Aktuelle Security-News

Recherchiert & verständlich aufbereitet

Das sollten Website-Betreiber jetzt wissen

XSS2Shell: WordPress-Lücke aktiv ausgenutzt – Update auf 7.0.3 dringend

Ein präparierter Link genügt: XSS2Shell erlaubt bei angemeldetem Admin die Serverübernahme in WordPress. Angriffe laufen bereits – jetzt patchen.

Mehr ansehen

Apache Tomcat: Aktiv ausgenutzte Verschlüsselungs-Lücke (CVE-2026-34486)

CVE-2026-34486 in Apache Tomcat wird aktiv ausgenutzt: Angreifer umgehen den EncryptInterceptor und fangen Cluster-Daten im Klartext ab.

Mehr ansehen

42 Mio. Euro DSGVO-Bußgeld: CNIL bestraft Free nach Datenpanne

24 Mio. Kundendatensätze mit IBANs kompromittiert: Wie schwache VPN-Authentifizierung Free ein Rekord-Bußgeld einbrachte.

Mehr ansehen

LockBit 5.0: Linux-Ransomware verschlüsselt offline ohne C2-Server

LockBit 5.0 attackiert Linux-Systeme vollständig offline mit ChaCha20 und entzieht sich netzwerkbasierter Erkennung. So schützen Sie Ihre Server.

Mehr ansehen

Defcon 2026: 401.796 vertrauliche E-Mails über No-Reply-Domains abgefangen

Forscher fingen über gekaufte No-Reply-Domains 401.796 E-Mails von 14.000 Firmen ab. Deutsche Unternehmen sind besonders betroffen.

Mehr ansehen

N-able N-central: Authentication-Bypass CVE-2026-18577 aktiv ausgenutzt

CISA nimmt CVE-2026-18577 in den KEV-Katalog auf. Angreifer nutzen Authentication-Bypass zur Übernahme von N-central-Servern. Patch verfügbar.

Mehr ansehen

Backdoor in WordPress-Plugin: Admin-Übernahme via CVE-2026-18072

Version 10.8.7 des Video-Embedder-Plugins enthält einen Backdoor. Angreifer übernehmen als Admin die Kontrolle – kein Patch verfügbar.

Mehr ansehen

AI Copilot Content Generator: Kritische Lücke ermöglicht Admin-Konto (CVE-2026-14526)

Unauthentifizierte Angreifer können im WordPress-Plugin AI Copilot ein Admin-Konto anlegen. CVSS 9.8 – Patch jetzt einspielen!

Mehr ansehen

BGH: DSGVO-Schadensersatz bei fehlgeleiteten Bewerberdaten

Der BGH bejaht immateriellen Schadensersatz nach Art. 82 DSGVO, wenn Bewerberdaten versehentlich an Dritte gehen. Was das für Unternehmen bedeutet.

Mehr ansehen

Kali365: Phishing-as-a-Service umgeht Microsoft-365-MFA

Die PhaaS-Plattform Kali365 kapert Microsoft-365-Konten über angreiferkontrollierte Device-Codes und trickst MFA aus – wöchentlich 80+ Unternehmen betroffen.

Mehr ansehen

macOS CVE-2026-65400: Kritischer Authentifizierungsbypass bei Screen Sharing

Angreifer im lokalen Netzwerk übernehmen macOS ohne Passwort über die Bildschirmfreigabe. Apple liefert Updates für Tahoe, Sequoia und Sonoma.

Mehr ansehen

Adobe Commerce & Magento: 14 Lücken gepatcht, eine kritisch (CVSS 9.6)

Adobe schließt mit APSB26-73 vierzehn Schwachstellen in Commerce und Magento, darunter eine kritische Lücke mit CVSS 9.6. Jetzt aktualisieren.

Mehr ansehen