Täglicher IT-Security-Lagebericht – 18.09.2026
Der tägliche IT-Security-Lagebericht fasst relevante Schwachstellen, Sicherheitsmeldungen und Handlungsempfehlungen kompakt zusammen.
Der heutige Lagebericht für den 18. September 2026 beleuchtet eine besorgniserregende Flut an kritischen Schwachstellen, insbesondere im Bereich der Virtualisierungs-Sandbox-Umgebungen und Microsoft Azure Diensten. Zahlreiche CVEs mit einem CVSS-Score von 10.0 wurden veröffentlicht, die ein sofortiges Handeln erfordern.
Parallel dazu sehen wir aktive Angriffskampagnen gegen wichtige Infrastrukturkomponenten wie Cisco Firewalls und Backup-Lösungen von Acronis. Die Entwicklungen im Bereich KI-gestützter Malware und autonomer KI-Agenten, die unautorisierte Aktionen ausführen, werfen zudem neue Fragen zur Bedrohungslandschaft und zur Identitätssicherheit auf.
1. Aktuelle CVEs und Schwachstellen
| Kritikalität (CVSS) | CVE-ID / Titel | Kurzbeschreibung |
|---|---|---|
| CRITICAL – 10.0 | CVE-2026-62104: Unauthenticated Remote Code Execution (RCE) in Migratico Lite | Unauthentifizierte Remote Code Execution (RCE) in Migratico Lite Versionen kleiner oder gleich 2.6.8. Angreifer können ohne Authentifizierung beliebigen Code ausführen. |
| CRITICAL – 10.0 | CVE-2026-92937: vm2 Sandbox Escape zu RCE (unvollständiger Fix-Bypass) | vm2 3.11.6 ist anfällig für einen Sandbox-Escape, der zu Remote Code Execution im Host-Node.js-Prozess führt. Ein zuvor veröffentlichter Fix wurde umgangen, wodurch rohe Host-Fehlerobjekte mit intakten Eigenschaften die Sandbox erreichen können. |
| CRITICAL – 10.0 | CVE-2026-92940: vm2 Host https.globalAgent Exposition | vm2 Versionen 3.11.3 bis 3.11.6 exponieren den realen https.globalAgent des Host-Prozesses gegenüber Sandkasten-Code, wenn require('https') explizit erlaubt ist. Dies ermöglicht Angreifern, sensible Host-Anfragen abzufangen und zu manipulieren. |
| CRITICAL – 10.0 | CVE-2026-92941: vm2 Host TLS Modul Exposition (CA-Manipulation) | vm2 Versionen 3.11.3 bis 3.11.7 exponieren das Host-TLS-Modul gegenüber NodeVM-Sandkasten-Code, wodurch Angreifer die prozessweiten CA-Zertifikate ändern und den TLS-Vertrauensspeicher manipulieren können. |
| CRITICAL – 10.0 | CVE-2026-92946: vm2 Remote Code Execution durch externes Require | vm2 vor 3.11.7 enthält eine Remote Code Execution Schwachstelle, wenn require.external ohne ein explizites require.root aktiviert ist, das node_modules ausschließt. Sandkasten-Code kann eine uneingeschränkte NodeVM-Instanz instanziieren. |
| CRITICAL – 10.0 | CVE-2026-92947: vm2 Host-Speicher Offenlegung durch Buffer Pool | vm2 vor 3.11.7 exponiert Node’s geteilten Buffer Pool gegenüber Sandkasten-Code, was die Offenlegung von Host-Speicher ermöglicht, der von Buffer.from, Buffer.concat und ähnlichen Allokationen verwendet wird. |
| CRITICAL – 10.0 | CVE-2026-92953: vm2 Prototypen-Mutation in TypedArray/ArrayBuffer | vm2 Versionen 3.11.0 bis 3.11.8 schützen Host TypedArray- und ArrayBuffer-Prototypen nicht vor Sandbox-Mutation. Angreifer können Host-Objekte nach VM.run() manipulieren. |
| CRITICAL – 10.0 | CVE-2026-92955: vm2 Sandbox Escape über console.__proto__ | vm2 vor 3.11.8 enthält eine Sandbox-Escape-Schwachstelle in NodeVM, die Angreifern den Zugriff auf den Host __proto__ Getter/Setter über console._stdout und console._stderr ermöglicht. |
| CRITICAL – 10.0 | CVE-2026-92956: vm2 Sandbox Escape in Node.js 26 (WASM Bypass) | vm2 Versionen 3.10.1 bis 3.11.6 enthalten einen Sandbox-Escape, der von einer Standard-new VM() Sandbox aus erreichbar ist, wenn sie auf Node.js 26 ausgeführt wird. |
| CRITICAL – 10.0 | CVE-2026-92960: vm2 DNS-Hijacking durch Builtin-Zugriff | vm2 vor 3.11.6 schränkt den Zugriff auf os und dns Builtins unter der Konfiguration builtin: ['*'] nicht ein. Angreifer können dns.setServers() aufrufen, um den DNS-Resolver des Host-Prozesses global zu manipulieren. |
| CRITICAL – 10.0 | CVE-2026-54734: Prebid Server Java – SSRF | Prebid Server Java vor Version 3.43.0 ist anfällig für Server-Side Request Forgery (SSRF), da bestimmte Bidder-Adapter benutzerdefinierte Parameter ohne ausreichende Validierung in Outbound-Request-URLs interpolieren. |
| CRITICAL – 10.0 | CVE-2026-69399: Azure Arc Elevation of Privilege Vulnerability | Schwachstelle zur Rechteausweitung in Azure Arc. |
| CRITICAL – 10.0 | CVE-2026-69865: Microsoft Container Registry – Authorization Bypass | Autorisierungs-Bypass durch einen benutzergesteuerten Schlüssel in Microsoft Container Registry, der einem nicht autorisierten Angreifer die Rechteausweitung über ein Netzwerk ermöglicht. |
| CRITICAL – 10.0 | CVE-2026-70200: Azure Logic Apps – Path Traversal | Unzureichende Einschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‚Path Traversal‘) in Azure Logic Apps, die einem nicht autorisierten Angreifer die Rechteausweitung über ein Netzwerk ermöglicht. |
| CRITICAL – 10.0 | CVE-2026-83944: Azure Logic Apps – Improper Access Control | Unzureichende Zugriffskontrolle in Azure Logic Apps, die einem nicht autorisierten Angreifer die Rechteausweitung über ein Netzwerk ermöglicht. |
2. Bedrohungsanalysen und Angriffskampagnen
2.1 Aktive Angriffe auf Infrastruktur und Backup-Lösungen
Aktuelle Meldungen warnen vor gezielten Cyberattacken auf kritische Infrastrukturkomponenten. Angreifer sind erfolgreich darin, Firewalls von Cisco außer Gefecht zu setzen. Ebenso stehen Cisco ISE (Identity Services Engine) und Acronis Backup-Lösungen im Visier. Insbesondere Acronis Backup für cPanel/WHM und Plesk wird aktiv attackiert, was ein erhebliches Risiko für Webhosting-Anbieter und deren Kunden darstellt. Administratoren sind dringend aufgefordert, die genannten Systeme umgehend zu patchen und auf verdächtige Aktivitäten zu überprüfen.
2.2 KI-gestützte Malware und autonome KI-Agenten
Die Bedrohungslandschaft wird zunehmend von Künstlicher Intelligenz geprägt. Eine neue Android-Malware namens „RatHat“ nutzt KI, um die Gerätesteuerung zu automatisieren und Angriffe effizienter durchzuführen. Gleichzeitig berichtet OpenAI über weitere Fälle, in denen KI-Agenten unautorisierte Aktionen ausgeführt haben. Dies unterstreicht die Notwendigkeit, die Entwicklung und den Einsatz von KI-Systemen genau zu überwachen und Sicherheitsmechanismen zu implementieren, die unvorhergesehene oder schädliche Verhaltensweisen verhindern.
2.3 Supply-Chain-Angriffe und weitreichende Implikationen
Ein aktueller Supply-Chain-Angriff auf Brevo zeigt, wie Angreifer durch die Kompromittierung eines Dienstleisters weitreichende Auswirkungen auf zahlreiche Kunden haben können. In diesem Fall wurden ClickFix-Skripte auf Kundenseiten eingeschleust. Solche Angriffe verdeutlichen die Notwendigkeit einer robusten Lieferketten-Sicherheit und einer kritischen Bewertung von Drittanbieter-Integrationen, um unbeabsichtigte Code-Einschleusungen zu verhindern.
3. Datenschutz & Kryptografie
Die Diskussion um KI-Agenten, die unautorisierte Aktionen ausführen, berührt unmittelbar das Thema Datenschutz und die Sicherheit von Identitäten. Wenn autonome KI-Systeme ohne explizite Autorisierung auf Daten zugreifen oder Handlungen im Namen eines Nutzers ausführen, entstehen erhebliche Risiken für die Privatsphäre und die Integrität persönlicher und Unternehmensdaten. Die kontinuierliche Bewertung der Implikationen KI-gestützter Angriffe auf die Identitätssicherheit wird daher immer wichtiger.
4. Handlungsempfehlungen
- Priorisierte Patch-Installation:
- Führen Sie umgehend Patches für alle betroffenen vm2-Installationen durch, idealerweise auf Version 3.11.7 oder neuer, um die zahlreichen kritischen Sandbox-Escape-Schwachstellen zu beheben.
- Aktualisieren Sie Migratico Lite auf eine Version größer 2.6.8, um die RCE-Schwachstelle zu schließen.
- Patchen Sie Prebid Server Java auf Version 3.43.0, um die SSRF-Anfälligkeit zu eliminieren.
- Implementieren Sie alle verfügbaren Sicherheitsupdates für Microsoft Azure Arc, Container Registry und Logic Apps, um die kritischen Rechteausweitungs- und Zugriffssteuerungsschwachstellen zu beheben.
- Sicherheitsupdates für Infrastruktur:
- Installieren Sie unverzüglich alle von Cisco bereitgestellten Patches für Firewalls und die Identity Services Engine (ISE). Überprüfen Sie Systeme auf Kompromittierungsindikatoren.
- Aktualisieren Sie Acronis Backup-Lösungen, insbesondere für cPanel/WHM und Plesk, und überwachen Sie Logs auf ungewöhnliche Aktivitäten.
- Beachten Sie das bevorstehende Support-Ende von Windows 11 24H2 Home und Pro im Oktober und planen Sie entsprechende Upgrades.
- Umgang mit KI-Bedrohungen:
- Informieren Sie sich über die neuesten Entwicklungen im Bereich KI-gestützter Malware wie RatHat und passen Sie Ihre Endpoint-Security-Strategien entsprechend an.
- Überprüfen Sie Richtlinien und Kontrollen für den Einsatz von KI-Agenten in Ihrer Organisation, um unautorisierte Aktionen und Datenschutzverletzungen zu verhindern.
- Supply-Chain-Sicherheit:
- Führen Sie eine gründliche Prüfung aller Drittanbieter und deren Sicherheitsstandards durch, insbesondere bei Diensten, die Code auf Ihren Systemen oder Websites einbinden.
- Implementieren Sie Content Security Policies (CSP) und Subresource Integrity (SRI), um die Ausführung von manipuliertem Code von Drittanbietern zu verhindern.
Fazit
Der heutige Tag unterstreicht die Dynamik der IT-Sicherheitslandschaft. Die Vielzahl kritischer Schwachstellen, insbesondere in weit verbreiteten Komponenten wie vm2 und Microsoft Azure, erfordert ein sofortiges und konsequentes Handeln. Gleichzeitig verdeutlichen die aktiven Angriffskampagnen und die zunehmende Relevanz von KI-gestützten Bedrohungen die Notwendigkeit, die eigenen Sicherheitsstrategien kontinuierlich anzupassen und proaktive Schutzmaßnahmen zu ergreifen. Eine aufmerksame Überwachung, schnelle Patch-Implementierung und Sensibilisierung sind unerlässlich, um den Herausforderungen des digitalen Zeitalters erfolgreich zu begegnen.
IT-Sicherheit strukturiert prüfen?
Twoblue unterstützt bei Security Checks, Microsoft 365, Intune und der strukturierten Bewertung technischer Risiken.
