Täglicher IT-Security-Lagebericht – 30.09.2026
Der tägliche IT-Security-Lagebericht fasst relevante Schwachstellen, Sicherheitsmeldungen und Handlungsempfehlungen kompakt zusammen.
Willkommen zum täglichen IT-Security-Lagebericht vom 30. September 2026. Der heutige Bericht beleuchtet eine Reihe kritischer Schwachstellen, die von OS Command Injection über Authentifizierungs-Bypasses bis hin zu Remote Code Execution (RCE) reichen und diverse Systeme von Netzwerkgeräten bis hin zu KI-Frameworks betreffen.
Zudem beobachten wir weiterhin aktive Ausnutzungen bekannter Schwachstellen in Unternehmenssoftware und die Entstehung neuer Bedrohungsvektoren im Bereich der künstlichen Intelligenz. Proaktives Patchmanagement und erhöhte Wachsamkeit sind weiterhin unerlässlich, um die digitale Infrastruktur zu schützen.
1. Aktuelle CVEs und Schwachstellen
Die folgenden kritischen Schwachstellen wurden kürzlich bekannt oder aktualisiert und erfordern umgehende Aufmerksamkeit:
| Kritikalität (CVSS) | CVE-ID / Titel | Kurzbeschreibung |
|---|---|---|
| 10.0 (Kritisch) | CVE-2026-102240: Netcore NAP930 OS Command Injection | Eine Schwachstelle in Netcore NAP930 ermöglicht eine OS Command Injection über den sid-Parameter in der Network Tools CGI-Komponente. Remote ausnutzbar, Exploit öffentlich verfügbar. |
| 10.0 (Kritisch) | CVE-2026-53988: Dockhand Authentication Bypass | Dockhand vor 1.0.40 enthält einen Authentifizierungs-Bypass in seinen Git-Webhook-Endpoints, der es nicht-authentifizierten Angreifern ermöglicht, willkürliche Stack-Redeployments auszulösen. Führt zu DoS oder potenzieller Host-Kompromittierung. |
| 10.0 (Kritisch) | CVE-2026-96587: Viidure Android Hardcoded Credentials | Die Viidure Android-Anwendung bettet permanente, Klartext-Cloud-Speicher-Anmeldeinformationen in ihren kompilierten Code ein, was vollen Zugriff auf kritische Plattformdateien ermöglicht. |
| 10.0 (Kritisch) | CVE-2026-71379: Unauthentifizierter Datenbankexport | Ein Dateiexport-Endpoint ermöglicht es jedem unauthentifizierten Angreifer, beliebige Datenbanktabellen durch Senden einer manipulierten POST-Anfrage zu exportieren. |
| 9.9 (Kritisch) | CVE-2026-84154: GEOVIA Geospatial Data Manager Code Injection | Eine Code-Injection-Schwachstelle in GEOVIA Geospatial Data Manager (3DEXPERIENCE R2024x-R2026x) könnte Angreifern die Ausführung beliebigen Codes auf dem Server ermöglichen. |
| 9.8 (Kritisch) | CVE-2023-54400: Fumasoft Fumeng Cloud SQL Injection | Fumasoft Fumeng Cloud weist eine SQL-Injection-Schwachstelle im AjaxMethod.ashx-Endpoint auf, die unauthentifizierten, entfernten Angreifern die Injektion beliebigen SQLs über den Name-Parameter erlaubt. |
| 9.8 (Kritisch) | CVE-2026-77177: Open GenAI Stack Code Execution | Open GenAI Stack (ogx-ai) ermöglicht Code-Ausführung, da Prompt-Injection (mit Jinja2-Templatesyntax) für die Auswertung serverseitiger Ausdrücke ohne Sanitization genutzt werden kann. |
| 9.8 (Kritisch) | CVE-2026-100291: Anjvision YSSD‑RTMP‑H5 Auth Bypass | In der Firmware-Version 3.3.2.4 von Anjvision YSSD‑RTMP‑H5 verarbeiten mehrere ONVIF-Dienst-Endpoints Management-Anfragen ohne die erforderliche Authentifizierung zu erzwingen, was unbefugten Zugriff ermöglicht. |
| 9.8 (Kritisch) | CVE-2026-39117: AltumCode 66Uptime RCE | Eine Schwachstelle in AltumCode 66Uptime vor v.54.0.0 und dem 66Uptime ping-servers Plugin vor v.2.0.0 ermöglicht die Remote Code Execution über index.php. |
| 9.8 (Kritisch) | CVE-2026-76721: HPE Networking Instant ON Buffer Overflow | Ein Buffer Overflow in der betroffenen Schnittstelle von HPE Networking Instant ON könnte es einem nicht-authentifizierten Angreifer ermöglichen, beliebigen Code auf dem Host auszuführen. |
| 9.8 (Kritisch) | CVE-2026-76722: HPE Networking Instant ON APs Format String | Unkontrollierte Format String-Schwachstellen in HPE Networking Instant ON APs könnten eine Remote Code Execution oder Denial-of-Service ermöglichen. |
| 9.8 (Kritisch) | CVE-2026-79538: metatool-ai MetaMCP Code Execution | metatool-ai MetaMCP bis einschließlich 2.4.22 ist anfällig für Code Execution im internen MCP-Inspektor-Proxy-Endpoint GET /mcp-proxy/server/stdio. |
| 9.8 (Kritisch) | CVE-2026-103040: LightLLM RCE im Profiler-Dienst | LightLLM bis 1.2.0 enthält eine Remote Code Execution-Schwachstelle im Router-Profiler-Dienst (bei gestartetem --enable_profiling), da ein unauthentifizierter RPyC-Server mit Pickle-Deserialisierung freigelegt wird. |
| 9.8 (Kritisch) | CVE-2026-103041: LightLLM Multimodal RCE im Cache-Dienst | LightLLM bis 1.2.0 (multimodale Bereitstellungen) legen einen unauthentifizierten RPyC-Cache-Dienst mit Pickle-Deserialisierung auf allen Schnittstellen frei, was RCE ermöglicht. |
| 9.6 (Kritisch) | CVE-2026-101354: FAST FAC1203R Buffer Overflow | Ein Stack-basierter Buffer Overflow in der Funktion _tWlanTask der Komponente MmtAtePrase Parser in FAST FAC1203R ist bekannt. Erfordert lokalen Netzwerkzugriff, Exploit ist öffentlich. |
2. Bedrohungsanalysen und Angriffskampagnen
Die aktuellen Meldungen zeigen eine anhaltende Bedrohung durch die aktive Ausnutzung von Schwachstellen in weit verbreiteter Unternehmenssoftware sowie neue Angriffsvektoren im Bereich der künstlichen Intelligenz:
- Aktive Exploitation von Enterprise-Software: Angriffe auf kritische Schwachstellen in Microsoft SharePoint und Citrix NetScaler sind besorgniserregend. Sicherheitsforscher warnen vor Zero-Day-Exploits in Citrix NetScaler, die bereits zur Bereitstellung von Web-Shells genutzt werden. Auch Lücken in Groupware Zimbra und WatchGuard AP werden aktiv ausgenutzt oder erfordern dringende Updates. Dies unterstreicht die Notwendigkeit eines schnellen Patch-Managements und kontinuierlicher Überwachung für derartige Infrastrukturen.
- Neue Bedrohungsvektoren durch KI: Es wurden Berichte über „Custom ChatGPTs“ bekannt, die für „ClickFix“-Angriffe missbraucht werden, um RAT-Malware (Remote Access Trojan) zu verbreiten. Dies zeigt, wie Angreifer neue Technologien nutzen, um ihre Methoden zu verfeinern und Social Engineering-Angriffe glaubwürdiger zu gestalten. Nutzer sollten bei Interaktionen mit KI-Tools stets höchste Vorsicht walten lassen.
3. Datenschutz & Kryptografie
Im Bereich Datenschutz und Kryptografie gibt es positive Entwicklungen zu verzeichnen:
- Signal verbessert lokale Backup-Verschlüsselung: Der Messenger-Dienst Signal hat die Unterstützung für verschlüsselte lokale Backups in seinen iOS- und Desktop-Anwendungen eingeführt. Dies erhöht die Datensicherheit für Nutzer, die ihre Chat-Historie lokal sichern möchten, indem die Daten auch außerhalb der Ende-zu-Ende-verschlüsselten Kommunikation zusätzlich geschützt werden.
4. Handlungsempfehlungen
Angesichts der aktuellen Lage sind folgende Maßnahmen dringend empfohlen:
- Priorisiertes Patch-Management: Überprüfen Sie umgehend Ihre Infrastruktur auf die oben genannten kritischen CVEs, insbesondere für Netcore, Dockhand, GEOVIA, Fumasoft, AltumCode, HPE Networking Instant ON, Anjvision YSSD-RTMP-H5 und die LightLLM-Frameworks. Stellen Sie sicher, dass alle Systeme, insbesondere öffentlich zugängliche Dienste wie Citrix NetScaler und Microsoft SharePoint, mit den neuesten Sicherheitsupdates versehen sind.
- Überprüfung von Anmeldeinformationen: Führen Sie eine Prüfung durch, um sicherzustellen, dass keine fest codierten (hardcoded) Klartext-Anmeldeinformationen, wie in der Viidure Android-App, in Ihren Anwendungen oder Geräten vorhanden sind. Implementieren Sie sichere Methoden zur Verwaltung von Geheimnissen.
- Strenge Zugriffskontrollen: Stellen Sie sicher, dass alle exponierten Dienste, insbesondere solche mit Export-Funktionen oder API-Endpoints (z.B. Dateiexport-Endpoints, ONVIF-Dienste, RPyC-Server), eine robuste Authentifizierung und Autorisierung erfordern. Deaktivieren Sie unnötige Dienste oder Features wie den LightLLM-Profiler, wenn er nicht in Gebrauch ist.
- Sensibilisierung und Schulung: Informieren Sie Ihre Mitarbeiter über die Risiken von Social Engineering-Angriffen, insbesondere im Kontext neuer Technologien wie KI-Tools. Seien Sie vorsichtig bei unerwarteten Aufforderungen oder Links, die scheinbar von KI-Assistenten stammen.
- Netzwerk- und Endpunktüberwachung: Implementieren und pflegen Sie eine umfassende Überwachung von Netzwerkaktivitäten und Endpunkten, um Anzeichen von Kompromittierung oder aktiver Ausnutzung von Schwachstellen frühzeitig zu erkennen.
- Sichere Konfiguration: Überprüfen Sie die Konfiguration Ihrer Systeme und Anwendungen regelmäßig. Achten Sie auf Standardkonfigurationen, die Sicherheitsrisiken darstellen könnten (z.B. aktivierte Debugging- oder Profiling-Dienste ohne Authentifizierung).
Fazit
Der heutige Lagebericht zeigt einmal mehr die dynamische Natur der Bedrohungslandschaft. Mit einer Vielzahl kritischer Schwachstellen in unterschiedlichen Produkten und der fortwährenden Anpassung von Angriffstaktiken ist eine kontinuierliche Wachsamkeit und ein agiles Sicherheitsmanagement unerlässlich. Durch schnelles Handeln bei der Implementierung von Updates und der Stärkung grundlegender Sicherheitsprinzipien können Organisationen ihre Resilienz gegenüber Cyberangriffen signifikant verbessern.
IT-Sicherheit strukturiert prüfen?
Twoblue unterstützt bei Security Checks, Microsoft 365, Intune und der strukturierten Bewertung technischer Risiken.
