Tech Blog

Eine kürzlich bekannt gewordene, kritische Sicherheitslücke in nginx-ui, einem Open-Source-Verwaltungstool für Nginx-Webserver, wird bereits aktiv ausgenutzt. Die Schwachstelle mit der CVE-ID CVE-2026-33032 ermöglicht es Angreifern, die Kontrolle über den Nginx-Dienst zu übernehmen. Administratoren sollten dringend nach einem Patch Ausschau halten und ihre Systeme in der Zwischenzeit vor unbefugtem Zugriff schützen.

Eine kritische SQL-Injektionslücke (CVE-2026-27681, CVSS 9.9) in SAP Business Planning, Consolidation und Warehouse ermöglicht Angreifern die Ausführung beliebiger Datenbankbefehle. Neben dieser Schwachstelle wurden im April-Patch-Tuesday auch Sicherheitslücken in Produkten von Adobe, Fortinet und Microsoft behoben. Administratoren sollten die bereitgestellten Patches zeitnah einspielen, um die Systeme vor Missbrauch zu schützen.

Sicherheitsforscher haben eine kritische Schwachstelle in der MinIO-Objektspeicherlösung entdeckt, die es Angreifern ermöglicht, ohne Authentifizierung auf den Speicher zuzugreifen und Daten zu manipulieren. Die Schwachstelle, die als CVE-2025-62506 bekannt ist, ermöglicht es Unbefugten, Schreibrechte auf dem System zu erlangen. Administratoren müssen dringend das betroffene MinIO-System aktualisieren, um diese Sicherheitslücke zu schließen.

Microsoft hat 169 Sicherheitslücken in seinen Produkten behoben, darunter eine aktiv ausgenutzte Schwachstelle in SharePoint. Insgesamt sind 157 Lücken als "Wichtig" und 8 als "Kritisch" eingestuft. Admins sollten die Patches zeitnah einspielen, um ihre Systeme vor Angriffen zu schützen.

Das WordPress-Theme WebStack enthält eine Sicherheitslücke, die es Angreifern ohne Authentifizierung ermöglicht, beliebige Dateien auf den Server hochzuladen. Dies kann zu schwerwiegenden Folgen wie Remotecodeausführung führen, sollten die hochgeladenen Dateien vom Server ausgeführt werden. Die Schwachstelle liegt in der unzureichenden Überprüfung der Dateitypen in der Funktion io_img_upload(). Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-1555, CVE-2026-40764, CVE-2023-54359).

Eine kritische Sicherheitslücke in der Backend-Infrastruktur der NuGet Gallery von Microsoft ermöglicht Angreifern, durch manipulierte .nuspec-Dateien in NuGet-Paketen Schadcode einzuschleusen. Dies kann zu Remote-Code-Ausführung und willkürlichen Dateimanipulationen führen. Die Schwachstelle wurde in aktuellen Patches behoben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-39399, CVE-2026-34581).

In der OpenRemote IoT Plattform bis Version 1.21.0 wurden zwei kritische Expression-Injection-Schwachstellen entdeckt. Angreifer mit Schreibrechten können damit beliebigen Code auf dem Server ausführen und so Zugriff auf sensible Daten wie Datenbankzugangsdaten erlangen. Obwohl Sicherheitsfilter existieren, sind diese ineffektiv. Das Problem wurde in Version 1.22.0 behoben.

Eine Sicherheitslücke in der OpenStack-Komponente Keystone erlaubt es deaktivierten LDAP-Nutzern, sich dennoch am System anzumelden. Dies kann zu unbefugtem Zugriff auf sensible Daten führen. Ein Patch zur Behebung des Problems ist verfügbar.

Microsoft hat im April 2026 Sicherheitsupdates veröffentlicht, um eine aktiv ausgenutzte Schwachstelle (CVE-2025-53770) in SharePoint zu schließen. Angreifer können diese Lücke ausnutzen, um Spoofing-Angriffe durchzuführen. Admins sollten die Aktualisierungen schnell einspielen, um ihre Systeme vor Kompromittierung zu schützen.

Dieser Monat müssen IT-Sicherheitsteams dringend eine kritische Schwachstelle in Windows TCP/IP patchen, die eine Fernausführung von Code ermöglicht. Daneben gibt es weitere schwerwiegende Lücken in SharePoint, Active Directory und Microsoft Defender, die umgehend behoben werden sollten. Der starke Anstieg an Sicherheitslücken könnte mit der Veröffentlichung des KI-Tools Mythos zusammenhängen, das Entwicklern dabei hilft, Schwachstellen in ihren Produkten zu finden.