Tech Blog

Mehrere Sicherheitslücken in Veeam Backup & Replication ermöglichen Remote-Code-Ausführung und das Erstellen von manipulierten Backup-Konfigurationsdateien. Betroffen sind Nutzer mit Backup-Admin-, Backup-Operator- oder Tape-Operator-Rechten. Veeam hat bereits Patches veröffentlicht, die zeitnah installiert werden sollten. Backups selbst bleiben von den Schwachstellen unberührt, aber der Backup-Server könnte kompromittiert werden.

Das WordPress-Plugin "Demo Importer Plus" wies eine schwerwiegende Sicherheitslücke auf, die es Angreifern ermöglichte, eine Website komplett zurückzusetzen und sich selbst Administratorrechte zu verschaffen. Betroffen waren über 10.000 WordPress-Installationen. Der Patch wurde innerhalb weniger Wochen veröffentlicht, Nutzer sollten das Plugin umgehend aktualisieren.

Die Open-Source-Workflow-Automatisierungsplattform n8n warnt vor einer kritischen Sicherheitslücke mit der Bewertung 10.0 auf der CVSS-Skala. Unter bestimmten Umständen können authentifizierte Nutzer beliebigen Code ausführen. Betroffen sind sowohl selbst gehostete als auch Cloud-Versionen der Plattform. Ein Patch ist erforderlich, um die Schwachstelle zu schließen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2026-21877, CVE-2026-0625).

Google hat ein Chrome-Update veröffentlicht, das eine schwerwiegende Sicherheitslücke behebt. Zwar bringt die neue Version keine neuen Funktionen mit, dafür können Anwender jetzt jedoch sicher surfen, ohne dass Angreifer die Kontrolle über ihre Systeme übernehmen können.

Eine kritische Schwachstelle (CVE-2025-65606) in der Firmware-Upload-Fehlerbehandlung des TOTOLINK EX200 Wireless-Repeaters ermöglicht es einem authentifizierten Angreifer, die vollständige Kontrolle über das Gerät zu erlangen. Das CERT/CC hat Details zu dieser unkorrigierten Sicherheitslücke veröffentlicht. Bis ein Patch vorliegt, bleibt das Gerät für Angriffe anfällig.

Eine schwerwiegende Sicherheitslücke in der Open-Source-Workflow-Automatisierungsplattform n8n ermöglicht es Angreifern mit gültigen Zugangsdaten, willkürliche Systemkommandos auf dem Zielhost auszuführen. Die Schwachstelle mit der Kennung CVE-2025-68668 hat eine hohe CVSS-Bewertung von 9.9 und wird als Schutzmaßnahmenversagen eingestuft. Betroffen sind n8n-Versionen ab einem unbekannten Zeitpunkt.

Eine kritische Sicherheitslücke im "@adonisjs/bodyparser"-NPM-Paket ermöglicht Angreifern das Schreiben beliebiger Dateien auf dem Server. Die Schwachstelle (CVE-2026-21440, CVSS-Bewertung 9.2) betrifft die Multipart-Verarbeitung und kann bei erfolgreicher Ausnutzung zu Dateimanipulation führen. Entwickler werden dringend empfohlen, ihre AdonisJS-Anwendungen auf die neueste Version zu aktualisieren, um sich vor dieser Schwachstelle zu schützen.

Die USA verlangen direkten Zugriff auf europäische Polizeidatenbanken mit biometrischen Daten, nicht nur von Reisenden. Die EU-Kommission soll die Verhandlungen führen. Dies wirft Fragen zum Datenschutz und der Souveränität europäischer Staaten auf.

Sicherheitsforscher haben Details einer langanhaltenden Kampagne offengelegt, bei der IoT-Geräte und Webanwendungen über die kürzlich bekannt gewordene kritische React2Shell-Schwachstelle (CVE-2025-55182, CVSS-Bewertung: 10.0) in ein Botnetz namens RondoDox eingebunden werden. Seit Dezember 2025 wird diese Lücke ausgenutzt, um den Zugriff auf die betroffenen Systeme zu erlangen.

IBM hat eine kritische Sicherheitslücke in seiner API Connect-Plattform gemeldet, die Angreifern ermöglicht, die Authentifizierung zu umgehen und Remotezugriff auf die Anwendung zu erlangen. Die Schwachstelle, die mit einer Bewertung von 9,8 von 10 auf der CVSS-Skala als äußerst gefährlich eingestuft wird, muss dringend behoben werden.