Tech Blog

Eine Sicherheitslücke mit CVSS-Score 10 in der Cloud-Verwaltungsplattform Juju ermöglicht Angreifern den vollständigen Zugriff auf die Infrastruktur. Die Schwachstelle CVE-2026-4370 erlaubt es, die Master-Zugangsdaten für die Cloud-Umgebung zu stehlen. Betroffene Administratoren sollten dringend ein Update einspielen, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Sicherheitslücke mit CVSS-Bewertung 9.8 im Linux-Tool Cockpit ermöglicht es Angreifern, ohne Authentifizierung die vollständige Kontrolle über den Server zu übernehmen. Die Schwachstelle (CVE-2026-4631) erlaubt Remote Code Execution und muss dringend gepatcht werden.

Eine Analyse von 216 Millionen Sicherheitsvorfällen in 250 Unternehmen zeigt, dass die Zahl der als kritisch eingestuften Risiken um fast 400% gestiegen ist. Dabei wächst das Volumen der Warnmeldungen insgesamt "nur" um 52%. Offenbar schafft der rasante Einsatz von KI-unterstützter Entwicklung eine Lücke, in der die Dichte hochgefährlicher Schwachstellen schneller zunimmt als die Behebung.

Eine kritische Sicherheitslücke im EngageSDK, die mehr als 50 Millionen Android-Nutzer betrifft, ermöglicht Datentransfer ohne Autorisierung. Die Schwachstelle (CVE-2025-47372) erlaubt Angreifern den unbefugten Zugriff auf sensible Daten. Hersteller wurden informiert und ein Patch ist verfügbar, der zeitnah eingespielt werden sollte, um die Systeme zu schützen.

Eine kritische Sicherheitslücke mit einem CVSS-Score von 9,4 im Dokumenten-Management-Tool ShowDoc wird derzeit aktiv von Angreifern ausgenutzt. Die Schwachstelle ermöglicht es, beliebigen Code auf den betroffenen Servern auszuführen. Admins sollten umgehend Patches installieren, um ihre Systeme vor Kompromittierung zu schützen.

Die US-Behörde CISA hat eine kritische SQL-Injection-Schwachstelle mit der CVE-ID CVE-2026-21643 in Fortinet FortiClient EMS als aktiv ausgenutzt gelistet. Angreifer können damit ohne Authentifizierung Schadcode ausführen. Ein Patch ist dringend empfohlen, um die Systeme vor Kompromittierung zu schützen.

Ubiquiti's UniFi Play-Produktlinie weist mehrere kritische Schwachstellen auf, die es Angreifern ermöglichen könnten, Befehle auf den betroffenen Geräten auszuführen. Nutzer sollten dringend auf die neuesten Versionen der UniFi Play PowerAmp (ab 1.0.38) und UniFi Play Audio Port (ab 1.1.9) aktualisieren, um diese Sicherheitslücken zu schließen.

Synology hat Sicherheitslücken in seinem SSL VPN Client behoben. Angreifer konnten über die Lücke mit der CVE-ID CVE-2026-1603 Fernzugriff auf betroffene Systeme erlangen. Nutzer sollten umgehend das Update auf Version 1.4.5-0684 oder höher installieren, um sich vor Angriffen zu schützen.

In der JavaScript-Crypto-Bibliothek Forge (node-forge) gab es bis Version 1.4.0 eine kritische Schwachstelle bei der Ed25519-Signaturüberprüfung. Angreifer konnten gefälschte, nicht-kanonische Signaturen erstellen, die trotzdem als gültig akzeptiert wurden. Dies kann Authentifizierungs- und Autorisierungsmechanismen umgehen und Replay-Schutz sowie Signatur-Deduplizierung aushebeln. Die Schwachstelle wurde in CVE-2026-33895 mit einer Bewertung von 7.5 (High) erfasst. Anwender sollten dringend auf die aktuellste Version von Forge aktualisieren.

In älteren Versionen von OpenFGA, einer flexiblen Autorisierungs-Engine, kann es unter bestimmten Bedingungen zu Cachingproblemen kommen. Dadurch können unterschiedliche Prüfanfragen den gleichen Cacheschlüssel erhalten und OpenFGA könnte frühere, falsche Ergebnisse wiederverwenden. Betroffen sind Anwender, deren Modelle auf Bedingungsauswertung und Caching setzen. OpenFGA 1.13.1 enthält einen Patch für dieses kritische Sicherheitsrisiko.