Tech Blog

In den Versionen 9.2.1 und älter des weit verbreiteten Calibre E-Book-Managers wurden schwerwiegende Sicherheitslücken durch Pfad-Traversal-Schwachstellen im PDB-Reader entdeckt (CVE-2026-26065). Angreifer können damit beliebige Dateien mit beliebigem Inhalt an Orten überschreiben, zu denen der Nutzer Schreibrechte hat. Dies kann zu Denial-of-Service-Angriffen durch Dateibeschädigung oder sogar Schadcode-Ausführung führen. Anwender werden dringend empfohlen, auf Version 9.3.0 zu aktualisieren, in der diese Probleme behoben wurden.

Eine kritische SQL-Injektions-Schwachstelle in Kolay Software Inc. Talentics ermöglicht Angreifern die Ausführung beliebiger SQL-Befehle. Dies gefährdet die Datensicherheit und -integrität, da Angreifer unberechtigten Zugriff auf sensible Informationen erlangen können. Nutzer sollten umgehend Maßnahmen ergreifen, um ihre Systeme vor diesem Angriff zu schützen.

Forscher haben eine kritische Sicherheitslücke im SPIP Saisies Plugin entdeckt, die es Angreifern ermöglicht, beliebigen Code auf dem Server auszuführen. Das Problem betrifft SPIP-Versionen von 5.4.0 bis 5.11.0. Nutzer sollten dringend auf Version 5.11.1 oder höher aktualisieren, um ihre Systeme vor möglicher Ausnutzung zu schützen.

Eine Sicherheitslücke in Kata Containers, einer Open-Source-Lösung für leichtgewichtige virtuelle Maschinen, erlaubt es Angreifern, das Dateisystem der Guest-Micro-VM zu manipulieren und so Schadcode mit Root-Rechten auszuführen. Obwohl das Host-System selbst nicht direkt gefährdet ist, können bestimmte Konfigurationen, insbesondere mit arm64 QEMU ohne NVDIMM-Schreibschutz, theoretisch auch den Host-Rechner kompromittieren. Ein Update auf Version 3.27.0 ist erforderlich, um diese kritische Sicherheitslücke, bekannt als CVE-2026-24834, zu beheben.

Das Semantic Kernel Python-SDK von Microsoft enthält eine Schwachstelle in der `InMemoryVectorStore`-Funktion, die es Angreifern ermöglichen kann, beliebigen Code remote auszuführen. Betroffen sind Versionen vor 1.39.4. Nutzer sollten dringend auf Version 1.39.4 oder neuer aktualisieren. Als Alternative wird empfohlen, den `InMemoryVectorStore` in Produktionsumgebungen zu meiden, bis das Update eingespielt ist.

Erneut eine kritische Zero-Day-Lücke in Chrome, die bereits aktiv ausgenutzt wird. Die Schwachstelle CVE-2026-2441 ermöglicht Remote-Code-Execution und wurde glücklicherweise schnell vom Hersteller behoben. Sysadmins sollten dringend auf die aktuellste Chrome-Version updaten, um ihre Systeme vor Angriffen zu schützen.

In der Live Server Extension für den beliebten Code-Editor VS Code wurde eine kritische Sicherheitslücke entdeckt, die bis zu 72 Millionen Entwickler betreffen könnte. Leider gibt es bislang keinen Patch, um das Problem zu beheben. Die Schwachstelle könnte Angreifern Fernzugriff auf die betroffenen Systeme ermöglichen. Entwickler, die diese Extension nutzen, sollten die Verwendung vorerst einstellen, bis ein Sicherheitsupdate verfügbar ist.

Die Schwachstelle CVE-2026-1731 in der Identitätsplattform BeyondTrust ermöglicht Angreifern die Übernahme von Systemen ohne Anmeldung. Malware wie VShell und SparkRAT werden dabei eingesetzt, um Kontrolle über die betroffenen Systeme zu erlangen. Administratoren sollten umgehend den Patch von BeyondTrust installieren, um ihre Systeme vor diesem kritischen Sicherheitsrisiko zu schützen.

In den Versionen 3.24.0 bis 6.19.0 des Node.js-basierten Content-Management-Systems Ghost gibt es eine kritische Schwachstelle, die es unautorisieren Angreifern ermöglicht, auf die Datenbank zuzugreifen. Der Patch in Version 6.19.1 behebt dieses Problem. Sicherheitsverantwortliche sollten ihre Ghost-Instanzen schnellstmöglich auf die aktuelle Version aktualisieren.

Acronis Cyber Protect 16 und 15 (Linux, Windows) sind von einer Sicherheitslücke betroffen, die sensible Daten offenlegt und Manipulation ermöglicht. Das Problem liegt in der fehlenden Autorisierung. Betroffene Nutzer sollten umgehend auf die neuesten, sicheren Versionen der Software aktualisieren.