren Sie die verfügbaren Sicherheitsupdates von Microsoft für die jeweilige SharePoint-Version.
Zugriffsberechtigungen prüfen: Stellen Sie sicher, dass nur autorisierte Benutzer Netzwerkzugriff auf SharePoint-Server haben.
Monitoring: Überwachen Sie ungewöhnliche Aktivitäten auf den betroffenen SharePoint-Systemen.
Notfallplan: Bereiten Sie einen Incident-Response-Plan für den Fall der Ausnutzung vor.
Betroffene Systeme:Microsoft SharePoint Enterprise Server 2016 16.0.0 <16.0.5561.1001, Microsoft SharePoint Server Subscription Edition 16.0.0 <16.0.19725.20434, Microsoft SharePoint Server 2019 16.0.0 <16.0.10417.20175
Exploit bekanntPatch verfügbar
CVE-2026-16232
CVSS: 9.1
Critical
Check Point SmartConsole – Kritische Authentifizierungs-Umgehung (CVE-2026-16232)
Kritische Schwachstelle in Check Point SmartConsole erlaubt Authentifizierungs-Umgehung. Angreifer können unbemerkt Admin-Token erlangen und Sicherheitsrichtlinien ändern.
Affected:checkpoint Multi-Domain Security Management R81.20 with Jumbo Hotfix Take 158 or below, checkpoint Quantum Security Management R81.20 with Jumbo Hotfix Take 158 or below...
Exploit bekanntPatch verfügbar
CVE-2026-16232
CVSS: 9.1Critical
Check Point SmartConsole – Kritische Authentifizierungs-Umgehung (CVE-2026-16232)
Kritische Schwachstelle in Check Point SmartConsole erlaubt Authentifizierungs-Umgehung. Angreifer können unbemerkt Admin-Token erlangen und Sicherheitsrichtlinien ändern.
Zusammenfassung
Eine kritische Schwachstelle in der Anmeldeprozess-Implementierung von Check Point SmartConsole ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, einen Application-Login-Token zu erlangen und sich mit vollen administrativen Berechtigungen anzumelden. Check Point bestätigt, dass diese Schwachstelle aktiv ausgenutzt wird und eine sehr kleine Zahl an Kunden betroffen ist.
Technische Details
Die Schwachstelle (CVSS 9.1) betrifft den Authentifizierungsmechanismus von Check Point SmartConsole. Ein Angreifer kann den Login-Prozess umgehen, ohne gültige Anmeldedaten eingeben zu müssen. Damit erhält er einen gültigen Application-Login-Token, der volle administrative Berechtigungen auf dem Management Server gewährt.
Mit diesen Berechtigungen kann ein Angreifer:
Sicherheitsrichtlinien (Security Policies) ändern
Sicherheitskonfigurationen verändern
Netzwerkzugriffsregeln manipulieren
Eine Fernausnutzung erfordert Zugang zur IP-Adresse des Management Servers sowie eine Konfiguration, die keine Einschränkungen für Trusted Clients enthält. Der Angreifer benötigt also Netzwerkzugriff auf den Management-Server.
Betroffene Systeme
Folgende Check Point Produkte sind betroffen:
Produkt
Versionen
Multi-Domain Security Management
R81.20 mit Jumbo Hotfix Take 158 oder darunter
Multi-Domain Security Management
R82.10 mit Jumbo Hotfix Take 36 oder darunter
Multi-Domain Security Management
R82 mit Jumbo Hotfix Take 118 oder darunter
Multi-Domain Security Management
R81.10, R81, R80.30, R80.20, R80.10, R80 und R77.30
Quantum Security Management
R81.20 mit Jumbo Hotfix Take 158 oder darunter
Quantum Security Management
R82.10 mit Jumbo Hotfix Take 36 oder darunter
Quantum Security Management
R82 mit Jumbo Hotfix Take 118 oder darunter
Quantum Security Management
R81.10, R81, R80.30, R80.20, R80.10, R80 und R77.30
Empfehlungen und Maßnahmen
Sofort aktualisieren: Installieren Sie die neuesten Jumbo Hotfix Updates für Ihre jeweilige Version. Details finden Sie in SK185169.
Trusted Clients einschränken: Konfigurieren Sie den Management Server so, dass nur vertrauenswürdige Client-IP-Adressen auf die Verwaltungsoberfläche zugreifen können.
Netzwerksegmentierung prüfen: Stellen Sie sicher, dass der Management Server nicht direkt aus dem Internet erreichbar ist.
Zugriffsprotokolle überprüfen: Analysieren Sie Logs auf verdächtige Anmeldeversuche und ungewöhnliche Administrative-Aktionen.
Forensische Untersuchung: Bei Verdacht auf eine Kompromittierung sollte eine gründliche Sicherheitsanalyse durchgeführt werden.
Betroffene Systeme:checkpoint Multi-Domain Security Management R81.20 with Jumbo Hotfix Take 158 or below, checkpoint Quantum Security Management R81.20 with Jumbo Hotfix Take 158 or below, checkpoint Multi-Domain Security Management R82.10 with Jumbo Hotfix Take 36 or below, checkpoint Quantum Security Management R82 with Jumbo Hotfix Take 118 or below, checkpoint Multi-Domain Security Management R82 with Jumbo Hotfix Take 118 or below, checkpoint Multi-Domain Security Management R81.10, checkpoint Multi-Domain Security Management R81, checkpoint Multi-Domain Security Management R80.30, checkpoint Multi-Domain Security Management R80.20, checkpoint Multi-Domain Security Management R80.10, checkpoint Multi-Domain Security Management R80, checkpoint Multi-Domain Security Management R77.30, checkpoint Quantum Security Management R82.10 with Jumbo Hotfix Take 36 or below, checkpoint Quantum Security Management R81.10, checkpoint Quantum Security Management R81, checkpoint Quantum Security Management R80.30, checkpoint Quantum Security Management R80.20, checkpoint Quantum Security Management R80.10, checkpoint Quantum Security Management R80, checkpoint Quantum Security Management R77.30
Exploit bekanntPatch verfügbar
CVE-2026-60137
CVSS: 5.9
Medium
SQL-Injection in WordPress: Autor-Bereich nicht ordnungsgemäß bereinigt
WordPress enthält eine SQL-Injection-Schwachstelle im parameter author__not_in von WP_Query. Ein Angreifer kann Daten aus der Datenbank auslesen oder manipulieren, wenn Plugins oder Themes unsaubere Eingaben weiterleiten.
Affected:WordPress Foundation WordPress 6.8.0 <6.8.6, WordPress Foundation WordPress 6.9.0 <6.9.5...
Exploit bekanntPatch verfügbar
CVE-2026-60137
CVSS: 5.9Medium
SQL-Injection in WordPress: Autor-Bereich nicht ordnungsgemäß bereinigt
WordPress enthält eine SQL-Injection-Schwachstelle im parameter author__not_in von WP_Query. Ein Angreifer kann Daten aus der Datenbank auslesen oder manipulieren, wenn Plugins oder Themes unsaubere Eingaben weiterleiten.
Zusammenfassung
Eine SQL-Injection-Schwachstelle in WordPress betrifft mehrere Versionen des beliebten CMS. Das Problem liegt in der unzureichenden Bereinigung des Parameters author__not_in in der WP_Query-Klasse. Durchgeleitete unsaubere Eingaben können dazu führen, dass Angreifer beliebige SQL-Befehle auf die Datenbank ausführen.
CVSS-Score: 5.9 (Medium)
Technische Details
Der Parameter author__not_in in WP_Query wird nicht ordnungsgemäß bereinigt. Wenn ein Plugin oder Theme unsichere Benutzereingaben an diesen Parameter übergibt, kann ein Angreifer SQL-Injections-Angriffe durchführen. Dies ermöglicht potenziell das Auslesen, Verändern oder Löschen von Datenbankinhalten.
Die Schwachstelle betrifft die Kernkomponente des WordPress-Abfragesystems und kann über jede Schnittstelle ausgenutzt werden, die den betroffenen Parameter mit unkontrollierten Daten füttert.
Betroffene Systeme
Hersteller
Produkt
Betroffene Versionen
WordPress Foundation
WordPress 6.8.x
6.8.0 – 6.8.5
WordPress Foundation
WordPress 6.9.x
6.9.0 – 6.9.4
WordPress Foundation
WordPress 7.0.x
7.0.0 – 7.0.1
Empfehlungen und Maßnahmen
Sofort updaten: Aktualisieren Sie WordPress auf eine der gepatchten Versionen:
WordPress 6.8.6
WordPress 6.9.5
WordPress 7.0.2
Plugins und Themes prüfen: Stellen Sie sicher, dass installierte Erweiterungen keine unsicheren Eingaben an den author__not_in-Parameter weiterleiten.
Web Application Firewall (WAF): Nutzen Sie ein WAF, um SQL-Injection-Versuche vorübergehend abzufangen, bis ein Update durchgeführt werden kann.
Datenbank-Backups: Erstellen Sie vor dem Update ein vollständiges Backup der Datenbank.
Betroffene Systeme:WordPress Foundation WordPress 6.8.0 <6.8.6, WordPress Foundation WordPress 6.9.0 <6.9.5, WordPress Foundation WordPress 7.0.0 <7.0.2
Exploit bekanntPatch verfügbar
CVE-2026-0770
CVSS: 9.8
Critical
CVE-2026-0770: Kritische RCE-Lücke in Langflow
Kritische Remote-Code-Execution-Lücke in Langflow. Angreifer können ohne Authentifizierung beliebigen Code als root ausführen.
Affected:langflow-ai langflow 1.4.2
Patch verfügbar
CVE-2026-0770
CVSS: 9.8Critical
CVE-2026-0770: Kritische RCE-Lücke in Langflow
Kritische Remote-Code-Execution-Lücke in Langflow. Angreifer können ohne Authentifizierung beliebigen Code als root ausführen.
Zusammenfassung
CVE-2026-0770 ist eine kritische Remote-Code-Execution-Schwachstelle (CVSS 9.8) in der Open-Source-Plattform Langflow. Das Vulnerability ermöglicht es einem Angreifer, ohne Authentifizierung beliebigen Code auf betroffenen Systemen auszuführen. Das Sicherheitsproblem wurde vom Zero Day Initiative (ZDI) unter der Bezeichnung ZDI-CAN-27325 entdeckt und am 9. Januar 2026 im Rahmen eines Zero-Day-Advisories veröffentlicht.
Technische Details
Die Schwachstelle liegt in der Verarbeitung des Parameters exec_globals im Validate-Endpunkt von Langflow. Durch die Einbeziehung einer Ressource aus einer nicht vertrauenswürdigen Kontrollsphäre (CWE-829) kann ein Angreifer beliebigen Programmcode einschleusen.
Der Angreifer sendet einen manipulierten Request an den Validate-Endpunkt mit einem entsprechend präparierten exec_globals-Parameter. Da die Eingabe nicht ausreichend validiert und sandboxed wird, wird der eingeschleuste Code im Kontext des Langflow-Prozesses ausgeführt — mit Root-Rechten.
Das Vulnerability betrifft ausschließlich Langflow in der Version 1.4.2. Andere Versionen sind ebenfalls potenziell betroffen, wurden aber bisher nicht offiziell bestätigt.
Empfehlungen und Maßnahmen
Kein Patch verfügbar
Zum Zeitpunkt der Veröffentlichung (9. Januar 2026) liegt kein offizieller Patch des Herstellers vor. Das ZDI-Beratungsprotokoll zeigt, dass der Hersteller über das Vulnerability informiert wurde (Bericht: 18. Juli 2025), jedoch bis zur Veröffentlichung keinen Fix bereitgestellt hat.
Sofortige Maßnahmen
Netzzugang einschränken: Beschränken Sie den Zugriff auf Langflow-Instanzen auf vertrauenswürdige Netzwerke. Der Validate-Endpunkt sollte nicht öffentlich erreichbar sein.
Reverse-Proxy/Authentifizierung: Stellen Sie eine zusätzliche Authentifizierungsebene (z. B. HTTP Basic Auth, OAuth, oder VPN) vor dem Validate-Endpunkt bereit.
Monitoring: Überwachen Sie ungewöhnliche Anfragen an den Validate-Endpunkt, insbesondere solche mit exec_globals-Parametern.
Isolation: Sorgen Sie dafür, dass Langflow-Instanzen in isolierten Umgebungen (Container, VM) laufen, um die Auswirkungen eines erfolgreichen Angriffs zu begrenzen.
Vendor-Updates verfolgen: Überwachen Sie das offizielle Langflow-Repository und die ZDI-Seite auf Patch-Informationen.
Langfristige Maßnahmen
Evaluieren Sie, ob Langflow für produktive Systeme geeignet ist oder ob eine Alternative in Frage kommt.
Implementieren Sie regelmäßige Sicherheitsprüfungen für alle eingesetzten Open-Source-Komponenten.
Schwachstelle in DD-WRT UPnP erlaubt Remote-Buffer-Overflow
Eine unsichere strcpy-Funktion im UPnP-Modul von DD-WRT vor Version 45724 ermöglicht es einem unauthentifizierten Angreifer, einen Buffer-Overflow auszulösen. Der Angriff erfordert aktiviertes UPnP, das standardmäßig deaktiviert ist.
Affected:embeDD GmbH DD-WRT <45724
Exploit bekanntPatch verfügbar
CVE-2021-27137
CVSS: 8.1High
Schwachstelle in DD-WRT UPnP erlaubt Remote-Buffer-Overflow
Eine unsichere strcpy-Funktion im UPnP-Modul von DD-WRT vor Version 45724 ermöglicht es einem unauthentifizierten Angreifer, einen Buffer-Overflow auszulösen. Der Angriff erfordert aktiviertes UPnP, das standardmäßig deaktiviert ist.
Zusammenfassung
In der UPnP-Implementierung von DD-WRT (Datei router/upnp/src/ssdp.c) wurde eine unsichere strcpy-Funktion entdeckt, die einen Remote-Buffer-Overflow ermöglicht. Ein Angreifer kann eine manipulierte M-SEARCH-Anfrage senden, um einen internen Festpuffer zu überlaufen. Der Angriff ist nur erfolgreich, wenn der DD-WRT-Nutzer UPnP aktiviert hat.
Die Schwachstelle wurde in DD-WRT Revision 45724 behoben und ist dem Botnetzwerk c0xmo (Gafgyt-Variante) zugeordnet, das diese Schwachstelle aktiv ausnutzt.
Technische Details
Eigenschaft
Wert
CVE-ID
CVE-2021-27137
CVSS-Score
8.1 (High)
Betroffene Funktion
ssdp_msearch in router/upnp/src/ssdp.c
Angriffsvektor
Unauthentifizierter Fernzugriff über M-SEARCH-Anfrage
Voraussetzung
UPnP muss aktiviert sein
Standardkonfiguration
UPnP ist deaktiviert, nur auf internen Interfaces hörbar
Der Angriff nutzt eine fehlerhafte Speicherzuweisung in der SSDP-Behandlung (Simple Service Discovery Protocol). Durch das Überschreiben des internen Buffers kann potenziell beliebiger Code ausgeführt werden.
Aktive Nutzung: Das Botnetzwerk c0xmo (Gafgyt-Variante) nutzt diese Schwachstelle aktiv zur Verbreitung. Laut Sicherheitsberichten tötet c0xmo rivalisierende Malware auf infizierten Geräten und übernimmt die Kontrolle.
Betroffene Systeme
Produkt
Version
embeDD GmbH DD-WRT
Alle Versionen vor Revision 45724
Hinweis: Andere Router-Firmware-Familien, die DD-WRT-Codebases verwenden, können ebenfalls betroffen sein.
Empfehlungen und Maßnahmen
Sofortiges Update: Aktualisieren Sie DD-WRT auf Revision 45724 oder höher.
UPnP deaktivieren: Sofern UPnP nicht benötigt wird, deaktivieren Sie es in den Router-Einstellungen (dies ist die Standardeinstellung).
Netzwerküberwachung: Überwachen Sie auf ungewöhnliche SSDP-Traffic-Muster und verdächtige Aktivitäten im lokalen Netzwerk.
Netzwerksegmentierung: Stellen Sie sicher, dass Router-Management-Schnittstellen nicht aus dem Internet erreichbar sind.
Kritische Schwachstelle in WordPress – SQL Injection & RCE via REST API
Eine kritische Schwachstelle in WordPress kombiniert einen REST API Route-Confusion-Fehler mit einer SQL-Injection (CVE-2026-60137), die einen Remote Code Execution ermoeglicht. Betroffen sind WordPress 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2.
Affected:WordPress Foundation WordPress 6.9.0 <6.9.5, WordPress Foundation WordPress 7.0.0 <7.0.2
Exploit bekanntPatch verfügbar
CVE-2026-63030
CVSS: 9.8Critical
Kritische Schwachstelle in WordPress – SQL Injection & RCE via REST API
Eine kritische Schwachstelle in WordPress kombiniert einen REST API Route-Confusion-Fehler mit einer SQL-Injection (CVE-2026-60137), die einen Remote Code Execution ermoeglicht. Betroffen sind WordPress 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2.
Zusammenfassung
Eine kritische Schwachstelle (CVSS 9.8) in WordPress wurde entdeckt, die einen Route-Confusion-Fehler im REST-API-Batch-Endpunkt mit einer SQL-Injection in der author__not_in WP_Query-Komponente (CVE-2026-60137) kombiniert. Ein Angreifer kann dadurch beliebige SQL-Befehle ausfuehren und Remote Code Execution auf dem Zielserver erlangen.
Die Schwachstelle betrifft WordPress-Versionen 6.9.x vor 6.9.5 sowie 7.0.x vor 7.0.2 und wurde vom WordPress-Sicherheitsteam bestaetigt.
Technische Details
Der Fehler besteht in einem Route-Confusion-Problem im REST-API-Batch-Endpunkt von WordPress. Dieser Endpunkt ermoeglicht das Bündeln mehrerer API-Aufrufe in einer einzigen HTTP-Anfrage. Durch eine fehlerhafte Zuordnung der internen Routen kann ein Angreifer Anfragen manipulieren, um aufปกchtig geschuetzte WP_Query-Parameter zuzugreifen.
Insbesondere die author__not_in-Parameter-Kombination ist von einer SQL-Injection betroffen (CVE-2026-60137). Durch geschickte Manipulation der SQL-Query kann ein Angreifer:
Daten aus der WordPress-Datenbank auslesen
Beliebige Dateien auf dem Server schreiben oder lesen
Remote Code Execution ausfuehren
Der Angriff erfordert keine vorherige Authentifizierung und kann vollstaendig ferngesteuert durchgefuehrt werden.
Betroffene Systeme
Produkt
Betroffene Versionen
Gesicherte Version
WordPress
6.9.0 – 6.9.4
6.9.5
WordPress
7.0.0 – 7.0.1
7.0.2
Empfehlungen und Massnahmen
Sofortiges Update: Aktualisieren Sie WordPress umgehend auf die jeweils neueste Version (6.9.5 oder 7.0.2).
Notfallmassnahmen: Falls ein Update kurzfristig nicht moeglich ist, deaktivieren Sie das REST-API-Batch-Endpunkt voruebergehend oder schraenken Sie den Zugriff per .htaccess/Nginx-Konfiguration ein.
Zugriff ueberpruefen: Untersuchen Sie die Server-Logs auf verdaechtige Aktivitaeten, insbesondere ungewoehnliche POST-Anfragen an /wp-json/-Endpunkte.
Sicherheitsaudit: Fuehren Sie eine vollstaendige Sicherheitspruefung des Systems durch, um moegliche Compromittierungen auszuschliessen.
Backup wiederherstellen: Falls ein Angriff stattgefunden hat, stellen Sie das System aus einem bekannten sauberen Backup wieder her.
Betroffene Systeme:WordPress Foundation WordPress 6.9.0 <6.9.5, WordPress Foundation WordPress 7.0.0 <7.0.2
Exploit bekanntPatch verfügbar
CVE-2026-56155
CVSS: 7.8
High
Schwachstelle in AD FS ermöglicht lokale Rechteerweiterung
Unzureichende Zugriffskontrolle in Active Directory Federation Services (AD FS) erlaubt lokalen Rechteerweiterung durch autorisierte Angreifer. Betroffen sind mehrere Windows-Server- und Windows-10-Versionen.
Affected:Microsoft Windows 10 Version 1809 < 10.0.17763.9020, Microsoft Windows 10 Version 1607 < 10.0.14393.9339...
Patch verfügbar
CVE-2026-56155
CVSS: 7.8High
Schwachstelle in AD FS ermöglicht lokale Rechteerweiterung
Unzureichende Zugriffskontrolle in Active Directory Federation Services (AD FS) erlaubt lokalen Rechteerweiterung durch autorisierte Angreifer. Betroffen sind mehrere Windows-Server- und Windows-10-Versionen.
Zusammenfassung
Microsoft hat eine Schwachstelle in Active Directory Federation Services (AD FS) veröffentlicht, die eine lokale Rechteerweiterung ermöglicht. Die Schwachstelle mit der Bezeichnung CVE-2026-56155 betrifft die Zugriffskontrolle und wurde mit einem CVSS-Score von 7.8 (High) bewertet. Ein autorisierter Angreifer kann die unzureichende Granularität der Zugriffskontrolle ausnutzen, um lokale Privilegien zu erweitern.
Die Schwachstelle betrifft ein breites Spektrum an Windows-Versionen, darunter Windows 10, Windows Server 2012 bis 2025 sowie diverse Server-Core-Installationen.
Die Schwachstelle liegt in der unzureichenden Granularität der Zugriffskontrolle innerhalb von AD FS. Ein Angreifer, der bereits autorisierten Zugriff auf das System hat, kann diese Schwachstelle ausnutzen, um seine lokalen Berechtigungen zu erweitern. Dies kann dazu führen, dass der Angreifer Zugriff auf sensible Daten erhält oder weitere Systeme innerhalb der Domäne kompromittieren kann.
Betroffene Systeme
Die folgenden Microsoft-Produkte sind von CVE-2026-56155 betroffen:
Microsoft Windows 10 Version 1809 — 10.0.17763.0 bis 10.0.17763.9020
Microsoft Windows 10 Version 1607 — 10.0.14393.0 bis 10.0.14393.9339
Microsoft Windows Server 2012 — 6.2.9200.0 bis 6.2.9200.26226
Microsoft Windows Server 2012 (Server Core) — 6.2.9200.0 bis 6.2.9200.26226
Microsoft Windows Server 2012 R2 → 6.3.9600.0 bis 6.3.9600.23291
Microsoft Windows Server 2012 R2 (Server Core) — 6.3.9600.0 bis 6.3.9600.23291
Microsoft Windows Server 2016 — 10.0.14393.0 bis 10.0.14393.9339
Microsoft Windows Server 2016 (Server Core) — 10.0.14393.0 bis 10.0.14393.9339
Microsoft Windows Server 2019 — 10.0.17763.0 bis 10.0.17763.9020
Microsoft Windows Server 2019 (Server Core) — 10.0.17763.0 bis 10.0.17763.9020
Microsoft Windows Server 2022 — 10.0.20348.0 bis 10.0.20348.5386
Microsoft Windows Server 2025 — 10.0.26100.0 bis 10.0.26100.33158
Microsoft Windows Server 2025 (Server Core) — 10.0.26100.0 bis 10.0.26100.33158
Empfehlungen und Maßnahmen
Sofortiges Patching: Installieren Sie die verfügbaren Sicherheitsupdates von Microsoft für die betroffenen Systeme. Eine Übersicht der Updates finden Sie im Microsoft Security Update Guide.
Zugriffsbeschränkungen prüfen: Überprüfen Sie die Zugriffsberechtigungen auf AD FS und minimieren Sie die Anzahl der Benutzer mit lokalem Zugriff auf Federation-Dienste.
Überwachung aktivieren: Aktivieren Sie eine Überwachung der AD FS-bezogenen Ereignisse, um potenzielle Exploit-Versuche frühzeitig zu erkennen.
Least-Principle anwenden: Stellen Sie sicher, dass Benutzer und Dienste nur die minimal notwendigen Berechtigungen besitzen.
Notfallplanung: Erstellen Sie einen Reaktionsplan für den Fall, dass die Schwachstelle in Ihrer Umgebung ausgenutzt wurde.
Betroffene Systeme:Microsoft Windows 10 Version 1809 < 10.0.17763.9020, Microsoft Windows 10 Version 1607 < 10.0.14393.9339, Microsoft Windows Server 2012 < 6.2.9200.26226, Microsoft Windows Server 2012 (Server Core) < 6.2.9200.26226, Microsoft Windows Server 2012 R2 < 6.3.9600.23291, Microsoft Windows Server 2012 R2 (Server Core) < 6.3.9600.23291, Microsoft Windows Server 2016 < 10.0.14393.9339, Microsoft Windows Server 2016 (Server Core) < 10.0.14393.9339, Microsoft Windows Server 2019 < 10.0.17763.9020, Microsoft Windows Server 2019 (Server Core) < 10.0.17763.9020, Microsoft Windows Server 2022 < 10.0.20348.5386, Microsoft Windows Server 2025 < 10.0.26100.33158, Microsoft Windows Server 2025 (Server Core) < 10.0.26100.33158
Kein Exploit bekanntPatch verfügbar
CVE-2026-25089
CVSS: 9.1
Critical
Kritische OS-Command-Injection in Fortinet FortiSandbox
Schwere OS Command-Injection-Schwachstelle in Fortinet FortiSandbox ermöglicht es unauthentifizierten Angreifern, über speziell konzipierte HTTP-Anfragen unbefugte Befehle auszuführen.
Kritische OS-Command-Injection in Fortinet FortiSandbox
Schwere OS Command-Injection-Schwachstelle in Fortinet FortiSandbox ermöglicht es unauthentifizierten Angreifern, über speziell konzipierte HTTP-Anfragen unbefugte Befehle auszuführen.
Zusammenfassung
Eine kritische Schwachstelle der Stärke CVSS 9.1 wurde in mehreren Versionen von Fortinet FortiSandbox entdeckt. Es handelt sich um eine OS Command Injection (CWE-78), die es einem unauthentifizierten Angreifer ermöglicht, über speziell konzipierte HTTP-Anfragen beliebige Systembefehle auf dem betroffenen System auszuführen. Die Schwachstelle betrifft sowohl On-Premises-Installationen als auch Cloud- und PaaS-Varianten.
Technische Details
Eigenschaft
Wert
CVE-ID
CVE-2026-25089
CVSS-Score
9.1 (Critical)
CWE
CWE-78 — Improper Neutralization of Special Elements used in an OS Command
Angriffstyp
OS Command Injection
Voraussetzung
Keine Authentifizierung erforderlich
Vektor
Speziell konzipierte HTTP-Anfragen
Die Schwachstelle liegt in der fehlerhaften Neutralisierung spezieller Eingabeelemente, die in OS-Befehlen verwendet werden. Ein Angreifer kann über manipulierte HTTP-Anfragen eigene Befehle einschleusen, die dann mit den Berechtigungen des FortiSandbox-Prozesses ausgeführt werden. Da keine vorherige Authentifizierung erforderlich ist, ist die Angriffsfläche besonders groß.
Betroffene Systeme
Produkt
Betroffene Versionen
Fortinet FortiSandbox
4.2.0 bis 4.2.8
Fortinet FortiSandbox
4.4.0 bis 4.4.8
Fortinet FortiSandbox
5.0.0 bis 5.0.5
Fortinet FortiSandbox Cloud
5.0.4 bis 5.0.5
Fortinet FortiSandbox PaaS
5.0.4 bis 5.0.5
Empfehlungen und Maßnahmen
Sofortiges Update — Aktualisieren Sie betroffene FortiSandbox-Installationen auf die neueste verfügbare Version. Fortinet stellt Patches über den PSIRT Advisory FG-IR-26-141 bereit.
Network Segmentation — Stellen Sie sicher, dass FortiSandbox-Instanzen nicht direkt aus dem Internet erreichbar sind, bis ein Update durchgeführt werden kann.
Zugriffskontrolle — Überprüfen Sie Firewall-Regeln und beschränken Sie den Zugriff auf die Verwaltungsschnittstelle auf autorisierte Netzwerke.
Überwachung — Prüfen Sie Logs auf verdächtige HTTP-Anfragen, die auf einen Exploit-Versuch hindeuten könnten.
Patch-Verfügbarkeit — Fortinet hat Patches für alle betroffenen Versionen bereitgestellt. Details finden sich im offiziellen Advisory.
Microsoft SharePoint: Kritische Schwachstelle in der Serialisierung ermöglicht Codeausführung
Schwere Deserialisierungsschwachstelle in Microsoft SharePoint erlaubt entfernte Codeausführung mit Cvss 9.8 – aktiver Exploit bekannt.
Affected:Microsoft SharePoint Server Subscription Edition 16.0.0 <16.0.19725.20384, Microsoft SharePoint Server 2019 16.0.0 <16.0.10417.20153...
Patch verfügbar
CVE-2026-58644
CVSS: 9.8Critical
Microsoft SharePoint: Kritische Schwachstelle in der Serialisierung ermöglicht Codeausführung
Schwere Deserialisierungsschwachstelle in Microsoft SharePoint erlaubt entfernte Codeausführung mit Cvss 9.8 – aktiver Exploit bekannt.
Microsoft SharePoint: Deserialisierung unsicherer Daten ermöglicht Codeausführung
Zusammenfassung
CVE-2026-58644 ist eine kritische Schwachstelle in Microsoft Office SharePoint, die auf der Deserialisierung unsicherer Daten basiert. Ein Angreifer ohne vorherige Authentifizierung kann über das Netzwerk beliebigen Code auf dem SharePoint-Server ausführen. Der CVSS-Score liegt bei 9.8 (Critical) und es gibt bekannte Exploits im Umlauf.
Microsoft hat die Schwachstelle am 14. Juli 2026 im Rahmen von Patch Tuesday veröffentlicht und einen offiziellen Fix bereitgestellt.
Die Schwachstelle betrifft die Deserialisierung von Daten in SharePoint. Ein Angreifer, der mindestens als Site Owner authentifiziert ist, kann über einen network-basierten Angriff beliebigen Code auf dem SharePoint-Server injizieren und remote ausführen. Die geringe Angriffskomplexität (AC:L) bedeutet, dass der Angreifer keine speziellen Vorkenntnisse über das System benötigt und den Angriff mit hoher Erfolgsquote wiederholen kann.
Die Schwachstelle wurde als Teil der regulären Sicherheitsupdates (Patch Tuesday) veröffentlicht, war jedoch ursprünglich versehentlich nicht in der Veröffentlichung vom Juli 2026 enthalten und wurde am 15. Juli 2026 korrigiert.
Betroffene Systeme
Produkt
Betroffene Version
Aktuelle Version
Microsoft SharePoint Server Subscription Edition
16.0.0 bis < 16.0.19725.20384
16.0.19725.20384
Microsoft SharePoint Server 2019
16.0.0 bis < 16.0.10417.20153
16.0.10417.20153
Microsoft SharePoint Enterprise Server 2016
16.0.0 bis < 16.0.5556.1005
16.0.5556.1005
Hinweis: Für SharePoint Server 2016 und SharePoint Enterprise Server 2016 gilt dieselbe KB-Nummer. Kunden beider Versionen sollten das Sicherheitsupdate installieren.
Empfehlungen und Maßnahmen
Sofortmaßnahmen
Sicherheitsupdate installieren: Installieren Sie das relevante Microsoft-Sicherheitsupdate für Ihre SharePoint-Version umgehend. Die Updates sind über den Microsoft Security Update Guide oder Windows Update verfügbar.
Netzwerkzugriff einschränken: Begrenzen Sie den Zugriff auf SharePoint-Server auf vertrauenswürdige Netzwerke, solange das Patch nicht installiert ist.
Berechtigungen überprüfen: Stellen Sie sicher, dass nur autorisierte Benutzer die Rolle „Site Owner" innehaben, da der Angriff mindestens diese Berechtigung erfordert.
Kurzfristige Maßnahmen
Logging und Monitoring: Überwachen Sie SharePoint-Logs auf verdächtige Aktivitäten, insbesondere auf ungewöhnliche Serialisierungsvorgänge.
Incident Response: Bei Verdacht einer Kompromittierung: SharePoint-Server isolieren, Forensik durchführen und Microsoft Support kontaktieren.
Langfristige Maßnahmen
Patch-Management: Stellen Sie sicher, dass ein regelmäßiges Patch-Management etabliert ist, um zukünftige Sicherheitsupdates zeitnah einzuspielen.
Least Privilege: Überprüfen und reduzieren Sie Berechtigungen auf SharePoint-Ebene nach dem Prinzip der minimalen Berechtigung.
Betroffene Systeme:Microsoft SharePoint Server Subscription Edition 16.0.0 <16.0.19725.20384, Microsoft SharePoint Server 2019 16.0.0 <16.0.10417.20153, Microsoft SharePoint Enterprise Server 2016 16.0.0 <16.0.5556.1005
Kein Exploit bekanntPatch verfügbar
CVE-2026-39808
CVSS: 9.1
Critical
Kritische Schwachstelle in Fortinet FortiSandbox – OS Command Injection (CVE-2026-39808)
In Fortinet FortiSandbox 4.4.0 bis 4.4.8 existiert eine OS Command Injection-Schwachstelle über die API, die es einem nicht authentifizierten Angreifer erlaubt, unbefugten Code auszuführen. Ein Patch ist verfügbar.
Kritische Schwachstelle in Fortinet FortiSandbox – OS Command Injection (CVE-2026-39808)
In Fortinet FortiSandbox 4.4.0 bis 4.4.8 existiert eine OS Command Injection-Schwachstelle über die API, die es einem nicht authentifizierten Angreifer erlaubt, unbefugten Code auszuführen. Ein Patch ist verfügbar.
Zusammenfassung
Eine kritische Schwachstelle der Schwereklasse Critical (CVSS 9.1) wurde in Fortinet FortiSandbox Version 4.4.0 bis 4.4.8 entdeckt. Die Schwachstelle (CWE-78) ermöglicht es einem nicht authentifizierten Angreifer über manipulierte HTTP-Anfragen an die API, beliebige Betriebssystembefehle auf dem Server auszuführen.
Die Schwachstelle wurde am 14. April 2026 veröffentlicht und unter verantwortungsvoller Offenlegung durch Samuel de Lucas Maroto (KPMG Spain) gemeldet. Es sind keine bekannten Exploits im Umlauf.
Technische Details
Eigenschaft
Wert
CVE-ID
CVE-2026-39808
CVSSv3-Score
9.1 (Critical)
Schwachstellart
OS Command Injection (CWE-78)
Betroffene Komponente
API
Angriffsvektor
Netzwerk (Network)
Authentifizierung erforderlich
Nein (Unauthenticated)
Bekannte Exploits
Keine
Schwereklasse
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Die Schwachstelle betrifft die API-Endpunkte von FortiSandbox. Ein Angreifer kann über speziell formulierte HTTP-Andräge Shell-Befehle einschleusen, da Eingaben nicht ausreichend neutralisiert werden.
Betroffene Systeme
Betroffene Versionen:
FortiSandbox 4.4.0 bis 4.4.8
Nicht betroffen:
FortiSandbox 5.0
FortiSandbox PaaS 5.0
Betroffene PaaS-Versionen:
FortiSandbox PaaS 21.3.4055
FortiSandbox PaaS 21.4.4072
FortiSandbox PaaS 22.1.4113
FortiSandbox PaaS 22.2.4134
FortiSandbox PaaS 22.2.4151
FortiSandbox PaaS 23.1.4245
FortiSandbox PaaS 23.3.4329
FortiSandbox PaaS 23.4.4350
FortiSandbox PaaS 23.4.4374
Empfehlungen und Maßnahmen
Sofortiges Update: Aktualisieren Sie FortiSandbox auf Version 4.4.9 oder höher. Dies ist der offizielle Fix von Fortinet.
PaaS-Kunden: FortiSandbox PaaS 5.0 ist nicht betroffen. Für ältere PaaS-Versionen sollte ein Upgrade auf die neueste Version erfolgen.
Zugriffskontrolle: Stellen Sie sicher, dass die API-Endpunkte von FortiSandbox nicht aus dem Internet erreichbar sind, bis das Update eingespielt wurde.
Überwachung: Überwachen Sie Ihre Systeme auf ungewöhnliche Aktivitäten und prüfen Sie Logs auf verdächtige API-Aufrufe.
CVE-2026-46817 ist eine kritische Sicherheitslücke in Oracle Payments (Bestandteil von Oracle E-Business Suite) mit einem CVSS-Score von 9.8. Ein entfernter, nicht authentisierter Angreifer kann über HTTP die Anwendung vollständig übernehmen und vertrauliche Daten einsehen, manipulieren oder die Verfügbarkeit beeinträchtigen.
CVE-2026-46817 ist eine kritische Sicherheitslücke in Oracle Payments (Bestandteil von Oracle E-Business Suite) mit einem CVSS-Score von 9.8. Ein entfernter, nicht authentisierter Angreifer kann über HTTP die Anwendung vollständig übernehmen und vertrauliche Daten einsehen, manipulieren oder die Verfügbarkeit beeinträchtigen.
Zusammenfassung
Am 28. Mai 2026 veröffentlichte Oracle im Rahmen des Critical Security Patch Update (CSPU) vom Mai 2026 einen Patch für die kritische Schwachstelle CVE-2026-46817 in der Komponente "File Transmission" des Oracle Payments-Moduls der Oracle E-Business Suite. Die Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer die vollständige Übernahme von Oracle Payments.
Bereits Ende Juni 2026, nur wenige Wochen nach Veröffentlichung des Patches, wurde aktive Ausnutzung der Schwachstelle in freier Wildbahn beobachtet – noch bevor ein öffentlicher Proof-of-Code verfügbar war. Sicherheitsexperten von Defused Cyber berichten von sechs unautorisierten Datei-Leseversuchen von einer einzelnen Quelle am 27. Juni 2026. Das Tool identifizierte sich als "ibytransmit-lab-poc/1.0".
Technische Details
Die Verwundbarkeit befindet sich im File Transmission Component von Oracle Payments. Sie beruht auf unzureichender Berechtigungsverwaltung (Improper Privilege Management). Der Angriff erfolgt über HTTP ohne Authentifizierung (CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
Die beobachteten Angriffe nutzten eine POST-Anfrage an ein spezifisches OA_HTML-Endpunkt mit einer XML-basierten Payload im Body. Über den Parameter FULL_FILE_PATH konnten beliebige Dateien vom Server gelesen werden. Dies deutet auf eine Path-Traversal- oder Directory-Traversal-Schwachstelle im Zusammenspiel mit einer fehlenden Authentifizierung hin.
CVSS 3.1 Base Score: 9.8 (Critical) CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Betroffene Systeme
Oracle E-Business Suite Versionen 12.2.3 bis 12.2.15
Oracle Payments (Component: File Transmission)
Empfehlungen und Maßnahmen
Sofort patchen: Oracle hat den Sicherheitspatch im Rahmen des May 2026 CSPU veröffentlicht. Betroffene Systeme sollten umgehend aktualisiert werden. Der Patch ist über My Oracle Support (MOS Note KA923) verfügbar.
Netzwerkzugriff beschränken: Bis zur Installation des Patches sollte der HTTP-Zugriff auf Oracle Payments auf vertrauenswürdige Quellen beschränkt werden.
Überwachung: Systeme auf Anzeichen von Kompromittierung prüfen, insbesondere ungewöhnliche POST-Anfragen an OA_HTML-Endpunkte mit XML-Payloads.
Version prüfen: Oracle empfiehlt, nur noch aktiv supported Versionen einzusetzen und Sicherheitsupdates unverzüglich einzuspielen. Versionen außerhalb von Premier Support oder Extended Support werden nicht mehr getestet.
Da aktive Ausnutzung in freier Wildbahn bestätigt wurde, ist höchste Dringlichkeit geboten.
