Täglicher IT-Security-Lagebericht – 18.05.2026

Sehr geehrte Leserinnen und Leser,

im Namen des IT-Security-Teams präsentieren wir Ihnen den täglichen Lagebericht für den 18. Mai 2026. Dieser Bericht fasst die kritischsten neuen Schwachstellen, laufende Bedrohungsanalysen und empfohlene Maßnahmen zusammen, um Ihre Systeme und Daten zu schützen. Die heutige Lage erfordert besondere Aufmerksamkeit aufgrund mehrerer kritischer RCE- und Privilegieneskalationslücken in weit verbreiteter Software und Infrastrukturkomponenten.

1. Aktuelle CVEs und Schwachstellen

Die heutige Analyse zeigt eine Reihe von kritischen Schwachstellen, die umgehende Aufmerksamkeit erfordern. Insbesondere müssen Unternehmen, die Cloud-Dienste, PaaS-Lösungen, eingebettete Systeme oder CI/CD-Pipelines nutzen, schnell handeln.

Kritikalität (CVSS)	CVE-ID / Titel	Kurzbeschreibung
CRITICAL (10.0)	CVE-2026-42822: Azure Local Disconnected Operations – Improper authentication	Fehlerhafte Authentifizierung in Azure Local Disconnected Operations ermöglicht einem nicht autorisierten Angreifer, Privilegien über das Netzwerk zu eskalieren.
CRITICAL (9.9)	CVE-2026-27130: Dokploy (PaaS) – OS Command Injection	OS Command Injection in Dokploy (v0.26.6 und darunter) über den appName-Parameter, der bei Service-Operationen RCE mit Server-Privilegien ermöglicht.
CRITICAL (9.8)	CVE-2026-7301: SGLangs Multimodal Generation Runtime Scheduler – RCE via pickle.loads()	SGLangs ROUTER-Socket bindet standardmäßig an 0.0.0.0 und ruft pickle.loads() auf eingehende Nachrichten auf, was bei Internetexposition RCE ermöglicht.
CRITICAL (9.8)	CVE-2026-7304: SGLangs Multimodal Generation Runtime – Unauthenticated RCE	SGLangs ist anfällig für unauthentifizierte RCE, wenn die Option --enable-custom-logit-processor aktiviert ist, da Python-Objekte ohne Validierung deserialisiert werden.
CRITICAL (9.8)	CVE-2026-8836: lwIP – Stack-based Buffer Overflow	Stack-based Buffer Overflow in lwIP (bis 2.2.1) in der Funktion snmp_parse_inbound_frame des SNMPv3 USM Handlers, aus der Ferne auslösbar.
CRITICAL (9.8)	CVE-2026-25244: WebdriverIO – Command Injection / RCE	Befehlsinjektion in WebdriverIO (v9.24.0 und darunter) über bösartige Git-Branch-Namen, die RCE auf CI/CD-Servern oder Entwicklermaschinen ermöglichen.
CRITICAL (9.8)	CVE-2026-8838: amazon-redshift-python-driver – RCE via eval()	Unsichere Verwendung von Pythons eval() in vector_in() (vor v2.1.14) ermöglicht RCE durch einen manipulierten Server oder Man-in-the-Middle-Angreifer.
CRITICAL (9.1)	CVE-2026-7302: SGLangs Multimodal Generation Runtime – Path Traversal	Unauthentifizierte Path Traversal-Schwachstelle in SGLangs, die es Angreifern ermöglicht, beliebige Dateien zu schreiben.
CRITICAL (9.1)	CVE-2026-45230: DumbAssets – Path Traversal (File Deletion)	Path Traversal in DumbAssets (bis v1.0.11) am /api/delete-file-Endpoint, ermöglicht unauthentifizierten Angreifern das Löschen beliebiger Dateien.
HIGH (8.8)	CVE-2026-8775: Edimax BR-6428NS – Buffer Overflow	Buffer Overflow in Edimax BR-6428NS (v1.10) in formL2TPSetup durch Manipulation des L2TPUserName-Arguments, aus der Ferne auslösbar.
HIGH (8.8)	CVE-2026-8776: Edimax BR-6428NS – Buffer Overflow	Buffer Overflow in Edimax BR-6428NS (v1.10) in formPPTPSetup durch Manipulation des pptpUserName-Arguments, aus der Ferne auslösbar.
HIGH (8.8)	CVE-2026-3220: WordPress Autoptimize/Clearfy Cache/Speed Optimizer – Stored XSS	Unauthentifizierte Stored XSS-Schwachstelle in mehreren WordPress-Plugins (Autoptimize vor v3.1.15, Clearfy Cache vor v2.4.2, Speed Optimizer vor v7.7.9) durch vorhersehbaren Hash.
HIGH (8.8)	CVE-2026-7498: Basamak Information Technology Consulting – Stored XSS	Strored XSS-Schwachstelle in Basamak DernekWeb (bis 30122025) durch unsachgemäße Behandlung von Eingaben bei der Webseiten-Generierung.
HIGH (8.8)	CVE-2025-57282: ngrok – Command Injection	Command Injection-Schwachstelle in ngrok (v4.3.3 und 5.0.0-beta.2).
HIGH (8.8)	CVE-2026-41085: Thermo Fisher Scientific Torrent Suite Dx – Privilege Escalation	Privilegieneskalationsschwachstelle in Torrent Suite Dx (bis v5.14.2) ermöglicht authentifizierten Benutzern mit limitierten Rechten, Administratorrechte zu erlangen.

2. Bedrohungsanalysen und Angriffskampagnen

Die aktuelle Bedrohungslandschaft ist weiterhin von gezielten Angriffen und der Ausnutzung bekannter Schwachstellen geprägt. Mehrere Meldungen deuten auf aktive Kampagnen und wichtige Entwicklungen hin:

• Aktive Ausnutzung von Microsoft Exchange Zero-Day-Lücke:

  Es liegen bestätigte Berichte über die aktive Ausnutzung einer bisher unbekannten Schwachstelle (Zero-Day) in Microsoft Exchange vor. Diese Angriffe stellen ein erhebliches Risiko für Unternehmen dar, die Exchange-Server betreiben, da sie zu Datenexfiltration, unbefugtem Zugriff auf E-Mails und potenziell zur vollständigen Kompromittierung des Servers führen können. Organisationen müssen dringend die Hinweise von Microsoft beachten und umgehend Schutzmaßnahmen ergreifen.

• Verstärkte Infostealer-Kampagnen auf macOS und über NPM-Malware:

  Neue Varianten des SHub macOS Infostealers tarnen sich als legitime Apple-Sicherheitsupdates, um Nutzer zur Installation zu verleiten und Daten zu stehlen. Parallel dazu wird eine neue Kampagne von Infostealern im npm-Ökosystem durch die Veröffentlichung der Shai-Hulud-Malware befeuert. Diese Entwicklungen unterstreichen die anhaltende Bedrohung durch Datenexfiltration und die Wichtigkeit der Überprüfung von Software-Lieferketten, insbesondere in der Open-Source-Welt.

• Globale Operation gegen Cybercrime-Infrastruktur:

  In einem bedeutenden Erfolg für die Strafverfolgungsbehörden hat INTERPOL im Rahmen der „Operation Ramz“ 53 Malware- und Phishing-Server beschlagnahmt. Diese Operationen sind entscheidend, um die Infrastruktur von Cyberkriminellen zu zerschlagen und die Wirksamkeit von Angriffskampagnen zu reduzieren, auch wenn der Kampf gegen Cyberkriminalität ein fortlaufender Prozess ist.

3. Datenschutz & Kryptografie

Auch wenn keine spezifischen neuen regulatorischen Entwicklungen im Bereich Datenschutz oder Kryptografie gemeldet wurden, zeigen die aktuellen Bedrohungen die hohe Relevanz dieser Themen. Die weit verbreiteten Infostealer-Kampagnen (SHub, Shai-Hulud) zielen direkt auf die Exfiltration sensibler und persönlicher Daten ab, was zu massiven Datenschutzverletzungen führen kann. Zudem kann die in den Schlagzeilen erwähnte Schwachstelle im Microsoft Authenticator, die den Diebstahl von Authentifizierungs-Tokens ermöglicht, zu unbefugtem Zugriff auf geschützte Informationen und somit ebenfalls zu schwerwiegenden Datenschutzproblemen führen. Dies unterstreicht die Notwendigkeit robuster Zugriffssteuerungen, sicherer Authentifizierungsmechanismen (z.B. Multi-Faktor-Authentifizierung) und einer kontinuierlichen Überwachung zur Prävention von Datenabflüssen und Identitätsdiebstahl.

4. Handlungsempfehlungen

Basierend auf den identifizierten Schwachstellen und Bedrohungen empfehlen wir dringend folgende proaktive Maßnahmen, um die Sicherheit Ihrer IT-Infrastruktur zu gewährleisten:

• Priorisierte Patch-Verwaltung und Updates:
  • Umgehende Prüfung und Anwendung von Patches für alle als „CRITICAL“ und „HIGH“ eingestuften CVEs, insbesondere für Azure Local Disconnected Operations (CVE-2026-42822), Dokploy (CVE-2026-27130), SGLangs (CVE-2026-7301, CVE-2026-7304, CVE-2026-7302), lwIP (CVE-2026-8836), WebdriverIO (CVE-2026-25244), amazon-redshift-python-driver (CVE-2026-8838) und DumbAssets (CVE-2026-45230).
  • Prüfen und Installieren der aktuellen Sicherheitsupdates für PostgreSQL, HCL BigFix SCM Reporting und alle relevanten Microsoft-Updates, insbesondere für Exchange Server zur Behebung der Zero-Day-Lücke und für den Microsoft Authenticator zur Mitigation des Token-Diebstahls.
  • Aktualisieren Sie betroffene WordPress-Plugins (Autoptimize, Clearfy Cache, Speed Optimizer) auf die sicheren Versionen (3.1.15, 2.4.2, 7.7.9 oder neuer), um Stored XSS-Angriffe zu verhindern.
  • Führen Sie Upgrades für den amazon-redshift-python-driver auf Version 2.1.14 und für ngrok auf eine nicht betroffene Version durch.
• Sichere Softwareentwicklung und Konfiguration:
  • Entwickler sollten sicherstellen, dass Benutzereingaben stets validiert und desinfiziert werden, bevor sie in Shell-Befehle, Dateipfade oder Deserialisierungsfunktionen (z.B. pickle.loads(), dill.loads(), eval()) überführt werden.
  • Überprüfen Sie die Konfiguration von SGLangs-Instanzen: Vermeiden Sie, dass Router-Sockets unnötigerweise an 0.0.0.0 binden und nutzen Sie die Option --enable-custom-logit-processor nur mit größter Vorsicht und entsprechender Validierung der deserialisierten Objekte.
• Sicherheit der Lieferkette (Supply Chain Security):
  • Erhöhen Sie die Sorgfalt bei der Integration von Drittanbieter-Bibliotheken und Tools (z.B. npm-Pakete, WebdriverIO). Nutzen Sie Sicherheits-Scanning-Tools für Ihre Abhängigkeiten und prüfen Sie regelmäßig auf bekannte Schwachstellen.
  • Sensibilisieren Sie Entwickler für die Gefahr von manipulierten Git-Repositories und Branch-Namen, die für Command Injection missbraucht werden können.
• Benutzer- und Systemhärtung:
  • Schulen Sie Ihre Nutzer regelmäßig bezüglich Phishing- und Social-Engineering-Angriffen, insbesondere solcher, die sich als System- oder Sicherheitsupdates tarnen (z.B. SHub macOS Infostealer).
  • Implementieren und erzwingen Sie das Prinzip der geringsten Privilegien für alle Benutzer und Dienste, um die Auswirkungen potenzieller Kompromittierungen zu minimieren.
  • Führen Sie regelmäßige Überprüfungen und Auditierungen von Berechtigungen durch, insbesondere in Cloud-Umgebungen (z.B. Azure) und für Administratorkonten.

Fazit

Der heutige Lagebericht hebt die kontinuierliche Bedrohung durch kritische Schwachstellen und aktive Angriffskampagnen hervor, die von Datenexfiltration bis hin zu vollständigen Systemkompromittierungen reichen. Eine proaktive und zügige Patch-Verwaltung, die Implementierung sicherer Entwicklungspraktiken, strikte Zugriffssteuerungen und eine erhöhte Sensibilisierung der Nutzer sind unerlässlich, um die Integrität und Sicherheit Ihrer IT-Systeme und Daten zu gewährleisten. Bleiben Sie wachsam und handeln Sie umgehend, um potenzielle Risiken zu minimieren und Ihre digitale Resilienz zu stärken.