Zusammenfassung

Eine kritische Schwachstelle der Stärke CVSS 9.1 wurde in mehreren Versionen von Fortinet FortiSandbox entdeckt. Es handelt sich um eine OS Command Injection (CWE-78), die es einem unauthentifizierten Angreifer ermöglicht, über speziell konzipierte HTTP-Anfragen beliebige Systembefehle auf dem betroffenen System auszuführen. Die Schwachstelle betrifft sowohl On-Premises-Installationen als auch Cloud- und PaaS-Varianten.

Technische Details

Die Schwachstelle liegt in der fehlerhaften Neutralisierung spezieller Eingabeelemente, die in OS-Befehlen verwendet werden. Ein Angreifer kann über manipulierte HTTP-Anfragen eigene Befehle einschleusen, die dann mit den Berechtigungen des FortiSandbox-Prozesses ausgeführt werden. Da keine vorherige Authentifizierung erforderlich ist, ist die Angriffsfläche besonders groß.

Betroffene Systeme

Empfehlungen und Maßnahmen

1. Sofortiges Update — Aktualisieren Sie betroffene FortiSandbox-Installationen auf die neueste verfügbare Version. Fortinet stellt Patches über den PSIRT Advisory FG-IR-26-141 bereit.
2. Network Segmentation — Stellen Sie sicher, dass FortiSandbox-Instanzen nicht direkt aus dem Internet erreichbar sind, bis ein Update durchgeführt werden kann.
3. Zugriffskontrolle — Überprüfen Sie Firewall-Regeln und beschränken Sie den Zugriff auf die Verwaltungsschnittstelle auf autorisierte Netzwerke.
4. Überwachung — Prüfen Sie Logs auf verdächtige HTTP-Anfragen, die auf einen Exploit-Versuch hindeuten könnten.
5. Patch-Verfügbarkeit — Fortinet hat Patches für alle betroffenen Versionen bereitgestellt. Details finden sich im offiziellen Advisory.

Quellen

• Fortinet PSIRT Advisory FG-IR-26-141
• NIST NVD — CVE-2026-25089

Microsoft SharePoint: Deserialisierung unsicherer Daten ermöglicht Codeausführung

Zusammenfassung

CVE-2026-58644 ist eine kritische Schwachstelle in Microsoft Office SharePoint, die auf der Deserialisierung unsicherer Daten basiert. Ein Angreifer ohne vorherige Authentifizierung kann über das Netzwerk beliebigen Code auf dem SharePoint-Server ausführen. Der CVSS-Score liegt bei 9.8 (Critical) und es gibt bekannte Exploits im Umlauf.

Microsoft hat die Schwachstelle am 14. Juli 2026 im Rahmen von Patch Tuesday veröffentlicht und einen offiziellen Fix bereitgestellt.

Technische Details

Die Schwachstelle betrifft die Deserialisierung von Daten in SharePoint. Ein Angreifer, der mindestens als Site Owner authentifiziert ist, kann über einen network-basierten Angriff beliebigen Code auf dem SharePoint-Server injizieren und remote ausführen. Die geringe Angriffskomplexität (AC:L) bedeutet, dass der Angreifer keine speziellen Vorkenntnisse über das System benötigt und den Angriff mit hoher Erfolgsquote wiederholen kann.

Die Schwachstelle wurde als Teil der regulären Sicherheitsupdates (Patch Tuesday) veröffentlicht, war jedoch ursprünglich versehentlich nicht in der Veröffentlichung vom Juli 2026 enthalten und wurde am 15. Juli 2026 korrigiert.

Betroffene Systeme

Hinweis: Für SharePoint Server 2016 und SharePoint Enterprise Server 2016 gilt dieselbe KB-Nummer. Kunden beider Versionen sollten das Sicherheitsupdate installieren.

Empfehlungen und Maßnahmen

Sofortmaßnahmen

1. Sicherheitsupdate installieren: Installieren Sie das relevante Microsoft-Sicherheitsupdate für Ihre SharePoint-Version umgehend. Die Updates sind über den Microsoft Security Update Guide oder Windows Update verfügbar.
2. Netzwerkzugriff einschränken: Begrenzen Sie den Zugriff auf SharePoint-Server auf vertrauenswürdige Netzwerke, solange das Patch nicht installiert ist.
3. Berechtigungen überprüfen: Stellen Sie sicher, dass nur autorisierte Benutzer die Rolle „Site Owner" innehaben, da der Angriff mindestens diese Berechtigung erfordert.

Kurzfristige Maßnahmen

1. Logging und Monitoring: Überwachen Sie SharePoint-Logs auf verdächtige Aktivitäten, insbesondere auf ungewöhnliche Serialisierungsvorgänge.
2. Incident Response: Bei Verdacht einer Kompromittierung: SharePoint-Server isolieren, Forensik durchführen und Microsoft Support kontaktieren.

Langfristige Maßnahmen

1. Patch-Management: Stellen Sie sicher, dass ein regelmäßiges Patch-Management etabliert ist, um zukünftige Sicherheitsupdates zeitnah einzuspielen.
2. Least Privilege: Überprüfen und reduzieren Sie Berechtigungen auf SharePoint-Ebene nach dem Prinzip der minimalen Berechtigung.

Quellen

• Microsoft Security Update Guide – CVE-2026-58644
• CVE-2026-58644 im CVE-Dienst

Zusammenfassung

Eine kritische Schwachstelle der Schwereklasse Critical (CVSS 9.1) wurde in Fortinet FortiSandbox Version 4.4.0 bis 4.4.8 entdeckt. Die Schwachstelle (CWE-78) ermöglicht es einem nicht authentifizierten Angreifer über manipulierte HTTP-Anfragen an die API, beliebige Betriebssystembefehle auf dem Server auszuführen.

Die Schwachstelle wurde am 14. April 2026 veröffentlicht und unter verantwortungsvoller Offenlegung durch Samuel de Lucas Maroto (KPMG Spain) gemeldet. Es sind keine bekannten Exploits im Umlauf.

Technische Details

Die Schwachstelle betrifft die API-Endpunkte von FortiSandbox. Ein Angreifer kann über speziell formulierte HTTP-Andräge Shell-Befehle einschleusen, da Eingaben nicht ausreichend neutralisiert werden.

Betroffene Systeme

Betroffene Versionen:

• FortiSandbox 4.4.0 bis 4.4.8

Nicht betroffen:

• FortiSandbox 5.0
• FortiSandbox PaaS 5.0

Betroffene PaaS-Versionen:

• FortiSandbox PaaS 21.3.4055
• FortiSandbox PaaS 21.4.4072
• FortiSandbox PaaS 22.1.4113
• FortiSandbox PaaS 22.2.4134
• FortiSandbox PaaS 22.2.4151
• FortiSandbox PaaS 23.1.4245
• FortiSandbox PaaS 23.3.4329
• FortiSandbox PaaS 23.4.4350
• FortiSandbox PaaS 23.4.4374

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie FortiSandbox auf Version 4.4.9 oder höher. Dies ist der offizielle Fix von Fortinet.
2. PaaS-Kunden: FortiSandbox PaaS 5.0 ist nicht betroffen. Für ältere PaaS-Versionen sollte ein Upgrade auf die neueste Version erfolgen.
3. Zugriffskontrolle: Stellen Sie sicher, dass die API-Endpunkte von FortiSandbox nicht aus dem Internet erreichbar sind, bis das Update eingespielt wurde.
4. Überwachung: Überwachen Sie Ihre Systeme auf ungewöhnliche Aktivitäten und prüfen Sie Logs auf verdächtige API-Aufrufe.

Quellen

• Fortinet FortiGuard PSIRT – FG-IR-26-100
• NVD – CVE-2026-39808

Zusammenfassung

Am 28. Mai 2026 veröffentlichte Oracle im Rahmen des Critical Security Patch Update (CSPU) vom Mai 2026 einen Patch für die kritische Schwachstelle CVE-2026-46817 in der Komponente "File Transmission" des Oracle Payments-Moduls der Oracle E-Business Suite. Die Schwachstelle erlaubt einem entfernten, nicht authentisierten Angreifer die vollständige Übernahme von Oracle Payments.

Bereits Ende Juni 2026, nur wenige Wochen nach Veröffentlichung des Patches, wurde aktive Ausnutzung der Schwachstelle in freier Wildbahn beobachtet – noch bevor ein öffentlicher Proof-of-Code verfügbar war. Sicherheitsexperten von Defused Cyber berichten von sechs unautorisierten Datei-Leseversuchen von einer einzelnen Quelle am 27. Juni 2026. Das Tool identifizierte sich als "ibytransmit-lab-poc/1.0".

Technische Details

Die Verwundbarkeit befindet sich im File Transmission Component von Oracle Payments. Sie beruht auf unzureichender Berechtigungsverwaltung (Improper Privilege Management). Der Angriff erfolgt über HTTP ohne Authentifizierung (CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

Die beobachteten Angriffe nutzten eine POST-Anfrage an ein spezifisches OA_HTML-Endpunkt mit einer XML-basierten Payload im Body. Über den Parameter FULL_FILE_PATH konnten beliebige Dateien vom Server gelesen werden. Dies deutet auf eine Path-Traversal- oder Directory-Traversal-Schwachstelle im Zusammenspiel mit einer fehlenden Authentifizierung hin.

CVSS 3.1 Base Score: 9.8 (Critical)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Betroffene Systeme

• Oracle E-Business Suite Versionen 12.2.3 bis 12.2.15
• Oracle Payments (Component: File Transmission)

Empfehlungen und Maßnahmen

1. Sofort patchen: Oracle hat den Sicherheitspatch im Rahmen des May 2026 CSPU veröffentlicht. Betroffene Systeme sollten umgehend aktualisiert werden. Der Patch ist über My Oracle Support (MOS Note KA923) verfügbar.
2. Netzwerkzugriff beschränken: Bis zur Installation des Patches sollte der HTTP-Zugriff auf Oracle Payments auf vertrauenswürdige Quellen beschränkt werden.
3. Überwachung: Systeme auf Anzeichen von Kompromittierung prüfen, insbesondere ungewöhnliche POST-Anfragen an OA_HTML-Endpunkte mit XML-Payloads.
4. Version prüfen: Oracle empfiehlt, nur noch aktiv supported Versionen einzusetzen und Sicherheitsupdates unverzüglich einzuspielen. Versionen außerhalb von Premier Support oder Extended Support werden nicht mehr getestet.

Da aktive Ausnutzung in freier Wildbahn bestätigt wurde, ist höchste Dringlichkeit geboten.

Quellen

• Oracle Critical Security Patch Update Advisory - May 2026
• CVE Record: CVE-2026-46817
• GitHub Advisory: GHSA-pv4m-gf99-c5jr
• Defused Cyber: Active exploitation report
• HelpNetSecurity: Oracle E-Business Suite Payments flaw under attack
• The Register: Oracle E-Business Suite under attack

Zusammenfassung

Eine schwere Schwachstelle vom Typ Server-Side Request Forgery (SSRF) wurde in der Work-Place-Oberfläche der SonicWall SMA1000 identifiziert. Der Fehler bewertet sich mit einem CVSS-Score von 10.0 (Kritisch) und ermöglicht es einem Remote-Angreifer ohne Authentifizierung, den Appliance dazu zu veranlassen, HTTP-Anfragen an beliebige interne oder externe Netzwerkressourcen zu senden.

Die Schwachstelle betrifft die webbasierte Verwaltungsoberfläche und kann dazu missbraucht werden, um internen Netzwerkverkehr abzufangen, interne Dienste zu erreichen oder weitere Systeme innerhalb des Netzwerks anzugreifen.

Technische Details

• Typ: Server-Side Request Forgery (SSRF)
• CVSS v3.1: 10.0 (Kritisch)
• Vektor: Network / Low Complexity / No Privileges Required / No User Interaction
• Betroffene Komponente: SMA1000 Appliance Work Place Interface

Der Angreifer kann über die nicht-authentifizierte Work-Place-Schnittstelle eigene HTTP-Anfragen an den Server senden. Der SMA1000 leitet diese Anfragen intern weiter, wodurch der Angreifer:

• Interne Netzwerkressourcen und Dienste erkunden kann
• Metadaten-Dienste (z. B. Cloud Instance Metadata) abrufen kann
• Verbindungen zu internen Systemen herstellen kann, die von außen nicht direkt erreichbar sind
• Daten aus internen APIs extrahieren kann

Da keine Authentifizierung erforderlich ist, kann jeder remote erreichbare SMA1000 ohne Credentials exploitet werden.

Betroffene Systeme

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie die SMA1000-Appliance auf die neueste verfügbare Firmware-Version. SonicWall hat einen Patch über den PSIRT bereitgestellt.
2. Netzwerksegmentierung: Stellen Sie sicher, dass SMA1000-Appliances nicht direkt aus dem Internet erreichbar sind. Beschränken Sie den Zugriff auf dedizierte Management-Netzwerke.
3. Zugriffskontrolle: Schränken Sie den Zugriff auf die Work-Place-Oberfläche auf autorisierte administrative IP-Adressen ein.
4. Überwachung: Überwachen Sie Log-Dateien auf verdächtige Anfragen, insbesondere auf interne IP-Bereiche oder ungewöhnliche Hosts.
5. Verdict: Erwägen Sie eine temporäre Abschaltung der Work-Place-Schnittstelle, bis das Update eingespielt wurde.

Quellen

• SonicWall PSIRT – SNWLID-2026-0008

Zusammenfassung

In der Joomla-Erweiterung Balbooa Forms (Komponente com_baforms) wurde eine kritische Sicherheitslücke entdeckt, die als CVE-2026-56291 (CVSS 4.0: 10.0, CWE-434) registriert ist. Der Frontend-Upload-Handler akzeptiert bis einschließlich Version 2.4.0 Dateien von beliebigen anonymen Besuchern – ohne Login, ohne CSRF-Token und ohne Prüfung des Dateityps. Dadurch können Angreifer PHP-Dateien in ein öffentlich erreichbares Verzeichnis hochladen und direkt ausführen, was zu vollständiger Remote Code Execution (RCE) auf dem Webserver führt. Die Schwachstelle wurde bereits vor dem Patch aktiv im Wild ausgenutzt (Zero-Day); Balbooa hat sie am 9. Juli 2026 mit Version 2.4.1 behoben.

Technische Details

Der verwundbare Endpunkt wird über index.php?option=com_baforms&task=form.uploadAttachmentFile angesprochen und ist ohne Authentifizierung erreichbar. Im Controller und im zugehörigen Model (FormModel::uploadAttachmentFile in der Frontend-FormModel.php, ca. Zeile 122) fehlten drei zentrale Schutzmaßnahmen:

1. Keine Authentifizierungsprüfung – der Aufruf war für jeden anony Besucher ausführbar.
2. Kein CSRF-Token-Check – es erfolgte kein Session::checkToken().
3. Keine Dateityp-Whitelist – die Dateiendung wurde aus dem vom Aufrufer gelieferten Dateinamen abgeleitet, mit JFile::makeSafe() lediglich der Basisname bereinigt und die ursprüngliche Endung unverändert wieder angehängt. Da Joomlas makeSafe() eine .php-Endung nicht blockiert, landete die Datei als ausführbares PHP-Skript im Verzeichnis images/baforms/uploads/form-<id>/ innerhalb des Web-Roots, wo PHP direkt ausgeführt wird.

Der Upload erfordert nur eine einzige HTTP-POST-Anfrage, keine Benutzerinteraktion und keine Privilegien. Aus dem hochgeladenen PHP-Skript kann ein Angreifer anschließend configuration.php mit Datenbank-Zugangsdaten auslesen, versteckte Joomla-Super-User anlegen, persistente Backdoors platzieren oder den Server in Botnetze einbinden.

Der Fix in 2.4.1 schließt die Lücke auf vier Ebenen: serverseitige Whitelist-Prüfung der Dateiendung gegen die Feldkonfiguration, neues MIME-Types-Feld für Inhaltstypprüfung, vom Server generierte Zufalls-Dateinamen (gegen Extension-Tricks) und CSRF-Token-Pflicht für den Upload-Endpunkt.

Betroffene Systeme

• Balbooa Forms (Joomla-Erweiterung com_baforms) in allen Versionen von 1.0 bis einschließlich 2.4.0
• Joomla-Sites, auf denen die genannten Balbooa-Forms-Versionen installiert sind und öffentlich erreichbare Formulare mit Datei-Anhang-Feldern bereitstellen

Empfehlungen und Maßnahmen

• Sofort patchen: Balbooa Forms auf Version 2.4.1 oder neuer aktualisieren. Bei Massenverwaltung entsprechend die Updates zentral ausrollen.
• Kompromittierung prüfen: Da die Lücke bereits vor dem Patch aktiv ausgenutzt wurde, betroffene Sites auf Manipulation untersuchen:
  • Verdächtige Dateien unter images/baforms/uploads/ (insbesondere *.php) per SSH oder Datei-Manager aufspüren.
  • Joomla-Benutzerliste auf unbekannte Administrator- oder Super-User-Accounts prüfen (Sortierung nach Registrierungsdatum).
  • Auf kürzlich geänderte PHP-Dateien und ungewöhnliche ausführbare Dateien außerhalb des Upload-Verzeichnisses achten.
• Härtung als Übergang: Solange ein Update nicht möglich ist, alle öffentlichen Balbooa-Forms-Formulare mit Datei-Upload-Feld deaktivieren, um den verwundbaren Endpunkt zu entschärfen.
• Erkennung: Logs auf verdächtige POST-Requests an index.php?option=com_baforms&task=form.uploadAttachmentFile und auf neu angelegte Dateien im Upload-Verzeichnis überwachen.
• Allgemein: Form-Builder-Erweiterungen als eigenständige Angriffsfläche behandeln und deren Updates künftig priorisiert einspielen.

Quellen

• https://www.balbooa.com/joomla-forms
• https://mysites.guru/blog/balbooa-forms-unauthenticated-file-upload-flaw/

Zusammenfassung

In der Joomla-Erweiterung iCagenda wurde eine kritische Schwachstelle (CVE-2026-48939, CVSS 10.0) entdeckt. Die Dateianhang-Funktion prüft hochgeladene Dateien nur unzureichend, sodass Angreifer beliebige Dateien – inklusive PHP-Skripten – auf den Webserver laden können. In der Folge ist eine vollständige Übernahme des betroffenen Systems durch Ausführung von beliebigem PHP-Code möglich.

Technische Details

Die Schwachstelle liegt in der Komponente zur Verarbeitung von Dateianhängen innerhalb von iCagenda. Fehlende oder unzureichende Validierungs- und Filtermechanismen erlauben das Umgehen der Dateitypen-Beschränkungen. Konkret können Angreifer:

• Beliebige Dateien mit schädlichem Inhalt (z. B. PHP-Webshells) hochladen
• Diese Dateien über den Webbrowser aufrufen, sofern das Upload-Verzeichnis über HTTP erreichbar ist
• Dadurch beliebigen PHP-Code im Kontext des Webserver-Benutzers ausführen

Daraus ergibt sich eine klassische Unrestricted File Upload / Remote Code Execution (RCE). Da kein Authentifizierungsnachweis erforderlich ist, kann die Schwachstelle von einem nicht authentifizierten Angreifer über das Netzwerk ausgenutzt werden (Angriffsvektor: Network, Komplexität: Low).

Betroffene Systeme

Betroffen sind folgende Versionen der Erweiterung iCagenda von JoomliC für Joomla:

• iCagenda für Joomla 4.0.0 bis 4.0.7
• iCagenda für Joomla 3.2.1 bis 4.0.7
• iCagenda für Joomla 1.0.0 bis 3.9.14

Nicht betroffen sind aktuelle Versionen ab 4.0.8 bzw. die auf der Herstellerseite verfügbare Version 4.0.10.

Empfehlungen und Maßnahmen

• Update durchführen: Aktualisieren Sie iCagenda unverzüglich auf die aktuelle Version 4.0.10 (oder neuer). Der Hersteller stellt ein bereinigtes Paket auf seiner Website bereit.
• Nicht öffentlich erreichbare Uploads sicherstellen: Prüfen Sie, ob das Upload-Verzeichnis von iCagenda direkt über den Webserver ausgeliefert wird, und schränken Sie den Zugriff über .htaccess bzw. Nginx-Konfigurationen ein.
• Web-Application-Firewall (WAF): Aktivieren Sie Regelwerke, die das Hochladen ausführbarer Skripttypen (.php, .phtml, .phar etc.) blockieren.
• Integritätsprüfung: Untersuchen Sie das Upload-Verzeichnis auf verdächtige Dateien, die bereits vor dem Patch hochgeladen wurden (auffällige Zeitstempel, ungewöhnliche Namen, PHP-Inhalt in Bild-/Dokumentdateien).
• Logs prüfen: Kontrollieren Sie Webserver- und Joomla-Logs auf verdächtige Upload- und Zugriffsaktivitäten.
• Backups: Erstellen Sie vor dem Update ein vollständiges Backup der Seite und der Datenbank.

Quellen

• https://www.icagenda.com/

Zusammenfassung

Die Joomla-Erweiterung Page Builder CK des Herstellers joomlack.fr weist eine kritische Sicherheitslücke (CVE-2026-56290) auf, die mit einem CVSS-Score von 10.0 bewertet wurde. Die Schwachstelle erlaubt es nicht authentifizierten Angreifern, beliebige Dateien auf den Webserver hochzuladen. Aufgrund fehlender oder unzureichender Validierung der Uploads können ausführbare Dateien (z. B. PHP-Webshells) platziert werden, was unmittelbar zu vollständiger Remote Code Execution (RCE) auf dem betroffenen Joomla-System führt.

Da kein Authentifizierungsnachweis erforderlich ist und die Ausnutzung remotely erfolgen kann, ist die Schwachstelle als maximal kritisch einzustufen. Betreiber betroffener Joomla-Seiten müssen umgehend handeln.

Technische Details

Die Schwachstelle liegt im Upload-Mechanismus der Page Builder CK-Erweiterung. Konkret sind folgende Punkte relevant:

• Angriffsvektor: Unauthentifizierter HTTP-Upload über einen vom Extension bereitgestellten Endpunkt
• Fehlende Prüfung: Keine oder unzureichende Validierung von Dateityp, MIME-Type, Endung und Inhalt der hochgeladenen Dateien
• Persistenz: Hochgeladene Dateien werden in einem vom Webserver ausführbaren Pfad abgelegt
• Folge: Durch das Hochladen einer PHP-Datei (z. B. Webshell) erhält der Angreifer Codeausführung im Kontext des Webserver-Benutzers – in der Regel mit Schreibrechten im Webroot, was eine vollständige Übernahme der Joomla-Instanz ermöglicht
• Auswirkung: Vollständige Kompromittierung des Servers, Zugriff auf Datenbank, Hintertüren, laterales Movement im internen Netz

CVSS 10.0 setzt sich typischerweise aus Netzwerk-basierter Ausnutzbarkeit, niedriger Angriffskomplexität, fehlender Authentifizierung und hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit zusammen.

Betroffene Systeme

• Page Builder CK (Joomla-Erweiterung von joomlack.fr)
• Betroffene Versionen: 1.0 bis 3.6.0
• Einsatzkontext: Joomla-Websites (alle unterstützten Joomla-Versionen, in denen die Extension installiert ist)

Joomla-Instanzen ohne installierte Page Builder CK-Erweiterung sind nicht betroffen.

Empfehlungen und Maßnahmen

1. Sofortige Eindämmung: Deaktivieren oder deinstallieren Sie die Page Builder CK-Erweiterung, falls kein Patch des Herstellers verfügbar ist. Webserver- und Joomla-Funktionalität bleiben davon für andere Bereiche erhalten.
2. Patch-Status prüfen: Wenden Sie sich direkt an joomlack.fr, um Informationen zu einer bereinigten Version einzuholen. Aktualisieren Sie auf eine Version > 3.6.0, sobald diese verfügbar ist.
3. WAF-Regeln aktivieren: Setzen Sie kurzfristig Web Application Firewall-Regeln ein, die den Upload-Endpunkt der Extension blockieren oder zumindest ungewöhnliche Dateiendungen (.php, .phtml, .phar, .php5 etc.) ablehnen.
4. Forensische Prüfung: Untersuchen Sie betroffene Systeme auf kompromittierte Dateien, neue Benutzerkonten, geänderte Konfigurationen, Webshells und ungewöhnliche Prozesse. Prüfen Sie insbesondere das Upload-Verzeichnis der Extension auf PHP-Dateien.
5. Credentials rotieren: Ändern Sie nach einer Kompromittierung Joomla-Administratorpasswörter, Datenbankzugänge und SSH-/FTP-Schlüssel.
6. Backups: Stellen Sie sicher, dass saubere Backups existieren, die vor der möglichen Kompromittierung angefertigt wurden.
7. Monitoring: Aktivieren Sie File-Integrity-Monitoring auf dem Webroot, um künftige Uploads ausführbarer Dateien frühzeitig zu erkennen.

Quellen

• https://www.joomlack.fr/

Zusammenfassung

Eine als kritisch eingestufte Path-Traversal-Schwachstelle (CVE-2026-48282, CVSS 10.0) betrifft Adobe ColdFusion in den Versionen 2025.9, 2023.20 und allen früheren Releases. Die Lücke erlaubt Angreifern, ohne jegliche Nutzerinteraktion aus der Ferne beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Adobe stellt Sicherheitsupdates bereit, die zeitnah eingespielt werden sollten.

Technische Details

Die Schwachstelle ist als "Improper Limitation of a Pathname to a Restricted Directory" (CWE-22, Path Traversal) klassifiziert. Angreifer können durch speziell manipulierte Eingaben die Pfadbeschränkungen der Anwendung umgehen und auf Dateien oder Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen.

Da keine Nutzerinteraktion erforderlich ist und die Ausführung im geänderten Scope erfolgt, lässt sich die Lücke insbesondere für folgende Angriffsszenarien ausnutzen:

• Ausführung von beliebigem Code auf dem ColdFusion-Server
• Auslesen oder Manipulation sensibler Konfigurationsdateien
• Laterale Bewegung im internen Netzwerk nach erstem Zugriff
• Kompromittierung weiterer Dienste, die auf derselben Instanz laufen

Die Ausnutzung erfordert typischerweise nur Netzwerkzugriff auf den HTTP/HTTPS-Endpunkt der ColdFusion-Instanz, was die Angriffsfläche erheblich vergrößert.

Betroffene Systeme

• Adobe ColdFusion 2025.9 und älter
• Adobe ColdFusion 2023.20 und älter

Empfehlungen und Maßnahmen

1. Sofortiges Update: ColdFusion-Instanzen unverzüglich auf die von Adobe bereitgestellten gepatchten Versionen aktualisieren (siehe APSB26-68).
2. Workaround prüfen: Falls ein Patch nicht sofort eingespielt werden kann, den administrativen Zugriff auf den ColdFusion-Administrator einschränken und den externen Zugriff auf den Server übergangsweise sperren.
3. Protokolle auswerten: Auf ungewöhnliche HTTP-Anfragen mit Pfad-Manipulationen (z. B. "../", URL-Encoding, Unicode-Escapes) im Access-Log achten.
4. Eindämmung prüfen: Prüfen, ob es Hinweise auf eine bereits erfolgte Kompromittierung gibt – insbesondere neue Prozesse, unbekannte Dateien im CF-Verzeichnis oder ausgehende Verbindungen zu unbekannten Zielen.
5. Härtung: Nach dem Patch-Spiel Härtungsmaßnahmen wie deaktivierte externen Administratorzugriff, restriktive Sandbox-Einstellungen und ein WAF mit Path-Traversal-Signaturen evaluieren.

Quellen

• https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html

Zusammenfassung

CVE-2026-48908 beschreibt eine kritische Sicherheitslücke (CVSS 10.0) in der Joomla-Erweiterung SP Page Builder des Herstellers JoomShaper. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf den Server hochzuladen. Da unter anderem PHP-Dateien hochgeladen und zur Ausführung gebracht werden können, ist eine vollständige Übernahme des betroffenen Webservers möglich.

Technische Details

Die Schwachstelle liegt in der Datei-Upload-Funktion des SP Page Builders. Es fehlen ausreichende Berechtigungsprüfungen und/oder Validierungen der hochgeladenen Inhalte, sodass Angreifer ohne jegliche Authentifizierung Dateien in beschreibbare Pfade der Joomla-Installation einschleusen können. Durch das gezielte Hochladen einer Webshell oder eines schädlichen PHP-Skripts lässt sich beliebiger Code im Kontext des Webserver-Benutzers ausführen. In der Folge können Angreifer:

• Persistierenden Zugriff über Hintertüren einrichten
• Sensible Daten der Website und Datenbank exfiltrieren
• Schadsoftware an Besucher der Website ausliefern
• Den kompromittierten Server als Sprungbrett in das interne Netzwerk nutzen

Der CVSS-Basis-Score von 10.0 spiegelt die maximale Kritikalität wider: Netzwerkweit erreichbar, keine Authentifizierung erforderlich, keine Benutzerinteraktion nötig, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffene Systeme

• JoomShaper SP Page Builder für Joomla, Versionen 1.0.0 bis 6.6.1 (inklusive)

Betroffen sind ausschließlich Joomla-Installationen, in denen die genannte Erweiterung in einer der oben genannten Versionen installiert und aktiviert ist.

Empfehlungen und Maßnahmen

1. Sofortige Aktualisierung: Aktualisieren Sie den SP Page Builder auf die vom Hersteller bereitgestellte gepatchte Version, sobald diese verfügbar ist. Prüfen Sie regelmäßig die offiziellen Kanäle von JoomShaper.
2. Workarounds: Kann das Update nicht zeitnah eingespielt werden, deaktivieren oder deinstallieren Sie den SP Page Builder vorübergehend, um die Angriffsfläche zu eliminieren.
3. Integritätsprüfung: Untersuchen Sie betroffene Joomla-Installationen auf:
   • Unbekannte PHP-Dateien in uploads-, images- und cache-Verzeichnissen
   • Verdächtige neue Administrator- oder Super-User-Accounts
   • Auffällige Webserver-Logs (Upload-Anfragen an Endpunkte des SP Page Builders)
   • Geänderte Core-Dateien von Joomla oder installierten Erweiterungen
4. Härtung: Beschränken Sie den Zugriff auf das Joomla-Backend per IP-Whitelist, erzwingen Sie Mehr-Faktor-Authentifizierung für alle administrativen Konten und führen Sie regelmäßige Offsite-Backups durch.
5. Monitoring: Aktivieren Sie Dateiintegritätsüberwachung (z. B. über WAF- oder HIDS-Regeln) und überwachen Sie ausgehende Verbindungen auffälliger PHP-Prozesse.

Quellen

• https://www.joomshaper.com/page-builder

Zusammenfassung

Eine kritische Sicherheitslücke (CVSS 9.5) in SimpleHelp ermöglicht es nicht authentifizierten Angreifern, die OIDC-Authentifizierung vollständig zu umgehen. Identity-Tokens werden beim Login nicht auf ihre kryptografische Signatur geprüft, wodurch sich beliebige Identitätsansprüche einschleusen lassen. Die Schwachstelle erfordert keine Benutzerinteraktion und kann in bestimmten Konfigurationen auch MFA umgehen.

Technische Details

Die Schwachstelle betrifft den OIDC-Authentifizierungsablauf (OpenID Connect) in SimpleHelp. Wird OIDC als Authentifizierungsmethode konfiguriert, akzeptiert die Anwendung eingehende Identity-Tokens, ohne deren kryptografische Signatur zu verifizieren. Ein Angreifer kann daher ein selbst erstelltes Token mit beliebigen Identitätsansprüchen (z. B. Administratorrechte) an den Login-Endpunkt senden. Die Anwendung interpretiert dieses Token als gültig und gewährt eine vollständig authentifizierte Techniker-Sitzung.

Da keine kryptografische Validierung stattfindet, sind weder gültige Zugangsdaten noch eine bestehende Session beim Identitätsprovider erforderlich. Der Angriff erfolgt remote und ohne jegliche Benutzerinteraktion. In Konfigurationen, in denen Multi-Faktor-Authentifizierung an die OIDC-Authentifizierung gekoppelt ist, kann auch diese umgangen werden, da der Angreifer den gesamten Authentifizierungsablauf überspringt.

Betroffene Systeme

• SimpleHelp 5.5.0 bis einschließlich 5.5.15
• SimpleHelp 6.0 Pre-Release-Versionen vor 6.0 RC2

Empfehlungen und Maßnahmen

• Sofortiges Update auf SimpleHelp 5.5.16 (für 5.x-Installationen)
• Sofortiges Update auf SimpleHelp 6.0 RC2 oder neuer (für 6.0-Pre-Release-Installationen)
• Prüfung der Konfiguration: OIDC-basierte Authentifizierung sollte nur aktiviert sein, wenn ein vertrauenswürdiger Identitätsprovider verwendet wird
• Auditierung der Zugriffsprotokolle auf verdächtige Techniker-Sitzungen aus unbekannten Quellen
• Falls ein Update nicht kurzfristig möglich ist: OIDC-Authentifizierung temporär deaktivieren und auf alternative Authentifizierungsmethoden umstellen
• IOC-Liste von Horizon3.ai auf bekannte Angriffsindikatoren prüfen

Quellen

• https://horizon3.ai/attack-research/disclosures/cve-2026-48558-simplehelp-authentication-bypass-iocs/
• https://simple-help.com/security/simplehelp-security-update-2026-05
• https://simple-help.com/release-news