Tech Blog

Kritische Schwachstellen in MCP-Servern ermöglichen es Angreifern, KI-Assistenten auszunutzen, um Cloudkonten zu übernehmen und Schadcode auszuführen. Die Sicherheitslücken bedrohen die Integrität von KI-Systemen und die Vertraulichkeit von Nutzerdaten. Solange keine Patches verfügbar sind, müssen Administratoren den Zugriff auf MCP-Server einschränken und Nutzer über die Risiken aufklären.

Oracle VM VirtualBox weist eine kritische Sicherheitslücke auf, die Angreifern mit hohen Privilegien die vollständige Kontrolle über das System ermöglicht. CVE-2026-21988 betrifft bestimmte Versionen des Produkts und kann schwerwiegende Folgen haben. Administratoren sollten umgehend Sicherheitsmaßnahmen ergreifen, um potenzielle Bedrohungen abzuwenden.

In Oracle FLEXCUBE Investor Servicing, einem Teil der Oracle Financial Services Applications, existiert eine schwerwiegende Sicherheitslücke. Ein Angreifer mit Netzwerkzugriff kann damit unkontrolliert Daten erstellen, löschen oder manipulieren und so auf sensible Informationen zugreifen. Betroffen sind die Versionen 14.5.0.15.0, 14.7.0.8.0 und 14.8.0.1.0. Anwender sollten dringend Gegenmaßnahmen ergreifen und das System umgehend patchen. Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-21973, CVE-2026-21967, CVE-2026-21990).

Eine Sicherheitslücke im populären npm-Paket binary-parser ermöglicht die Ausführung von beliebigem JavaScript-Code. Betroffen sind alle Versionen vor 2.3.0, die das Problem beheben. Das CERT/CC warnt, dass diese Schwachstelle ausgenutzt werden kann, um Systeme zu kompromittieren. Administratoren sollten ihre Node.js-Umgebungen dringend auf die aktuelle Version aktualisieren, um sich vor dieser kritischen Sicherheitslücke zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-1245, CVE-2020-10188).

Eine schwerwiegende Sicherheitslücke in Zoom ermöglicht Angreifern mit CVSS-Bewertung 9.9 die Ausführung beliebiger Befehle. Die Lücke (CVE-2026-22844) betrifft Hybrid-Meetings und sollte dringend gepatcht werden, um Kompromittierungen zu verhindern.

Forscher entdeckten drei Schwachstellen im offiziellen Git MCP Server von Anthropic, die es Angreifern ermöglichen, Prompt-Injections durchzuführen und so große Sprachmodelle (LLMs) zu manipulieren. Betroffen sind Entwickler, die den Server vor Version 2025.12.18 nutzen. Die Lücken erlauben das Ausführen von bösartigem Code, das Überschreiben von Dateien und das Löschen von Inhalten. Admins müssen den Server umgehend auf die aktuelle Version aktualisieren und prüfen, welche anderen MCP-Server im Einsatz sind, da diese die Angriffsfläche vergrößern können.

Eine kritische Sicherheitslücke (CVE-2026-23876) in ImageMagick ermöglicht Angreifern durch das Hochladen manipulierter "XBM"-Bilder einen massiven Heap-Overflow auszulösen. Das kann zu Abstürzen, Datenverlust oder sogar Schadcode-Ausführung führen. Betreiber sollten ImageMagick umgehend auf die neueste Version aktualisieren, um die Verwundbarkeit zu schließen.

Eine Schwachstelle in der github.com/containers/image-Bibliothek erlaubt es Angreifern, unautorisiert auf Registries zuzugreifen und so Ressourcenerschöpfung, lokale Pfadtraversals und andere Angriffe durchzuführen. Betroffen sind Systeme, die diese Bibliothek verwenden. Ein Patch ist verfügbar, daher sollte das Update zeitnah eingespielt werden.

Eine kritische Schwachstelle in der telnetd-Komponente von GNU Inetutils bis Version 2.7 ermöglicht es Angreifern, sich remote ohne Authentifizierung als root-Nutzer anzumelden. Die Ausnutzung dieser Sicherheitslücke mit der CVE-ID CVE-2026-24061 hat eine Bewertung von 9.8 auf der CVSS-Skala und sollte dringend behoben werden.

Eine kritische XML-Schwachstelle (XXE) in opensagres XDocReport erlaubt Angreifern das Ausführen von Schadcode über manipulierte .docx-Dateien. Betroffen sind die Versionen 0.9.2 bis 2.0.3. Admins sollten dringend auf die neueste Version updaten, um Systeme vor Kompromittierung zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-65482, CVE-2026-20045).