Verständlich erklärt: Was ist passiert, wer ist betroffen und wie du dich sofort schützt.
Warnung
Bösartige Claude‑Code‑Erweiterung für Cursor legt SSH‑Backdoors an
Eine gefälschte Version der Claude‑Code‑Erweiterung wurde im Cursor‑Marketplace verbreitet und installierte bei etwa 5 000 Entwicklern ein SSH‑Backdoor‑Modul, das dauerhaften Zugriff ermöglicht.
Die Gefahr betrifft hauptsächlich Entwickler, die VS‑Code‑Erweiterungen aus inoffiziellen Quellen installieren – ein Szenario, das auch Hobby‑Programmierer und Technik‑Interessierte betrifft.
Lösung: Entfernen Sie die verdächtige Erweiterung sofort, prüfen Sie Ihr System mit einem aktuellen Antiviren‑Programm, ändern Sie alle SSH‑Passwörter und aktivieren Sie, falls möglich, Schlüssel‑basierte Authentifizierung. Verwenden Sie künftig nur offizielle Erweiterungen aus dem VS‑Code‑Marketplace.
Verdacht auf Implantat in Trezor Safe‑5‑Hardware‑Wallet
Trezor hat Hinweise erhalten, dass bei einigen Safe‑5‑Geräten ein manipuliertes Bauteil eingebaut sein könnte, das heimlich Kryptowährungen aus dem Wallet abfließen lässt.
Betroffen sind Besitzer des Trezor Safe‑5, die das Gerät über den betroffenen Reseller in Südostasien erworben haben – insbesondere Nutzer, die große Mengen an Kryptowährungen speichern.
Handeln Sie sofort: Trennen Sie das Gerät vom Strom, übertragen Sie vorhandene Guthaben auf ein sicheres Wallet, prüfen Sie die Seriennummer auf der offiziellen Trezor‑Website und kontaktieren Sie den Support für ein Austauschgerät.
SS7‑ und Diameter‑Angriffe ermöglichen Telefonüberwachung
Durch Schwachstellen in den Mobilfunk‑Signalisierungsprotokollen SS7 und Diameter können Angreifer ohne physischen Zugriff Standortdaten, Anrufe und SMS‑Verifizierungsnachrichten abfangen oder manipulieren.
Betroffen sind alle Mobilfunknutzer, die über öffentliche Netze telefonieren oder SMS‑basierten Zwei‑Faktor‑Login nutzen – unabhängig vom Anbieter oder Gerät.
Empfehlung: Aktivieren Sie, wo möglich, App‑basierte Authentifizierung (z. B. Authenticator‑Apps) statt SMS‑Codes, nutzen Sie Ende‑zu‑Ende‑Verschlüsselung für Gespräche und prüfen Sie regelmäßig Ihre Kontoeinstellungen auf unautorisierte Weiterleitungen.
Binance verknüpft 6,3 Mrd. $ Verlust mit kompromittiertem DevOps‑Laptop
Binance hat bekannt gegeben, dass ein Angriff auf den Laptop eines DevOps‑Mitarbeiters zu einem Diebstahl von rund 6,3 Milliarden US‑Dollar an Kryptowährungen führte. Durch die Kompromittierung konnten Angreifer auf interne Schlüssel und Konten zugreifen.
Betroffen sind Binance‑Kunden, insbesondere solche mit großen Beständen, sowie alle Nutzer von Krypto‑Börsen, die ähnliche Zugriffsprozesse nutzen. Der Vorfall zeigt das Risiko von Insider‑Bedrohungen und unsicheren Endgeräten.
Nutzer sollten ihre Konten mit starkem Passwort und 2‑Faktor‑Authentifizierung schützen, regelmäßige Sicherheitsüberprüfungen durchführen und verdächtige Aktivitäten sofort melden. Börsen werden aufgefordert, strengere Zugriffsrichtlinien und Gerätekontrollen einzuführen.
Microsoft behebt VPN‑Probleme nach fehlerhaften Windows 11‑Updates
Nach den Windows 11‑Sicherheitsupdates vom September 2026 kam es bei vielen Geräten zu Verbindungsabbrüchen des Always‑On‑VPN. Das Problem betraf die Handhabung von Netzwerkpaketen und führte dazu, dass VPN‑Verbindungen nicht mehr aufgebaut wurden.
Betroffen sind Windows‑11‑Nutzer, insbesondere Unternehmen und Remote‑Arbeiter, die auf Always‑On‑VPN angewiesen sind. Auch private Nutzer, die VPN‑Dienste auf Windows 11 nutzen, können die Störung erleben.
Microsoft hat mit einem Patch das Problem behoben. Nutzer sollten die neuesten Windows‑Updates installieren und anschließend die VPN‑Verbindung testen. Bei anhaltenden Problemen empfiehlt sich die Rückkehr zu vorherigen VPN‑Clients oder die Kontaktaufnahme mit dem IT‑Support.
CISA warnt: GitLab‑Sicherheitslücke mit maximaler Schwere wird aktiv ausgenutzt
CISA hat bestätigt, dass eine als „maximale Schwere“ eingestufte Schwachstelle in GitLab Community und Enterprise Edition aktiv ausgenutzt wird. Die Lücke ermöglicht einen Integer‑Overflow, der zu einer vollständigen Systemübernahme führen kann.
Betroffen sind Betreiber von GitLab‑Instanzen, insbesondere Unternehmen und Entwickler, die selbstgehostete GitLab‑Server nutzen. Auch gehostete GitLab‑Dienste können indirekt betroffen sein, wenn sie nicht gepatcht sind.
Administratoren sollten sofort das neueste Update installieren, das die Schwachstelle schließt, und alle Zugriffstoken prüfen. Nutzer sollten starke Passwörter und 2‑Faktor‑Authentifizierung aktivieren sowie verdächtige Aktivitäten melden.
Ein Angreifer‑Team nutzt die Schwachstelle CVE‑2026‑20127 in Cisco Catalyst SD‑WAN‑Controllern, um die Authentifizierung zu umgehen und das Malware‑Framework KeyDrift zu installieren.
Unternehmen und Organisationen, die Cisco SD‑WAN‑Controller im Netzwerk einsetzen – auch kleinere Firmen mit Remote‑Standorten – sind direkt gefährdet.
Installieren Sie sofort die von Cisco bereitgestellten Sicherheitspatches, deaktivieren Sie nach Möglichkeit nicht benötigte Remote‑Management‑Funktionen und überwachen Sie das Netzwerk auf ungewöhnlichen Datenverkehr. Halten Sie alle Geräte stets auf dem neuesten Stand.
Binance untersucht möglichen Diebstahl von 5,8 Mrd. $ an Kryptowährungen
Binance meldet einen möglichen Sicherheitsvorfall, der bis zu 5,8 Billionen US‑Dollar an digitalen Assets auf der Plattform kompromittiert haben könnte. Die Untersuchung läuft, um Ausmaß und Ursache zu bestimmen.
Nutzer von Binance, insbesondere solche mit Guthaben oder laufenden Transaktionen, können von einem Verlust ihrer Kryptowährungen betroffen sein. Auch andere Börsen können durch Vertrauensverlust indirekt beeinträchtigt werden.
Überprüfen Sie regelmäßig Ihre Kontobewegungen, aktivieren Sie die Zwei‑Faktor‑Authentifizierung und verwenden Sie starke, einzigartige Passwörter. Lagern Sie größere Beträge nach Möglichkeit in eigenen Hardware‑Wallets und folgen Sie den offiziellen Anweisungen von Binance.
Microsoft behebt Remote‑Desktop‑Problem nach Windows‑Update
Microsoft hat ein Problem behoben, das nach neuesten Windows‑Updates dazu führte, dass nicht‑administrative Nutzer keine Remote‑Desktop‑Verbindung herstellen konnten, weil die Funktion „Administrator‑Protection“ blockierte.
Alle Windows 10/11‑Geräte, bei denen Remote‑Desktop genutzt wird – insbesondere Heim‑ und kleine‑Büro‑Nutzer, die über RDP auf ihren PC zugreifen.
Installieren Sie das aktuelle Windows‑Update über Windows Update. Alternativ können Sie die Einstellung „Administrator‑Protection“ vorübergehend deaktivieren, bis das Update angewendet ist.
Chrome‑Erweiterungen leiten Suchanfragen um – 13,4 Mio. Installationen
Sicherheitsforscher entdeckten 319 Chrome‑Erweiterungen, die zusammen über 13,4 Millionen Nutzer erreichen und Suchanfragen auf Werbe‑Tracking‑Server umleiten, um Klick‑Einnahmen zu generieren.
Alle Chrome‑Nutzer, die eine der betroffenen Erweiterungen installiert haben, sind potenziell betroffen, unabhängig vom Betriebssystem.
Überprüfen Sie Ihre installierten Erweiterungen, entfernen Sie unbekannte oder nicht mehr benötigte Add‑Ons und aktivieren Sie die Einstellung, nur Erweiterungen aus dem offiziellen Chrome Web Store zu erlauben. Alternativ können Sie einen anderen Browser oder zusätzliche Sicherheits‑Extensions nutzen, die das Verhalten überwachen.
Gefälschtes Krypto‑Trading‑App im Apple‑App‑Store – $23 000 Diebstahl
Das im Apple‑App‑Store verfügbare Fake‑App „Padre Terminal“ stellte sich als Krypto‑Handelsplattform dar, entführte jedoch private Schlüssel von mindestens 27 Solana‑Wallets und ermöglichte einen Diebstahl von rund 23 000 USD.
Betroffen sind iOS‑Nutzer, die das gefälschte Programm installiert und ihre Solana‑Wallets damit verbunden haben.
Deinstallieren Sie die App sofort, entfernen Sie die betroffenen Schlüssel, erstellen Sie neue Wallet‑Adressen und aktivieren Sie nach Möglichkeit eine Zwei‑Faktor‑Authentifizierung. Überprüfen Sie Ihr Apple‑Konto auf unautorisierte Käufe und melden Sie das App‑Listing bei Apple.
Japan Airlines – Datenleck bei Amadeus‑Passagierdatenbank
Ein unbefugter Zugriff auf das Amadeus‑Passagier‑Service‑System hat die Daten von rund 92.000 JAL‑Kunden offengelegt.
Betroffen sind Personen, die in den letzten Jahren mit Japan Airlines geflogen sind und deren Buchungs‑ und Kontaktdaten im System gespeichert waren.
Prüfen Sie, ob Sie von JAL eine Benachrichtigung erhalten haben, ändern Sie ggf. Passwörter bei verbundenen Konten, achten Sie auf Phishing‑Mails und erwägen Sie eine Kredit‑ bzw. Identitätsüberwachung.
Zero‑Day in Cisco ASA/FTD ermöglicht DoS‑Angriff auf SSL‑VPN
Eine bislang unbekannte Schwachstelle in Cisco Adaptive Security Appliance und Firepower Threat Defense kann von Angreifern ausgenutzt werden, um über das SSL‑VPN‑Interface einen Denial‑of‑Service auszulösen und die Appliance zum Absturz zu bringen.
Betroffen sind Kunden, die Cisco‑Firewalls mit aktivierten SSL‑VPN‑Funktionen betreiben – das betrifft viele Unternehmen und Remote‑Mitarbeitende, die über VPN auf das Firmennetzwerk zugreifen.
Sofort die von Cisco bereitgestellten Sicherheitspatches über das Cisco‑Security‑Portal installieren, SSL‑VPN‑Zugriff vorübergehend deaktivieren und das Netzwerk auf ungewöhnliche Verbindungsabbrüche überwachen.
Windows 11‑Update KB5127936 veröffentlicht – 41 Fehlerbehebungen
Microsoft hat das Vorschau‑Cumulative‑Update KB5127936 für Windows 11 25H2 und 26H2 veröffentlicht. Es enthält 41 Änderungen, darunter Verbesserungen im Datei‑Explorer und der Cloud‑Integration.
Alle Nutzerinnen und Nutzer, die Windows 11 25H2 oder 26H2 verwenden und das Update noch nicht installiert haben, sind betroffen.
Das Update über Windows Update installieren oder manuell von Microsoft herunterladen, anschließend das System neu starten und wichtige Daten gesichert halten.
PHP‑Schwachstelle "PHP2Shell" gefährdet Netzwerk‑Appliances und Router
Ein kürzlich entdecktes Sicherheitsproblem in PHP, das als "PHP2Shell" bezeichnet wird, ermöglicht Angreifern, Web‑Management‑Oberflächen von Firewalls, VPN‑Appliances und anderen Netzwerkgeräten zu kompromittieren.
Betroffen sind viele Router‑ und Firewall‑Modelle, die PHP‑basierte Admin‑Panels einsetzen – das schließt sowohl Unternehmens‑ als auch Heimanwender‑Geräte ein. Angreifer können dadurch Konfigurationen ändern oder Zugang zu internen Netzwerken erhalten.
Nutzer sollten die Firmware ihrer Netzwerkgeräte prüfen, verfügbare Updates sofort installieren und, falls möglich, den Fernzugriff auf Admin‑Oberflächen deaktivieren oder nur über VPN zulassen.
Microsoft rät zu Passkeys für Microsoft Entra ID, um Phishing zu verhindern
Microsoft fordert Administratoren von Entra ID, die Nutzer von Passkeys (Passwort‑freie Authentifizierung) ausrollen zu lassen. Passkeys basieren auf kryptographischen Schlüsseln und sind gegen Phishing‑Angriffe widerstandsfähig.
Alle Nutzer von Microsoft‑Diensten, die Entra ID verwenden – etwa Office 365, Azure oder Teams – sind von dieser Empfehlung betroffen. Das gilt besonders, weil SMS‑ und Sprach‑Authentifizierung ab Februar 2027 eingestellt wird.
Privatpersonen sollten prüfen, ob ihr Konto bereits Passkey‑Unterstützung bietet, die Option aktivieren und, falls nötig, die genutzten Authentifikatoren (z. B. Smartphone‑App) aktualisieren.
Sony ISP-Subsidiary: Datenleck mit 2,5 Mio. Kundenrecords
Sony Network Communications hat bestätigt, dass rund 2,5 Millionen Kundendatensätze bei einem Datenleck offengelegt wurden. Dabei handelt es sich um persönliche Informationen wie Namen, Adressen und Kontaktangaben.
Betroffen sind aktuelle und ehemalige Kunden des ISP‑Zweigs von Sony. Personen, deren Daten im Leak enthalten sind, erhalten in der Regel keine direkte Benachrichtigung, können jedoch durch Suchmaschinen oder Dark‑Web‑Monitoring-Tools darauf aufmerksam werden.
Betroffene sollten ihre Passwörter ändern, auf ungewöhnliche Aktivitäten in ihren Konten achten und, falls nötig, eine Kredit‑ oder Identitätsüberwachung in Anspruch nehmen.
CISA fügt kritische Google‑Brotli‑Lücke dem KEV‑Katalog hinzu
CISA hat die im Google‑Brotli‑Kompressionsmodul gefundene Schwachstelle (CVE‑2026‑48356) in den bekannten‑exploitierten‑Vulnerabilities‑Katalog (KEV) aufgenommen, weil aktive Angriffe gemeldet wurden.
Die Lücke betrifft Web‑Server und Anwendungen, die Brotli zur Datenkompression einsetzen – darunter zahlreiche öffentliche Webseiten, Cloud‑Dienste und Browser‑Erweiterungen, die Endnutzer täglich nutzen.
Stellen Sie sicher, dass Ihr Browser, Ihre VPN‑App und andere Software, die Brotli verwenden, auf dem neuesten Stand sind, und deaktivieren Sie optional die Brotli‑Kompression, falls ein Update noch nicht verfügbar ist.
Microsoft veröffentlicht Patch‑Dienst für über 1.400 Sicherheitslücken
Microsoft hat im Oktober ein Update‑Paket veröffentlicht, das mehr als 1.400 Schwachstellen in Windows, Office, Edge und weiteren Produkten schließt – ein Rekordvolumen an monatlichen Patches.
Alle Windows‑Nutzer, aber auch macOS‑ und Linux‑Nutzer, die Microsoft‑Software einsetzen (z. B. Office 365, Edge‑Browser), sind betroffen, weil die Lücken von Angreifern zur Ausführung von Malware, zum Diebstahl von Daten oder zum kompletten System‑Take‑over genutzt werden können.
Aktivieren Sie Windows Update, installieren Sie das Paket sofort und prüfen Sie, dass automatische Updates für alle Microsoft‑Anwendungen eingeschaltet sind.
CISA warnt vor aktiver Ausnutzung der kritischen Node2Shell‑Brotli‑Lücke
CISA hat bestätigt, dass Hacker die Schwachstelle in der Brotli‑Kompression ausnutzen, um über das HTTP/2‑Protokoll Schadcode („Node2Shell“, „Broccoli2Shell“, „HTTP2Shell“) auf verwundbare Server zu schleusen.
Betroffen sind Betreiber von Web‑Servern und Dienste, die Brotli‑Kompression aktivieren – das betrifft viele gängige Websites und damit auch Nutzer, die über Browser wie Chrome, Edge oder Firefox darauf zugreifen.
Privatpersonen sollten ihre Browser und alle Anwendungen, die Brotli nutzen, sofort auf die aktuelle Version aktualisieren, automatische Updates aktivieren und bei verdächtigen E‑Mails oder Links vorsichtig sein.
Ransomware‑Drohung bei GMO: PCs jetzt vom Internet trennen
GMO Group hat eine Ransomware‑Bedrohung entdeckt, nachdem Angreifer in die Onamae Desktop Cloud eingedrungen sind und angekündigt haben, noch am selben Tag Schadsoftware zu aktivieren.
Betroffen sind Kunden der GMO‑Group, insbesondere Nutzer der Onamae Desktop Cloud‑Dienste. Alle privaten PCs, die mit diesem Dienst verbunden sind – vor allem in Japan, aber auch internationale Kunden – sollten die Warnung beachten.
Empfohlen wird, die betroffenen Geräte sofort vom Internet zu trennen, laufende Sitzungen zu beenden und vorhandene Backups zu prüfen. Zudem sollten Passwörter geändert, Updates installiert und verdächtige E‑Mails sowie Anhänge ignoriert werden.
Analyse‑Script von Convertr kompromittiert – Gefahr von Kreditkartendaten‑Diebstahl
Hacker haben ein gemeinsames Analyse‑Script, das von vielen Online‑Shops über Convertr eingebunden wird, manipuliert und damit Zahlungsdaten beim Checkout abfangen.
Kunden, die bei Shops einkaufen, die das betroffene Script nutzen, sowie die betroffenen Online‑Händler sind betroffen.
Auf verdächtige Aktivitäten auf Kreditkartenabrechnungen achten, bei Unsicherheit die Karte sperren lassen, Händler informieren und sicherstellen, dass das Analyse‑Tool aktualisiert wurde; allgemein nur vertrauenswürdige Webseiten nutzen.
Microsoft veröffentlicht Windows‑Update zum Distrusting von eMudhra‑Zertifikaten
Microsoft hat außerplanmäßige Updates veröffentlicht, die das Vertrauen in Zertifikate der inzwischen kompromittierten Zertifizierungsstelle eMudhra zurückziehen.
Alle Windows‑Nutzer, insbesondere Systeme, die keine automatischen Zertifikats‑Updates erhalten, können von gefälschten Webseiten profitieren, die eMudhra‑Zertifikate nutzen.
Windows Update sofort ausführen, automatische Updates aktivieren und bei ungewöhnlichen Zertifikatswarnungen vorsichtig sein.
Tailscale meldet kritische SSH‑Schwachstelle mit Root‑Escalation
Tailscale hat fast ein Dutzend Sicherheitslücken in seiner SSH‑Implementierung entdeckt, von denen mehrere eine lokale Privilegien‑Escalation bis zum Root‑Benutzer ermöglichen.
Die Schwachstellen betreffen alle Geräte, auf denen Tailscale‑SSH aktiviert ist – insbesondere Server und Workstations, die über das Tailscale‑Netzwerk verwaltet werden.
Betroffene sollten sofort das aktuelle Update von Tailscale installieren, das die Lücken schließt, und danach alle SSH‑Schlüssel erneuern. Wer Tailscale‑SSH nicht benötigt, kann die Funktion vorübergehend deaktivieren, bis das Update ausgerollt ist.
Warp‑VPN‑Dienst gibt Datenleck mit Nutzer‑Telemetrien bekannt
Ein Drittanbieter, der die Infrastruktur von Warp, dem VPN‑Dienst von Cloudflare, hostet, wurde von Angreifern kompromittiert. Dabei wurden Entscheidungs‑Logs des KI‑Agents sowie Telemetriedaten der Nutzer offengelegt.
Betroffen sind alle Nutzer, die den Warp‑Client verwenden und deren Daten in den betroffenen Systemen gespeichert waren. Die betroffenen Daten umfassen vor allem technische Informationen zum Nutzungsverhalten, nicht jedoch persönliche Passwörter.
Nutzer sollten prüfen, ob ihr Warp‑Client auf die neueste Version aktualisiert ist, und bei Bedenken die VPN‑Einstellungen überprüfen. Außerdem empfiehlt es sich, sensible Konten, die über Warp erreichbar sind, mit starken Passwörtern und, wenn möglich, einer Zwei‑Faktor‑Authentifizierung zu schützen.
PHP2Shell‑Lücken aktiv ausgenutzt – Webseitenbetreiber sollten patchen
CISA bestätigte, dass die PHP2Shell‑Schwachstellen, die Remote‑Code‑Ausführung ermöglichen, derzeit von Angreifern aktiv ausgenutzt werden.
Betroffen sind Betreiber von Websites, die veraltete PHP‑Versionen ohne aktuelle Sicherheitsupdates einsetzen, sowie Besucher solcher Seiten, die potenziell Schadcode erhalten könnten.
Empfehlung: Sofort alle PHP‑Installationen auf die neueste Version aktualisieren, Plugins und Themes prüfen, den Web‑Hosting‑Provider informieren und ungewöhnliches Verhalten der Website überwachen.
Der französische Energiekonzern ENGIE hat einen unautorisierten Zugriff auf seine Marketing‑Plattform bekannt gegeben, bei dem Kundendaten gestohlen wurden.
Betroffen sind Kunden von ENGIE, deren personenbezogene Daten (z. B. Namen, Adressen, Zählerinformationen) in dem kompromittierten System gespeichert waren.
Empfehlung: Auf verdächtige E‑Mails oder Anrufe achten, bei betroffenen Konten Passwörter ändern und bei Bedarf eine Kredit‑ bzw. Identitätsüberwachung aktivieren.
Apple patched kritische CoreGraphics‑Lücke in älteren iPhones
Apple hat eine Zero‑Day‑Lücke im CoreGraphics‑Framework geschlossen, die in gezielten Angriffen auf iOS‑Geräte ausgenutzt wurde. Die Patches wurden für ältere iPhone‑ und iPad‑Modelle nachträglich bereitgestellt.
Betroffen sind Nutzer von iPhones und iPads, die noch nicht auf die neuesten iOS‑Versionen (iOS 15/16) aktualisiert haben und damit die Schwachstelle ausnutzen könnten.
Empfehlung: Sofort das iOS‑Update installieren, das Gerät neu starten und grundsätzlich keine verdächtigen Links oder Anhänge öffnen.
AT&T‑ und Verizon‑Metadaten‑Diebstahl: Daten von über 100 Millionen Kunden kompromittiert
Ein US‑Soldat wurde wegen des illegalen Zugriffs auf AT&T‑ und Verizon‑Systeme verurteilt; dabei wurden Metadaten von mehr als 100 Millionen Kund*innen gestohlen.
Betroffen sind Kund*innen beider Mobilfunkanbieter. Die gestohlenen Daten umfassen Anruf‑ und SMS‑Metadaten wie Zeitstempel, Telefonnummern und teilweise Standortinformationen.
Nutzer*innen sollten ihre Mobilfunkrechnungen aufmerksam prüfen, bei verdächtigen Anrufen oder Nachrichten wachsam sein und im Zweifelsfall den Anbieter kontaktieren. Bei Anzeichen von Identitätsdiebstahl sollten entsprechende Schutz‑ und Wiederherstellungsmaßnahmen eingeleitet werden.
Großer Datenleck: 8,2 Millionen Datensätze von über 90 Unternehmen gestohlen
Ein ehemaliger Pentester nutzte das ARTEX‑AI‑Framework, um mehr als 90 südkoreanische Unternehmen zu kompromittieren und dabei rund 8,2 Millionen Datensätze zu stehlen.
Betroffen sind Kund*innen und Mitarbeitende dieser Unternehmen; die entwendeten Informationen können Namen, E‑Mail‑Adressen, Telefonnummern und teilweise Finanzdaten umfassen.
Betroffene sollten ihre Konten auf ungewöhnliche Aktivitäten prüfen, Passwörter ändern und besonders vorsichtig bei E‑Mails oder Anrufen sein, die nach persönlichen Daten fragen. Ein Kredit‑Monitoring kann zusätzlichen Schutz bieten.
„HTTP2Shell“ – kritische Schwachstelle im Brotli‑Decoder von Node.js
Forscher haben eine kritische Speicher‑Korruptions‑Lücke namens „HTTP2Shell“ im in Node.js integrierten Brotli‑Decoder entdeckt. Angreifer könnten damit potenziell Daten aus betroffenen Web‑Servern auslesen oder ausführen.
Betroffen sind Webseiten und Online‑Dienste, die Node.js mit aktivierter Brotli‑Kompression einsetzen – das betrifft zahlreiche populäre Anwendungen und Plattformen, die von End‑Nutzern im Browser genutzt werden.
Nutzer sollten sicherstellen, dass die besuchten Websites aktuelle Versionen von Node.js verwenden. Betreiber von Websites sollten unverzüglich die neuesten Sicherheits‑Patches von Node.js installieren und, falls möglich, vorübergehend die Brotli‑Kompression deaktivieren.
DreamHost zwingt zu Passwort‑Resets nach Service‑Störung
DreamHost hat nach einem technischen Zwischenfall, der den Zugriff auf das Dateimanagement über die Weboberfläche beeinträchtigte, alle betroffenen Nutzer zu einem Passwort‑Reset gezwungen.
Betroffen sind Kunden von DreamHost, die E‑Mail‑, FTP‑ oder SFTP‑Zugänge nutzen. Der Reset betrifft sowohl private als auch geschäftliche Konten.
Nutzer sollten das von DreamHost zugesandte Reset‑Link verwenden, ein starkes, einzigartiges Passwort wählen und, falls möglich, die Zwei‑Faktor‑Authentifizierung aktivieren.
Universität Kopenhagen – Datenleck mit 525 000 betroffenen Personen
Ein Angreifer hat in einer Testumgebung der Universität Kopenhagen persönliche Daten von rund 525 000 Menschen eingesehen. Die Daten umfassen Namen, Kontaktdaten und teilweise weitere personenbezogene Informationen.
Betroffen sind Studierende, Mitarbeitende und externe Personen, deren Daten in der betroffenen Umgebung gespeichert waren. Die Universität hat den Vorfall bestätigt und arbeitet mit den Behörden zusammen.
Betroffene sollten ihre Passwörter für betroffene Konten ändern, auf verdächtige E‑Mails achten und, falls sensible Daten kompromittiert wurden, mögliche Identitätsdiebstahl‑Schutzdienste nutzen.
Microsoft veröffentlicht Notfall‑Patch für kritische .NET‑Brotli‑Schwachstelle
Microsoft hat eine kritische Schwachstelle im Brotli‑Kompressionsmodul von .NET veröffentlicht, die es Angreifern ermöglicht, über speziell gestaltete Daten Code auszuführen (Brotli2Shell/Node2Shell/HTTP2Shell).
Betroffen sind alle Windows‑Systeme und Programme, die das .NET‑Framework oder .NET Core nutzen und Brotli‑Kompression verarbeiten – dazu gehören viele gängige Anwendungen, Browser‑Komponenten und Serverdienste.
Installieren Sie sofort die von Microsoft bereitgestellten Sicherheitsupdates für .NET, aktivieren Sie automatische Updates und prüfen Sie, ob Ihre Software auf die aktuelle Version aktualisiert ist. Falls Brotli nicht benötigt wird, kann die Kompression deaktiviert werden.
PHP2Shell – kritische RCE‑Lücken in PHP, werden aktiv ausgenutzt
Zwei kritische Remote‑Code‑Execution‑Lücken (CVE‑2026‑109618 und CVE‑2026‑109619), zusammengefasst unter dem Namen PHP2Shell, werden derzeit aktiv ausgenutzt, um Schadcode auf verwundbaren Servern auszuführen.
Betroffen sind Betreiber von PHP‑basierten Websites, insbesondere solche mit veralteten PHP‑Versionen oder unsicheren Konfigurationen. Nutzer, die solche Seiten besuchen, können indirekt gefährdet sein, etwa durch Drive‑by‑Downloads oder manipulierte Inhalte.
Webseitenbetreiber sollten sofort alle verfügbaren PHP‑Sicherheitsupdates einspielen, unsichere Module entfernen und die Serverkonfiguration prüfen. Endnutzer sollten Browser, Betriebssystem und Antivirenprogramme aktuell halten, verdächtige Links meiden und bei ungewöhnlichem Verhalten die Seite sofort verlassen.
Die PHP‑Entwickler haben eine neu entdeckte Remote‑Code‑Execution‑Schwachstelle (RCE) veröffentlicht, für die bislang kein Patch verfügbar ist. Die Lücke betrifft Installationen, die von den Standardeinstellungen abweichen und unsichere Konfigurationen nutzen.
Alle Webseiten, Anwendungen oder Server, die PHP im produktiven Einsatz haben – insbesondere selbstgehostete Blogs, kleine Unternehmen und Hobby‑Entwickler – sind potenziell gefährdet, weil Angreifer beliebigen Code ausführen können.
Administrator*innen sollten sofort auf die von PHP bereitgestellten Mitigation‑Anleitungen umstellen: Debug‑Modus deaktivieren, nur notwendige Erweiterungen laden, aktuelle PHP‑Versionen verwenden und ggf. Web‑Application‑Firewalls aktivieren, bis ein offizieller Patch erscheint.
Windows Server 2016 endet Support im Januar 2027 – keine Sicherheitsupdates mehr
Microsoft hat angekündigt, dass Windows Server 2016 ab Januar 2027 keinen Support und keine Sicherheitsupdates mehr erhält.
Alle Betreiber von Windows Server 2016 – insbesondere kleine Unternehmen, Home‑Lab‑Betreiber und IT‑Verantwortliche in privaten Netzwerken – sind betroffen, weil ungeschützte Systeme anfällig für Angriffe werden.
Betroffene sollten zeitnah auf eine neuere, unterstützte Version (z. B. Windows Server 2019/2022) migrieren oder, falls Migration nicht möglich ist, zumindest ein erweitertes Sicherheits‑Add‑On bzw. ein Drittanbieter‑Supportpaket erwerben und das System vom Netz nehmen.
BlackX‑UEFI‑Bootkit nutzt Baton‑Drop‑Schwachstelle, um Secure Boot zu umgehen
Ein neuer UEFI‑Bootkit‑Trojaner namens BlackX, der in einer staatlich geführten Kampagne eingesetzt wurde, nutzt die alte Baton‑Drop‑Lücke, um die Secure Boot‑Prüfung zu umgehen und schädliche Treiber zu laden.
Betroffen sind Besitzer von PCs und Laptops, deren Firmware noch die Baton‑Drop‑Schwachstelle enthält – vor allem ältere Geräte mit nicht aktualisiertem BIOS/UEFI.
Installieren Sie die neuesten Firmware‑Updates des Herstellers, aktivieren Sie Secure Boot erneut und prüfen Sie das System mit vertrauenswürdiger Antiviren‑Software. Vermeiden Sie das Booten von nicht vertrauenswürdigen Medien.
Das Laborunternehmen Quest Diagnostics gab bekannt, dass Angreifer unbefugten Zugriff auf das Quanum‑LSM‑System erlangten und Patientendaten einsehen konnten.
Betroffen sind alle Kunden von Quest Diagnostics, darunter Hunderttausende von Patienten, deren Namen, Geburtsdaten, Testergebnisse und teilweise Sozialversicherungsnummern kompromittiert sein können.
Überprüfen Sie Ihre Konten auf ungewöhnliche Aktivitäten, fordern Sie bei Bedarf neue Testberichte an und verwenden Sie ein starkes, einzigartiges Passwort für das Patientenportal. Achten Sie auf weitere Hinweise des Unternehmens.
Abandoned Popcorn Time-App ermöglichte RCE-Angriffe auf Millionen Geräte
Forscher haben einen verwundbaren Updater in der aufgegebenen Time4Popcorn‑App deaktiviert, die eine Schwachstelle enthielt, mit der Angreifer Remote‑Code Execution mit erhöhten Rechten ausführen konnten.
Betroffen sind alle Nutzer, die die inoffizielle Popcorn‑Time‑Fork (Time4Popcorn) auf Windows, macOS oder Linux installiert haben – Schätzungen gehen von mehreren Millionen aus.
Deinstallieren Sie die Anwendung sofort, entfernen Sie restliche Dateien und scannen Sie Ihr System mit aktueller Antiviren‑Software. Nutzen Sie künftig nur offizielle, gepflegte Programme zum Streamen.
Sicherheitslücken in ArubaOS – Router‑ und WLAN‑Geräte könnten betroffen
Hewlett Packard Enterprise hat Updates für das Aruba Operating System (ArubaOS) veröffentlicht. Dabei wurden acht kritische Schwachstellen behoben, darunter Remote‑Code‑Execution und Authentifizierungs‑Umgehung, die aktiv ausgenutzt werden können.
Betroffen sind sowohl Unternehmens‑ als auch Privat‑WLAN‑Controller und -Router, die ArubaOS 8.6 oder höher verwenden – darunter Geräte, die in manchen Heimnetzwerken eingesetzt werden.
Installieren Sie umgehend die neuesten Firmware‑Updates von HPE/Aruba. Deaktivieren Sie unnötige Remote‑Verwaltungsdienste und ändern Sie Standard‑Passwörter. Nutzen Sie nach Möglichkeit ein separates Gast‑WLAN für Besucher.
Malware im LiteLLM‑Python‑Paket – Gefahr für Nutzer
Die Release‑Pipeline des Open‑Source‑Projekts LiteLLM wurde kompromittiert. Angreifer veröffentlichten manipulierte Docker‑Images und ein PyPI‑Paket, das Credentials, Secrets und Umgebungsvariablen ausspioniert.
Jeder, der das betroffene Paket aus dem offiziellen Python‑Repository installiert – also Entwickler, Data‑Science‑Enthusiasten und Nutzer von KI‑Tools, die LiteLLM nutzen – kann infiziert werden.
Löschen Sie verdächtige Pakete, prüfen Sie Checksummen und installieren Sie nur signierte Versionen. Entfernen Sie ggf. erstellte Docker‑Images und führen Sie ein Antiviren‑Scan durch. Beobachten Sie Sicherheits‑Updates des Projekts.
KI‑Agenten können missbraucht werden – Was Nutzer wissen sollten
Einige KI‑Agenten lassen sich über E‑Mails, Webseiten oder Plugins dazu verleiten, schädliche Befehle auszuführen, Daten zu stehlen oder Dateien zu löschen. Die Gefahr entsteht, weil die Agenten ihre legitimen Zugriffsrechte ausnutzen.
Betroffen sind vor allem private Nutzer, die KI‑Assistenten (z. B. ChatGPT‑Plugins, Sprachassistenten) in persönlichen Geräten oder Cloud‑Diensten verwenden.
Nutzen Sie nur vertrauenswürdige Plugins, prüfen Sie Berechtigungen regelmäßig und deaktivieren Sie unnötige Zugriffe. Halten Sie die KI‑Software und das Betriebssystem stets aktuell.
Operation Serengeti III: Fastes Durchgreifen gegen Cyberkriminalität
Internationale Strafverfolgungsbehörden haben im Rahmen von Operation Serengeti III fast 11 000 Cyberkriminalitätsnetzwerke in Afrika zerschlagen und über 1 400 Personen verhaftet. Ziel war die Bekämpfung von Business‑Email‑Compromise, Ransomware‑Verbreitung und Online‑Betrug.
Die Aktion betrifft vor allem Unternehmen und Privatpersonen, die zuvor Ziel von Phishing‑Mails oder Erpressungsversuchen waren. Durch die Zerschlagung der Netzwerke wird das Risiko weiterer Angriffe reduziert.
Nutzer sollten weiterhin wachsam bleiben: E‑Mails mit unbekannten Anhängen oder Links meiden, Software regelmäßig aktualisieren und bei Verdacht auf Kompromittierung sofort das betroffene Konto sichern bzw. den Anbieter informieren.
Schnelle Angriffe: Credential‑Diebstahl und MFA‑Phishing
Exaforce beschreibt, dass Angreifer immer schneller vorgehen und innerhalb weniger Minuten Zugangsdaten stehlen, oft bevor Sicherheits‑Teams reagieren können. Typische Methoden sind das Abfangen von GitHub‑Tokens, das Verteilen bösartiger KI‑Installationspakete und gezielte MFA‑Phishing‑Kampagnen.
Jeder, der Online‑Konten nutzt – insbesondere mit Zwei‑Faktor‑Authentifizierung – ist potenziell gefährdet. Selbst gut gesicherte Konten können kompromittiert werden, wenn Angreifer den zweiten Faktor durch Social‑Engineering erlangen.
Empfohlen wird, Passwörter regelmäßig zu ändern, nur authentische Authenticator‑Apps zu nutzen und bei verdächtigen Anfragen sofort den Anbieter zu kontaktieren. Zusätzlich sollten Unternehmen automatisierte Erkennungs‑ und Reaktionssysteme einsetzen, um solche Angriffe frühzeitig zu stoppen.
PHP2Shell‑Lücke bereits vor Patch‑Veröffentlichung ausgenutzt
Amazon Threat Intelligence hat festgestellt, dass Angreifer die PHP2Shell‑Schwachstelle bereits vier Tage vor Veröffentlichung der offiziellen Sicherheitspatches aktiv ausnutzen. Die Lücke ermöglicht das Einschleusen von Schadcode in PHP‑Anwendungen, was zu Datenklau oder kompletter Systemübernahme führen kann.
Betroffen sind Betreiber von Websites, die PHP‑Versionen einsetzen, die die PHP2Shell‑Fehler enthalten – das betrifft nach Schätzungen Millionen von Seiten im Internet. Auch Endnutzer können gefährdet sein, wenn sie solche kompromittierten Seiten besuchen.
Nutzer sollten ihre Browser aktuell halten und verdächtige Seiten meiden. Webseitenbetreiber müssen sofort die von PHP bereitgestellten Sicherheitspatches installieren und gegebenenfalls ein Web‑Application‑Firewall (WAF) einsetzen, um Angriffe zu blockieren.
GitLab hat eine maximale Schwachstelle im regulären Ausdruck‑Compiler veröffentlicht, die es Angreifern ermöglicht, auf verwundbaren GitLab‑Servern beliebigen Code auszuführen.
Betroffen sind Betreiber von selbst‑gehosteten GitLab‑Instanzen sowie Nutzer von GitLab.com, sofern das Update noch nicht installiert ist. Angreifer könnten Repository‑Daten stehlen oder weitere Malware verbreiten.
Aktualisieren Sie sofort auf die von GitLab bereitgestellten Sicherheitspatches (Version 16.11.5 oder höher). Prüfen Sie, ob eigene Runner‑Umgebungen ebenfalls aktualisiert wurden, und aktivieren Sie, falls möglich, die Zwei‑Faktor‑Authentifizierung für alle Konten.
Microsoft veröffentlicht Update für fast 1 000 Sicherheitslücken
Microsoft hat ein Patch‑Bulletin veröffentlicht, das insgesamt 974 Sicherheitslücken in Windows und anderen Produkten schließt – das bisher größte monatliche Update‑Paket.
Betroffen sind alle Windows‑Nutzer sowie Anwender von Microsoft‑Software, die nicht sofort aktualisiert werden. Ungepatchte Systeme sind anfällig für Exploits, die von Angreifern zum Eindringen oder zur Ausführung von Schadcode genutzt werden können.
Installieren Sie sofort die neuesten Windows‑Updates über Windows Update oder das Microsoft Update‑Katalog. Aktivieren Sie automatische Updates, falls noch nicht geschehen, und prüfen Sie, ob kritische Firmware‑Updates für Ihre Hardware verfügbar sind.
Capcom-Datenleck: über 11 Millionen Konten betroffen
Capcom hat bestätigt, dass Hacker in den Membership‑Service CAPCOM ID eingedrungen sind und dabei E‑Mail‑Adressen sowie zugehörige Kontoinformationen von mehr als 11,7 Millionen Nutzern offengelegt wurden.
Alle Spieler und Nutzer, die ein CAPCOM‑ID‑Konto besitzen – insbesondere solche, die dieselben E‑Mail‑Adressen oder Passwörter bei anderen Diensten verwenden.
Ändern Sie sofort das Passwort Ihres CAPCOM‑ID‑Kontos und, falls dieselbe E‑Mail‑Adresse auch bei anderen Diensten genutzt wird, dort ebenfalls das Passwort ändern. Aktivieren Sie, wo möglich, die Zwei‑Faktor‑Authentifizierung und achten Sie auf Phishing‑Mails.
Eine kritische Schwachstelle in PHP, bekannt als PHP2Shell, erlaubt Angreifern das Ausführen von Code auf betroffenen Webservern. Inzwischen gibt es Berichte über zahlreiche Ausfälle und mögliche Datenexfiltration.
Fast 70 % aller PHP‑basierten Webseiten sind betroffen. Betreiber, die keine sofortigen Updates vorgenommen haben, laufen Gefahr, dass ihre Seiten kompromittiert werden.
Webseitenbetreiber sollten PHP sofort auf Version 8.5.12 oder höher aktualisieren. Für Endnutzer: Vermeiden Sie den Zugriff auf unbekannte Webseiten und nutzen Sie Browser‑Plugins, die unsichere Inhalte blockieren.