Tech Blog

Sicherheitsforscher haben eine kritische Schwachstelle in der MinIO-Objektspeicherlösung entdeckt, die es Angreifern ermöglicht, ohne Authentifizierung auf den Speicher zuzugreifen und Daten zu manipulieren. Die Schwachstelle, die als CVE-2025-62506 bekannt ist, ermöglicht es Unbefugten, Schreibrechte auf dem System zu erlangen. Administratoren müssen dringend das betroffene MinIO-System aktualisieren, um diese Sicherheitslücke zu schließen.

Microsoft hat 169 Sicherheitslücken in seinen Produkten behoben, darunter eine aktiv ausgenutzte Schwachstelle in SharePoint. Insgesamt sind 157 Lücken als "Wichtig" und 8 als "Kritisch" eingestuft. Admins sollten die Patches zeitnah einspielen, um ihre Systeme vor Angriffen zu schützen.

Das WordPress-Theme WebStack enthält eine Sicherheitslücke, die es Angreifern ohne Authentifizierung ermöglicht, beliebige Dateien auf den Server hochzuladen. Dies kann zu schwerwiegenden Folgen wie Remotecodeausführung führen, sollten die hochgeladenen Dateien vom Server ausgeführt werden. Die Schwachstelle liegt in der unzureichenden Überprüfung der Dateitypen in der Funktion io_img_upload(). Insgesamt wurden 3 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-1555, CVE-2026-40764, CVE-2023-54359).

Eine kritische Sicherheitslücke in der Backend-Infrastruktur der NuGet Gallery von Microsoft ermöglicht Angreifern, durch manipulierte .nuspec-Dateien in NuGet-Paketen Schadcode einzuschleusen. Dies kann zu Remote-Code-Ausführung und willkürlichen Dateimanipulationen führen. Die Schwachstelle wurde in aktuellen Patches behoben. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-39399, CVE-2026-34581).

In der OpenRemote IoT Plattform bis Version 1.21.0 wurden zwei kritische Expression-Injection-Schwachstellen entdeckt. Angreifer mit Schreibrechten können damit beliebigen Code auf dem Server ausführen und so Zugriff auf sensible Daten wie Datenbankzugangsdaten erlangen. Obwohl Sicherheitsfilter existieren, sind diese ineffektiv. Das Problem wurde in Version 1.22.0 behoben.

Eine Sicherheitslücke in der OpenStack-Komponente Keystone erlaubt es deaktivierten LDAP-Nutzern, sich dennoch am System anzumelden. Dies kann zu unbefugtem Zugriff auf sensible Daten führen. Ein Patch zur Behebung des Problems ist verfügbar.

Microsoft hat im April 2026 Sicherheitsupdates veröffentlicht, um eine aktiv ausgenutzte Schwachstelle (CVE-2025-53770) in SharePoint zu schließen. Angreifer können diese Lücke ausnutzen, um Spoofing-Angriffe durchzuführen. Admins sollten die Aktualisierungen schnell einspielen, um ihre Systeme vor Kompromittierung zu schützen.

Dieser Monat müssen IT-Sicherheitsteams dringend eine kritische Schwachstelle in Windows TCP/IP patchen, die eine Fernausführung von Code ermöglicht. Daneben gibt es weitere schwerwiegende Lücken in SharePoint, Active Directory und Microsoft Defender, die umgehend behoben werden sollten. Der starke Anstieg an Sicherheitslücken könnte mit der Veröffentlichung des KI-Tools Mythos zusammenhängen, das Entwicklern dabei hilft, Schwachstellen in ihren Produkten zu finden.

Eine Schwachstelle im Pfadsuche-Mechanismus von Adobe Framemaker ermöglicht Angreifern die Ausführung von beliebigem Code. Betroffen sind Versionen bis 2022.8. Die Lücke erlaubt es Schadsoftware, sich als legitime Anwendung auszugeben und so Schadcode einzuschleusen. Ein Patch ist dringend erforderlich, um Systeme vor Kompromittierung zu schützen.

Eine gefährliche Heap-Pufferüberlauf-Schwachstelle in Microsofts Graphics Component ermöglicht es Angreifern, lokal Code auszuführen. Das Ganze hat eine Bewertung von 8.4 auf der CVSS-Skala - also ziemlich übel. Admins sollten dringend den Patch von Microsoft installieren, sobald er verfügbar ist.