Aktuelle Security-News

Recherchiert & verständlich aufbereitet

Das sollten Website-Betreiber jetzt wissen

Netze BW und Stuttgart Netze: Kundendaten über Dienstleister erbeutet

Ein Angriff auf einen IT-Dienstleister legte Namen, Adressen und Zählerfotos tausender Netze-BW- und Stuttgart-Netze-Kunden offen.

Mehr ansehen

D1R erpresst Bosch: Konstruktionsdaten über Synopsys-Leck gestohlen

Ransomware-Gruppe D1R droht Bosch mit Veröffentlichung sensibler VHDL-Daten – erbeutet über eine Schwachstelle bei Synopsys.

Mehr ansehen

wp2shell: Kritische WordPress-Luecke ermoeglicht unauthentifizierte RCE

Zwei verkettete Schwachstellen (CVE-2026-60137, CVE-2026-63030) erlauben pre-auth RCE in WordPress 6.8 bis 7.0.1. Jetzt patchen!

Mehr ansehen

SAML SSO Plugin: Kritischer Auth-Bypass via Signaturtrick (CVE-2026-15013)

CVSS 9,8: Angreifer umgehen im miniOrange SAML-SSO-Plugin die Signaturpruefung und loggen sich als Admin ein. Jetzt auf 5.4.4 updaten.

Mehr ansehen

AcyMailing SMTP: Kritische Blind-SQL-Injection bedroht 7.000 Sites

CVE-2026-57739 erlaubt unauthentifizierte SQL-Injection im WordPress-Newsletter-Plugin AcyMailing SMTP. Update auf 10.11.1 dringend empfohlen.

Mehr ansehen

CVE-2026-9082: Kritische SQL-Injection im Drupal-Core aktiv ausgenutzt

Eine SQL-Injection im Drupal-Core bedroht PostgreSQL-Installationen. Mit veröffentlichtem PoC läuft die Ausnutzung bereits – jetzt patchen.

Mehr ansehen

SG Nürnberg: Kein DSGVO-Schadensersatz nach Zero-Day-Exploit

Das SG Nürnberg weist Klage nach Zero-Day-Angriff ab: Marktübliche Schutzmaßnahmen und ein Patch binnen 24 Stunden genügen für Art. 32 DSGVO.

Mehr ansehen

CVE-2026-57705: Authorization-Bypass in WordPress Event Tickets

Eine Missing-Authorization-Lücke im Plugin Event Tickets erlaubt unangemeldeten Angreifern Schreibzugriff. Update auf 5.28.5.1 jetzt einspielen.

Mehr ansehen

AsyncAPI npm-Pakete kompromittiert: Miasma RAT über CI/CD-Pipeline

Vier AsyncAPI npm-Pakete mit 2,9 Mio. Downloads wurden über gekaperte CI/CD-Pipelines mit dem Miasma RAT infiziert. Was jetzt zu tun ist.

Mehr ansehen

Magecart-Skimmer missbraucht Stripe und Google Tag Manager im Checkout

Ein neuer Magecart-Skimmer versteckt seinen Payload in Stripe-Kundendaten und liefert ihn über GTM aus – CSP-Allowlists versagen. So schützen Sie Ihren Shop.

Mehr ansehen

LatePoint-Plugin: Kritische SQL-Injection bedroht 100.000 Websites

CVE-2026-57714 erlaubt unauthentifizierten Angreifern SQL-Injection über LatePoint-Buchungen. Kundendaten und Passwort-Hashes sind gefährdet.

Mehr ansehen

Helix Ultimate für Joomla: Unauth. Stored XSS führt zur Admin-Übernahme (CVE-2026-57829)

CVE-2026-57829: Über com_ajax schleusen Angreifer ohne Login Schadcode in Joomla-Templates ein und übernehmen Admin-Konten. Update auf 2.2.7!

Mehr ansehen