Aktuelle Security-News

Recherchiert & verständlich aufbereitet

Das sollten Website-Betreiber jetzt wissen

WPManageNinja gehackt: Fluent Forms Pro und Ninja Tables Pro manipuliert

Über einen alten Update-Server verteilte WPManageNinja fünf Stunden lang manipulierte Plugin-Versionen. So prüfen Sie Ihre Website.

Mehr ansehen

User Access Manager: CVE-2026-18352 erlaubt Auslesen von wp-config.php

Kritische Path-Traversal-Lücke im Plugin User Access Manager (bis 2.3.15) erlaubt Angreifern das Lesen sensibler Dateien. Update auf 2.3.16 jetzt.

Mehr ansehen

Hotel-WLAN als Falle: APT28 stiehlt Microsoft 365-Logins via DNS-Poisoning

APT28 manipuliert Captive-Portals in Hotels, um Gäste auf gefälschte M365-Seiten umzuleiten – MFA wird per OAuth-Device-Flow umgangen.

Mehr ansehen

Adform-Angriff: Manipuliertes Tracking-Skript stiehlt Krypto-Wallets

Ein kompromittiertes Adform-Skript ersetzte über eine Woche lang Krypto-Adressen von Website-Besuchern. So funktionierte der Supply-Chain-Angriff.

Mehr ansehen

CVE-2026-1360: PHP Object Injection in BuddyPress führt zu RCE

Ein Deserialisierungsfehler in BuddyPress erlaubt authentifizierten Angreifern das Einschleusen von PHP-Objekten – bis hin zur Remote Code Execution.

Mehr ansehen

Kritische Lücken in Joomla-Erweiterungen SP Page Builder aktiv ausgenutzt

Zwei kritische Schwachstellen (CVSS 9.8) in SP Page Builder und Page Builder CK erlauben Remote Code Execution. Jetzt sofort patchen!

Mehr ansehen

Joomla JCE-Editor: Kritische RCE-Lücke ohne Login (CVE-2026-48907)

Angreifer können ohne Anmeldung PHP-Code auf JCE-Servern hochladen. Jetzt auf Version 2.9.99.9 aktualisieren und Systeme prüfen.

Mehr ansehen

Shopware CVE-2026-48014: Autorisierungsumgehung in der Admin-API

CVE-2026-48014 erlaubt niedrig privilegierten API-Nutzern, Bestellzustände ohne ACL-Prüfung zu ändern. Betroffene Versionen und Patches im Überblick.

Mehr ansehen

Supply-Chain-Angriff auf OptinMonster & Co.: 1,2 Mio. WordPress-Seiten betroffen

Manipulierte CDN-Skripte bei OptinMonster, TrustPulse und PushEngage legten heimlich Admin-Konten an – 1,2 Mio. Websites gefährdet.

Mehr ansehen

CVE-2026-15414: Privilege Escalation in Subscriptions for WooCommerce

Contributor werden zu Admins: Über das Metafeld _wps_plan_user_role erlangen Angreifer volle Administrator-Rechte. Update dringend nötig.

Mehr ansehen

Wind Tre: 1,72 Mio. Euro DSGVO-Bußgeld nach Social-Engineering-Angriff

Angreifer gaben sich als Support-Techniker aus und stahlen Daten von 365.000 Kunden. Die Garante ahndet fehlenden API-Schutz.

Mehr ansehen

CVE-2026-54768: WPGraphQL erlaubt Benutzeraufzählung ohne Login

Ein veraltetes GraphQL-Feld in WPGraphQL verrät Autoren-Konten an unauthentifizierte Angreifer. Update auf Version 2.15.1 schließt die Lücke.

Mehr ansehen