Aktuelle Security-News

Recherchiert & verständlich aufbereitet

Das sollten Website-Betreiber jetzt wissen

Backup Migration Plugin: Datenleck bedroht WordPress-Sites (CVE-2023-54346)

Kritische Lücke im Backup Migration Plugin erlaubt unauthentifizierten Zugriff auf sensible Daten. Patchstack warnt vor Massenexploits – jetzt updaten!

Mehr ansehen

WP with Spritz: Unauthentifizierte LFI-Lücke (CVE-2018-25329) bedroht Server

Das WordPress-Plugin WP with Spritz erlaubt Angreifern ohne Login das Auslesen lokaler Dateien. Kein Patch verfügbar – so schützen Sie sich.

Mehr ansehen

SP Page Builder: Kritische RCE-Lücke (CVE-2026-48908) aktiv ausgenutzt

Unauthentifizierter Datei-Upload im Joomla SP Page Builder erlaubt PHP-Ausführung. CISA KEV-gelistet, Frist überfällig, Exploits aktiv im Umlauf.

Mehr ansehen

Datenleck in Liechtenstein: 31.000 Einträge aus Transparenzregister kopiert

Unbekannte kopierten 31.000 Datensätze wirtschaftlich Berechtigter aus Liechtensteins VwbP – auch DACH-Firmen mit Stiftungen betroffen.

Mehr ansehen

Österreichische Post: 13 Mio. Euro DSGVO-Strafe für politische Profildaten

Der VwGH bestätigt DSGVO-Verstöße der Post: 2,2 Millionen politische Affinitätsprofile wurden ohne Einwilligung verkauft. Ein Verfahren über sieben Jahre.

Mehr ansehen

Shai-Hulud: npm-Wurm infiziert keyv und über 430 Pakete

Ein kompromittierter Maintainer-Account brachte einen Credential-Stealer in keyv & Co. – 430+ Pakete mit 2 Mrd. Downloads betroffen.

Mehr ansehen

FormGent-Plugin: Kritische Lücke erlaubt Site-Takeover (CVE-2026-3141)

Eine kritische Schwachstelle im WordPress-Plugin FormGent erlaubt unauthentifizierten Angreifern das Löschen der wp-config.php – jetzt patchen!

Mehr ansehen

CVE-2026-12965: Kritische SQL-Injection in Super Store Finder für WordPress

Das Plugin Super Store Finder (bis 7.8) erlaubt unauthentifizierte SQL-Injection. Angreifer lesen ohne Login Datenbankinhalte aus – noch ohne Patch.

Mehr ansehen

Datenleck in Liechtenstein: 31.000 Firmen und Stiftungen betroffen

Angreifer stahlen aus dem VwbP-Register Eigentümerdaten von 31.000 juristischen Personen. Register offline, Krisenstab tagt – kein Täter bekannt.

Mehr ansehen

DSGVO-Bußgelder Juli 2026: 1,7 Mio. Euro für Wind Tre nach Social Engineering

Angreifer täuschten Support-Techniker vor und griffen 365.000 Kundendaten ab. Wind Tre und vier weitere Fälle im Überblick.

Mehr ansehen

NGINX CVE-2026-42533: Kritischer Buffer-Overflow erlaubt RCE

Eine seit 2011 bestehende Lücke in NGINX ermöglicht unauthentifizierte Remote Code Execution. Wer betroffen ist und wie Sie jetzt patchen.

Mehr ansehen

CVE-2026-8457: Auth-Bypass in WooCommerce Social Login via gefälschtem Apple JWT

Fehlende JWT-Signaturprüfung im Apple-Login erlaubt Angreifern, sich als jeder Nutzer – auch Admins – einzuloggen. CVSS 9.8. Jetzt auf 2.8.8 updaten.

Mehr ansehen