Täglicher IT-Security-Lagebericht – 20.09.2026
Der tägliche IT-Security-Lagebericht fasst relevante Schwachstellen, Sicherheitsmeldungen und Handlungsempfehlungen kompakt zusammen.
Der heutige tägliche IT-Security-Lagebericht vom 20. September 2026 beleuchtet eine Reihe kritischer Schwachstellen und aktiver Bedrohungskampagnen, die IT-Verantwortliche und Administratoren dringend beachten sollten. Insbesondere kritische Sicherheitslücken in Router-Firmware und einer Vielzahl von WordPress-Plugins erfordern umgehende Patches, um das Risiko einer Kompromittierung zu minimieren.
Zusätzlich zu den technischen Schwachstellen sehen wir fortgesetzte Angriffe auf populäre Unternehmenslösungen sowie neue Bedrohungsvektoren im Bereich künstlicher Intelligenz und Browser-Agenten. Datenschutzbedenken rücken ebenfalls durch den zunehmenden Einsatz von KI-Technologien in den Fokus. Proaktives Patch-Management und eine erhöhte Wachsamkeit sind heute von größter Bedeutung.
1. Aktuelle CVEs und Schwachstellen
Die nachfolgende Tabelle listet die kritischsten und aktuellsten Schwachstellen, für die dringend Maßnahmen empfohlen werden:
| Kritikalität (CVSS) | CVE-ID / Titel | Kurzbeschreibung |
|---|---|---|
| CRITICAL (10.0) | CVE-2026-93741 Totolink A3002MU Buffer Overflow | Eine kritische Pufferüberlauf-Schwachstelle in der Firmware von Totolink A3002MU Routern (Hh-B20211125.1046) ermöglicht Remote-Angreifern die Ausführung beliebigen Codes durch Manipulation des submit-url Arguments in formWlWds. Ein Exploit ist öffentlich verfügbar. |
| CRITICAL (9.9) | CVE-2026-93742 Totolink A3002MU Command Injection | Eine weitere kritische Schwachstelle im Totolink A3002MU Router (Hh-B20211125.1046) ermöglicht Remote-Angreifern eine Command Injection über das localPin Argument in der Funktion formWsc. Ein Exploit ist ebenfalls öffentlich verfügbar. |
| CRITICAL (9.9) | CVE-2026-93985 OpenPanel js-runtime Sandbox Escape | OpenPanel js-runtime (bis Commit bad75bdd) enthält eine Sandbox-Escape-Schwachstelle im JavaScript-Webhook-Template-Validator. Angreifer mit Schreibzugriff auf Projekte können bösartige Webhook-Templates erstellen, um beliebigen Code im Worker-Prozess auszuführen. |
| CRITICAL (9.8) | CVE-2026-84434 Gravity Forms WordPress Plugin Arbitrary File Upload | Das WordPress-Plugin Gravity Forms (bis Version 3.1.0.4) ist anfällig für Arbitrary File Upload. Durch eine Validierungsinkonsistenz können unauthentifizierte Angreifer ausführbare Dateien hochladen und Remote Code Execution erreichen, wenn ein Formular ein verstecktes Dateiupload-Feld enthält. |
| CRITICAL (9.8) | CVE-2026-86591 Botiga Pro WordPress Plugin Unauthenticated Privilege Escalation | Das WordPress-Plugin Botiga Pro (vor Version 1.6.5) besitzt eine REST-Route ohne Authentifizierungsprüfung. Dies erlaubt unauthentifizierten Benutzern, beliebige WordPress-Optionen zu aktualisieren, was zu Privilege Escalation und einer vollständigen Site-Übernahme führen kann. |
| CRITICAL (9.1) | CVE-2026-89274 WP Recipe Maker WordPress Plugin Arbitrary Shortcode Execution | Das WordPress-Plugin WP Recipe Maker (bis Version 10.8.1) ist anfällig für Arbitrary Shortcode Execution. Über das reviewBody-Feld in Kommentaren können unauthentifizierte Angreifer beliebige registrierte WordPress-Shortcodes serverseitig ausführen, was zur Offenlegung sensibler Daten führen kann. |
| CRITICAL (9.1) | CVE-2026-92229 Forminator Forms WordPress Plugin Arbitrary Shortcode Execution | Das WordPress-Plugin Forminator Forms (bis Version 1.57.2) ermöglicht unauthentifizierten Angreifern die Ausführung beliebiger Shortcodes aufgrund unzureichender Validierung vor der Ausführung von do_shortcode. |
| HIGH (8.8) | CVE-2026-93922 SiYuan XSS in Daily Note Picker | SiYuan (bis 3.8.4) rendert Notizbuchnamen als rohes HTML im Daily Note Picker Dialog, ohne diese zu escapen. Dies ermöglicht gespeichertes Cross-Site Scripting (XSS) im Electron Renderer und damit die Ausführung von Betriebssystembefehlen. |
| HIGH (8.8) | CVE-2026-93923 SiYuan XSS in Outline/Bookmark Dock | SiYuan (bis 3.8.4) versäumt es, Style-Attribute von Überschriften im Outline- und Bookmark-Dock zu escapen. Dies ermöglicht gespeichertes Cross-Site Scripting (XSS) durch Injektion bösartiger Style-Werte, die im Electron Renderer mit vollem Systemzugriff ausgeführt werden. |
| HIGH (8.8) | CVE-2026-92807 Save as PDF Plugin by PDFCrowd WordPress Plugin Arbitrary Function Invocation | Das WordPress-Plugin Save as PDF Plugin by PDFCrowd (bis Version 4.6.1) ist anfällig für Arbitrary Function Invocation. Authentifizierte Angreifer (ab Contributor-Level) können über das pdf_created_callback Shortcode-Attribut beliebige PHP-Funktionen oder statische Klassenmethoden aufrufen, was zur Offenlegung von API-Schlüsseln oder weiteren Server-Side-Missbrauch führen kann. |
| HIGH (8.8) | CVE-2026-85680 Ultimate Member WordPress Plugin Stored XSS | Das WordPress-Plugin Ultimate Member (vor Version 2.13.1) escapet Benutzernamen nicht korrekt, bevor sie im Seitentitel ausgegeben werden. Unauthentifizierte Angreifer können sich registrieren und JavaScript speichern, das ausgeführt wird, wenn ein Besucher (einschließlich Administratoren) ihr Profil ansieht. |
| HIGH (8.8) | CVE-2026-88824 Master Blocks WordPress Plugin Unauthenticated Stored XSS | Das WordPress-Plugin Master Blocks (vor Version 1.5.0) hat keine Authentifizierungsprüfung auf einer seiner REST-Routen. Dies erlaubt unauthentifizierten Benutzern, Plugin-Einstellungen zu aktualisieren, einschließlich eines Wertes, der unescaped im Admin-Bereich ausgegeben wird, was zu Stored XSS für Administratoren führt. |
| HIGH (8.8) | CVE-2026-4327 Welcomizer WordPress Plugin Remote Code Execution | Das WordPress-Plugin Welcomizer (bis Version 2.8.1) ist anfällig für Remote Code Execution. Dies liegt an fehlenden Autorisierungsprüfungen in der AJAX-Aktion twiz_ajax_callback (’savesection‘-Handler) in Kombination mit der Verwendung von eval() für benutzereingespeisten „Custom Logic“-Code. Authentifizierte Angreifer (ab Subscriber-Level) können beliebigen PHP-Code injizieren. |
| HIGH (8.8) | CVE-2026-93993 Mistral Vibe Remote Code Execution | Mistral Vibe (vor 2.25.5) enthält eine Remote Code Execution Schwachstelle im Worktree-Erstellungsprozess. Angreifer können ein Repository mit einem präparierten Post-Checkout-Hook bereitstellen, der beliebige Shell-Befehle mit den Privilegien des Vibe-Benutzers ausführt. |
| HIGH (8.6) | CVE-2026-88926 VikRentItems WordPress Plugin SQL Injection | Das WordPress-Plugin VikRentItems Flexible Rental Management System (vor Version 1.2.4) sanitisiert und escapet einige Parameter nicht ausreichend vor der Verwendung in SQL-Anweisungen. Dies ermöglicht unauthentifizierten Benutzern, SQL-Injection-Angriffe durchzuführen. |
2. Bedrohungsanalysen und Angriffskampagnen
Die Bedrohungslandschaft bleibt dynamisch und breit gefächert, mit gezielten Angriffen auf kritische Infrastrukturen und neuartigen Vektoren:
-
Gezielte Angriffe auf Unternehmenslösungen und -infrastruktur
In den letzten Stunden wurden mehrere Warnungen und Nachrichten zu aktiven Angriffen und kritischen Sicherheitslücken in weit verbreiteten Unternehmenslösungen veröffentlicht. Angreifer konnten sensible Daten von Synology NAS-Systemen auslesen, Atlassian Confluence Data Center ausspionieren und eine Root-Sicherheitslücke in Check Point Security Management and Log Servers ausnutzen. Zudem gab es Warnungen, dass Angreifer Cisco Firewalls ausschalten und Cisco ISE sowie Google Pixel-Geräte und Acronis Backup kompromittieren können. Diese Vorfälle unterstreichen die Notwendigkeit, Patches für unternehmenskritische Systeme umgehend einzuspielen und die Netzwerksicherheit kontinuierlich zu überwachen.
-
Neue Bedrohungsvektoren durch AI-Browser-Agenten (BragJack)
Mit der zunehmenden Integration von Künstlicher Intelligenz in Browser und andere Anwendungen entstehen neue Angriffsflächen. Die „BragJack“-Angriffe zeigen, wie Angreifer KI-Browser-Agenten durch bösartige Erweiterungen kapern können. Diese Methode erlaubt es, die Kontrolle über die KI-Interaktionen eines Benutzers zu übernehmen und potenziell sensible Informationen abzugreifen oder unerwünschte Aktionen auszuführen. Organisationen sollten die Nutzung und Absicherung von Browser-Erweiterungen sowie KI-Tools streng reglementieren und auf die Herkunft und Vertrauenswürdigkeit achten.
-
Globale Cyberkampagnen und Datenlecks
Die nordkoreanische Hackergruppe WaterPlum wird für die Infektion von weltweit 30.000 Geräten verantwortlich gemacht, was die anhaltende Bedrohung durch staatlich unterstützte Akteure verdeutlicht. Parallel dazu kam es zu einem massiven Datenleck bei Gyazo, bei dem 23,6 Millionen Benutzerdaten gestohlen wurden. Diese Vorfälle zeigen die globale Reichweite und die gravierenden Auswirkungen von Cyberangriffen, die sowohl gezielte Spionage als auch breit angelegte Datendiebstähle umfassen können. Die Ransomware-Szene bleibt ebenfalls aktiv, wie der Vorfall zeigt, bei dem die Gruppe ShinyHunters die Leak-Seite der Ransomware-Gang Clop gehackt und mit Erpressung gedroht hat – ein interessantes Zeichen für interne Konflikte im Cybercrime-Ökosystem.
3. Datenschutz & Kryptografie
Der Datenschutz rückt verstärkt in den Fokus, insbesondere im Kontext neuer Technologien wie der Künstlichen Intelligenz. Aktuell sorgt eine „virale KI-Schauspielerinnen-Hotline“ für Aufsehen, da sie berichtet, jeden Anrufer per Gesichtsscan zu analysieren und dessen Stimmung zu überwachen. Dies wirft erhebliche Fragen hinsichtlich der Zustimmung zur Datenerfassung, der Speicherung biometrischer Daten und des Schutzes der Privatsphäre auf. Unternehmen und Nutzer müssen sich der potenziellen Risiken bewusst sein, wenn sie mit solchen Diensten interagieren.
Das zuvor erwähnte Datenleck bei Gyazo, bei dem 23,6 Millionen Benutzerdaten gestohlen wurden, unterstreicht zudem die anhaltende Notwendigkeit für Unternehmen, robuste Datenschutzmaßnahmen zu implementieren und die Sicherheit sensibler Nutzerinformationen zu gewährleisten. Keine besonderen Vorkommnisse im Bereich Kryptografie.
4. Handlungsempfehlungen
Basierend auf den aktuellen Schwachstellen und Bedrohungsanalysen empfehlen wir folgende Maßnahmen:
- Umgehende Patch-Installation für kritische Systeme:
- Überprüfen und aktualisieren Sie umgehend die Firmware von Totolink A3002MU Routern und anderen IoT-Geräten.
- Spielen Sie dringend Patches für alle betroffenen WordPress-Plugins ein, insbesondere: Gravity Forms, Botiga Pro, WP Recipe Maker, Forminator Forms, Save as PDF Plugin by PDFCrowd, Ultimate Member, Master Blocks, Welcomizer und VikRentItems. Priorisieren Sie diese Patches, da viele von ihnen unauthentifizierte Remote Code Execution oder Privilege Escalation ermöglichen.
- Wenden Sie die neuesten Sicherheitsupdates für OpenPanel js-runtime und SiYuan an, um Sandbox-Escape- und XSS-Schwachstellen zu beheben.
- Patchen Sie Mistral Vibe, um die Remote Code Execution-Schwachstelle zu schließen.
- Beachten Sie die Warnungen und installieren Sie verfügbare Patches für Synology NAS, Atlassian Confluence Data Center, Check Point Security Management and Log Servers, Cisco Firewalls, Cisco ISE, Google Pixel und Acronis Backup.
- Sicherheit von Webanwendungen und CMS:
- Implementieren Sie eine strikte Input-Validierung und Output-Encoding für alle benutzergenerierten Inhalte, um XSS und Shortcode-Injection zu verhindern.
- Führen Sie regelmäßige Sicherheitsaudits und Penetrationstests für Ihre WordPress-Installationen und andere Webanwendungen durch.
- Nutzen Sie Web Application Firewalls (WAF) als zusätzliche Schutzschicht.
- Monitoring und Incident Response:
- Verstärken Sie das Monitoring Ihrer Netzwerke und Systeme auf verdächtige Aktivitäten, insbesondere nach der Anwendung von Patches.
- Stellen Sie sicher, dass ein aktueller Incident-Response-Plan vorhanden und getestet ist.
- Awareness und Schulung:
- Sensibilisieren Sie Ihre Mitarbeiter für die Risiken von Phishing-Angriffen und bösartigen Browser-Erweiterungen, insbesondere im Kontext von KI-Agenten.
- Klären Sie über die Gefahren der unkritischen Nutzung von KI-Diensten auf, die umfassende Datenerfassung betreiben könnten.
Fazit
Der heutige Lagebericht zeigt eine weiterhin hohe Dichte an kritischen Schwachstellen, die unmittelbares Handeln erfordern. Von IoT-Geräten über weit verbreitete CMS-Plattformen bis hin zu Unternehmenslösungen – die Angriffsoberfläche ist enorm. Besonders besorgniserregend sind die öffentlich verfügbaren Exploits und die aktiven Angriffskampagnen. Die aufkommenden Bedrohungen durch manipulierte KI-Browser-Agenten signalisieren zudem eine Evolution der Angriffsmethoden, die zukünftig noch relevanter werden wird. Proaktives Patch-Management, kontinuierliche Überwachung und die Sensibilisierung der Nutzer sind entscheidend, um die Resilienz gegenüber der sich ständig verändernden Bedrohungslandschaft zu stärken und Daten sowie Systeme effektiv zu schützen.
IT-Sicherheit strukturiert prüfen?
Twoblue unterstützt bei Security Checks, Microsoft 365, Intune und der strukturierten Bewertung technischer Risiken.
