Täglicher IT-Security-Lagebericht – 14.09.2026
Der tägliche IT-Security-Lagebericht fasst relevante Schwachstellen, Sicherheitsmeldungen und Handlungsempfehlungen kompakt zusammen.
Der heutige Lagebericht vom 14. September 2026 beleuchtet eine Reihe kritischer und hochkritischer Schwachstellen, die dringende Aufmerksamkeit erfordern. Besonders hervorzuheben ist eine kritische Lücke in einem WordPress-Plugin, die unauthentifizierten Angreifern weitreichende administrative Kontrolle ermöglicht. Zudem warnen aktuelle Bedrohungsanalysen vor der bevorstehenden Ausnutzung von Schwachstellen in Check Point VPN-Produkten und aktiven Kampagnen, die auf die Kompromittierung von Microsoft 365-Konten abzielen.
Die Notwendigkeit proaktiver Patch-Management-Strategien und kontinuierlicher Überwachung ist angesichts der Vielzahl von Zero-Day-Exploits und öffentlich bekannten Schwachstellen, die bereits aktiv ausgenutzt werden, evident. Unternehmen und Nutzer sind aufgerufen, ihre Systeme umgehend zu prüfen und entsprechende Sicherheitsmaßnahmen zu ergreifen.
1. Aktuelle CVEs und Schwachstellen
Die folgende Tabelle fasst die relevantesten neuen oder aktualisierten Common Vulnerabilities and Exposures (CVEs) zusammen, die in den letzten 24 Stunden bekannt wurden und ein hohes oder kritisches Risiko darstellen.
| Kritikalität (CVSS) | CVE-ID / Titel | Kurzbeschreibung |
|---|---|---|
| Kritisch (10.0) | CVE-2026-81648: CryptoPayment Gateway WordPress Plugin – Unauthentifizierte Admin-Operationen | Das CryptoPayment Gateway WordPress-Plugin (v1.2.1 bis 1.2.2) ermöglicht unauthentifizierten Nutzern administrative Operationen, inklusive Dateilöschung, Konfigurationsüberschreibung und Wiederherstellung von Wallet-Zugangsdaten im Klartext, aufgrund fehlender Autorisierungsprüfungen. |
| Hoch (8.8) | CVE-2026-90493: Tonec Internet Download Manager – Lokale Privilegienerhöhung | Eine Schwachstelle in Tonec Internet Download Manager (bis 6.42 Build 63) auf Windows, die auf falsche Zugriffskontrollen im Kernel-Treiber (idmwfp.sys) basiert. Ein lokaler Angriff mit öffentlichem Exploit ist möglich, der Hersteller reagierte nicht. |
| Hoch (8.8) | CVE-2026-90770: Spug – Remote Code Execution in ping_check | Spug (bis 3.4.0) enthält eine RCE-Schwachstelle in der ping_check-Funktion. Authentifizierte Benutzer mit Monitor-Berechtigungen können Shell-Metazeichen über den /monitor/run_test/-Endpunkt injizieren, um beliebige Befehle auszuführen. |
| Hoch (8.8) | CVE-2026-90777: ESPnet – Arbitrary Code Execution via Deserialisierung | ESPnet (vor 202609) deserialisiert vortrainierte Modell-Checkpoints unsicher, was die Ausführung von beliebigem Code durch speziell präparierte Dateien ermöglicht. |
| Hoch (8.8) | CVE-2026-74933: GenieWords WordPress Plugin – Unauthentifizierte Konfigurationsüberschreibung und XSS | Das GenieWords WordPress-Plugin (v1.5.27 bis 1.5.34) weist Autorisierungsprüfungen auf REST API- und AJAX-Aktionen nicht auf, was unauthentifizierten Nutzern die Überschreibung der Konfiguration und Injektion von Web-Skripten ermöglicht. |
| Hoch (8.8) | CVE-2026-85129: Hoo Companion WordPress Plugin – Unauthentifizierte XSS und Konfigurationszerstörung | Das Hoo Companion WordPress-Plugin (v1.0.2) erlaubt unauthentifizierten Angreifern die Injektion von Web-Skripten, die bei der Anzeige der Website ausgeführt werden, und zerstört dabei die vorhandenen Theme-Einstellungen. |
| Hoch (8.8) | CVE-2026-88793: YouTube Embed WordPress Plugin – Unauthentifizierte Stored XSS | Das YouTube Embed WordPress-Plugin (v10.0 bis 10.3) ermöglicht unauthentifizierten Angreifern das Speichern von XSS-Skripten, die in der Sitzung von Benutzern, einschließlich Administratoren, ausgeführt werden. |
| Hoch (8.7) | CVE-2026-90561: Strapi – Stored Cross-Site Scripting (XSS) | Strapi (v4.x bis 4.26.2 und 5.x vor 5.48.1) enthält eine gespeicherte XSS-Schwachstelle in der WYSIWYG-Vorschau des Content Managers. Ein Benutzer mit „Author“-Rolle kann bösartige Skript-Tags speichern, die in der Sitzung eines „Editor“ oder „Super Admin“ ausgeführt werden. |
| Hoch (8.3) | CVE-2026-90510: dromara orion-visor – Verwendung von fest codiertem kryptografischem Schlüssel | Eine Schwachstelle in dromara orion-visor (bis 2.5.7) durch die Verwendung eines fest codierten kryptografischen Schlüssels in HostKeyServiceImpl.encryptKey, die einen Remote-Angriff ermöglicht. Der Exploit ist öffentlich bekannt. |
| Hoch (8.1) | CVE-2026-90651: Socket Firewall – Standardmäßig keine TLS-Zertifikatsprüfung | Die Socket Firewall (registry mode vor 2.0.0) überprüft Upstream-TLS-Zertifikate standardmäßig nicht, was Man-in-the-Middle-Angriffe zur Manipulation von Paket-Inhalten oder Allow/Block-Entscheidungen ermöglicht. |
| Hoch (8.1) | CVE-2026-90562: LangBot – Schwache Passwort-Wiederherstellungsschlüssel und fehlende Ratenbegrenzung | LangBot (vor 4.10.11) generiert Passwort-Wiederherstellungsschlüssel mit geringer Entropie und wendet keine Ratenbegrenzung auf den unauthentifizierten Reset-Passwort-Endpunkt an, was eine Admin-Kontoübernahme ermöglicht. |
| Hoch (8.1) | CVE-2026-90768: CAPEv2 – Fehlende Aufgabenbesitz-Validierung in REST API | CAPEv2 (bis commit 471ee4b) validiert den Aufgabenbesitz in REST API-Endpunkten nicht, was authentifizierten Benutzern das Lesen und Löschen von Analysen anderer Benutzer ermöglicht. |
| Hoch (8.1) | CVE-2026-37008: CrewAI – Unzureichende Python-Blocklist-Implementierung | CrewAI (vor fb2323b) verwendet einen unzureichenden Python-Blocklist-Ansatz, der es nicht schafft, das vollständige Objekt-Graph des Interpreters zu berücksichtigen und somit Sandbox-Bypasses ermöglicht. |
| Hoch (7.8) | CVE-2026-90783: MKVToolNix – Heap Buffer Overflow in avilib Bibliothek | MKVToolNix (bis 101.0) enthält einen Heap Buffer Overflow in der gebündelten avilib-Bibliothek, der durch manipulierte AVI-Dateien mit überdimensionierten Eintragszählungen ausgelöst werden kann. |
| Hoch (7.7) | CVE-2026-90769: Open Notebook – Server-Side Request Forgery (SSRF) | Open Notebook (vor 1.11.0) validiert den URL-Parameter im POST /api/sources-Endpunkt nicht, was authentifizierten Benutzern die Durchführung von SSRF-Angriffen ermöglicht, um interne Dienste abzufragen. |
2. Bedrohungsanalysen und Angriffskampagnen
Kritische Check Point VPN-Schwachstellen stehen vor aktiver Ausnutzung
Das niederländische NCSC warnt eindringlich vor der bevorstehenden aktiven Ausnutzung kritischer Schwachstellen in Check Point VPN-Produkten. Diese Warnung folgt auf die Veröffentlichung von Patches für IT-Sicherheitsprodukte von Check Point, die selbst zum Sicherheitsrisiko werden könnten. Organisationen, die Check Point VPN-Lösungen einsetzen, müssen dringend ihre Systeme patchen und auf ungewöhnliche Aktivitäten überwachen, da Angreifer die Lücken ausnutzen könnten, um sich Root-Zugriff zu verschaffen und Firewalls zu kompromittieren.
Zunehmende Passkey-Phishing-Angriffe auf Microsoft 365
Aktuelle Berichte zeigen einen Anstieg von Phishing-Kampagnen, die auf die neuen Passkey-Technologien abzielen, um Daten aus Microsoft 365 zu stehlen. Diese Angriffe nutzen die Vertrautheit der Nutzer mit modernen Authentifizierungsmethoden aus, um Anmeldeinformationen zu entwenden und Zugang zu sensiblen Unternehmensdaten zu erhalten. Dies unterstreicht die Notwendigkeit, Mitarbeiter für die Erkennung von Phishing-Versuchen zu schulen, selbst wenn diese auf neue, vermeintlich sichere Technologien abzielen.
Hackerkampagnen nutzen Tencent-App-Lücke und Missbrauch von KI
Eine Schwachstelle in einer Tencent-App wird aktiv von Hackern ausgenutzt, um die GrayRabbit-Malware zu verbreiten. Parallel dazu wurde bekannt, dass Angreifer KI-Modelle wie Claude missbraucht haben, um geheime Informationen aus 1,8 Millionen Android-Apps zu extrahieren. Diese Fälle zeigen die zunehmende Raffinesse von Cyberkriminellen, die sowohl bekannte Schwachstellen in weit verbreiteter Software als auch neue Technologien wie KI für ihre Angriffe nutzen.
3. Datenschutz & Kryptografie
Im Bereich Datenschutz wurde bekannt, dass die DMV-Datenbank in Florida über ein gestohlenes Polizeikonto kompromittiert wurde. Dieser Vorfall unterstreicht das anhaltende Risiko von Datenlecks durch kompromittierte Zugangsdaten, selbst bei Behörden. Dies führt zu Bedenken hinsichtlich der Sicherheit sensibler Bürgerdaten und der Notwendigkeit robuster Identitäts- und Zugriffsmanagement-Systeme sowie regelmäßiger Audits für alle verbundenen Konten. Die Verwendung von fest codierten kryptografischen Schlüsseln, wie in CVE-2026-90510 beschrieben, bleibt ebenfalls eine ernsthafte Bedrohung für die Datensicherheit, da sie die Kompromittierung verschlüsselter Daten bei Entdeckung des Schlüssels ermöglicht.
4. Handlungsempfehlungen
Basierend auf den aktuellen Erkenntnissen und Schwachstellen empfehlen wir dringend die folgenden Maßnahmen:
- Umgehende Patch-Implementierung: Priorisieren Sie das Einspielen von Patches für alle betroffenen Systeme, insbesondere für WordPress-Plugins (CryptoPayment Gateway, GenieWords, Hoo Companion, YouTube Embed), Tonec Internet Download Manager, Spug, ESPnet, Strapi, dromara orion-visor, Socket Firewall, LangBot, CAPEv2, CrewAI, MKVToolNix und Open Notebook. Beachten Sie die dringende Warnung bezüglich der Check Point VPN-Produkte und stellen Sie sicher, dass alle relevanten Sicherheitsupdates angewendet werden.
- Überprüfung der Konfiguration: Stellen Sie sicher, dass keine Standardkonfigurationen wie fehlende TLS-Zertifikatsprüfung (CVE-2026-90651) bestehen und dass sichere Authentifizierungsmechanismen verwendet werden.
- Strikte Zugriffskontrollen: Überprüfen und verschärfen Sie Zugriffsrechte und Autorisierungsprüfungen, insbesondere in Webanwendungen und APIs, um unauthentifizierte administrative Operationen und Manipulationen zu verhindern.
- Sichere Entwicklungspraktiken: Achten Sie auf sichere Deserialisierungsprozesse und robuste Eingabevalidierungen, um RCE- und XSS-Schwachstellen zu vermeiden. Vermeiden Sie die Verwendung von fest codierten kryptografischen Schlüsseln in der Produktion.
- Sensibilisierung und Training: Schulen Sie Ihre Mitarbeiter regelmäßig zum Thema Phishing, insbesondere im Hinblick auf neue Taktiken wie Passkey-Phishing, und zur allgemeinen IT-Sicherheitshygiene.
- Regelmäßige Systemüberwachung: Implementieren und nutzen Sie Monitoring-Tools, um verdächtige Aktivitäten, insbesondere nach der Anwendung von Patches oder bei Hinweisen auf aktive Exploits, frühzeitig zu erkennen.
Fazit
Der heutige Lagebericht zeigt einmal mehr, dass die Bedrohungslandschaft dynamisch ist und eine kontinuierliche Wachsamkeit erfordert. Die Kombination aus kritischen Schwachstellen in weit verbreiteten Anwendungen, gezielten Phishing-Kampagnen und dem Missbrauch neuer Technologien durch Angreifer stellt Unternehmen vor erhebliche Herausforderungen. Ein proaktives Patch-Management, strenge Sicherheitskontrollen und die fortlaufende Schulung der Mitarbeiter sind unerlässlich, um die Integrität und Sicherheit Ihrer IT-Infrastruktur zu gewährleisten. Bleiben Sie wachsam und handeln Sie präventiv, um potenzielle Risiken zu minimieren.
IT-Sicherheit strukturiert prüfen?
Twoblue unterstützt bei Security Checks, Microsoft 365, Intune und der strukturierten Bewertung technischer Risiken.
