Latest security news

Researched & explained in plain language

What website owners should know right now

Ubiquiti UniFi: 25 CVEs im Advisory 066 – drei mit CVSS bis 10.0

Ubiquiti Advisory 066 listet 25 CVEs für UniFi OS, Network, Protect & mehr. Drei erreichen CVSS 9.9/10.0 – Heise rät zum sofortigen Update.

86 Prozent aller WordPress-Seiten veraltet: Defacement und xmlrpc.php-Scans nehmen zu

Censys enthüllt: 86 Prozent der WordPress-Seiten sind veraltet. Angreifer nutzen die Lücken für Defacements und gezielte xmlrpc.php-Scans.

Gravity SMTP: CVE-2026-4020 legt API-Schlüssel von 100.000 Seiten offen

Unauthentifizierte Angreifer stahlen API-Schlüssel und OAuth-Tokens aus Gravity SMTP – über 17 Mio. Angriffe. Update auf 2.1.5 jetzt einspielen.

OptinMonster-CDN gehackt: 1,2 Millionen WordPress-Seiten betroffen

Angreifer injizierten Schadcode in das OptinMonster-CDN und erstellten heimlich Admin-Konten auf über 1,2 Mio. WordPress-Seiten. Was jetzt zu tun ist.

CVE-2026-55200: PoC-Exploit für kritische libssh2-Lücke ermöglicht RCE

Öffentlicher Exploit für libssh2 (CVSS 9.2): Bösartige SSH-Server können Clients ohne Login übernehmen. Betroffen sind curl, Git und PHP.

Ransomware-Angriff auf Atlas Elektronik: 'The Gentlemen' erpressen Rüstungstochter

Die Gruppe 'The Gentlemen' attackierte die TKMS-Tochter Atlas Elektronik und leakt bereits Daten im Darknet. TKMS bestätigt den Angriff.

Code-Injection in WordPress-Plugin 'Request a Quote' (CVE-2026-14249)

Unauthentifizierter AJAX-Handler ruft beliebige PHP-Funktionen auf. Nonce-Schutz wirkungslos – Plugin-Versionen bis 2.5.5 gefährdet.

BlueHammer: Defender-Zero-Day CVE-2026-33825 in Ransomware genutzt

CVE-2026-33825 in Microsoft Defender wird aktiv für Privilege Escalation in Ransomware-Kampagnen missbraucht. Patch ist verfügbar – jetzt handeln.

SharePoint RCE (CVE-2026-45659): Ransomware nutzt Lücke aktiv aus

CISA nimmt CVE-2026-45659 in KEV auf: SharePoint-RCE durch Deserialisierung. Storm-2603 greift an – Bundesbehörden müssen bis 4. Juli patchen.

Cockpit CMS: Unauth. Path Traversal und LFI gefährden Server (CVSS 8.2)

Kritische Lücke in Cockpit CMS vor Release 364: Unauthentifizierte Angreifer lesen Serverdateien – teils droht Remote Code Execution.

Adblock for YouTube: 10 Mio. Nutzer durch versteckte Script-Injection bedroht

Eine beliebte Chrome-Extension kann per Server-Config beliebiges JavaScript auf jeder Website ausführen – auch beim Online-Banking. So schützen Sie sich.

Nefos/PuffPal-Datenleck: 1 Million Reisepässe von Cannabis-Clubs offen im Netz

Kassensystem Nefos/PuffPal legte rund 1 Mio. Ausweise ungeschützt offen. Was Cannabis-Clubs jetzt zur DSGVO-Haftung wissen müssen.