Zusammenfassung

CVE-2026-65400 ist eine kritische Schwachstelle in Apple macOS, die es einem Netzwerkangreifer ermöglicht, sich ohne gültige Anmeldedaten am Screen Sharing (Bildschirmfreigabe) zu authentifizieren. Der Fehler liegt in der Verwaltung des Zustands der Authentifizierung. Apple hat das Problem durch ein Update der Zustandsverwaltung behoben.

Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet.

Technische Details

Der Angriff nutzt eine fehlerhafte Zustandsverwaltung im Authentifizierungsmechanismus von macOS Screen Sharing. Ein Angreifer, der sich im selben Netzwerk wie das Zielgerät befindet, kann den Authentifizierungsprozess umgehen und eine Verbindung zum Bildschirm des Opfers herstellen – ohne Benutzername oder Passwort.

Dies ermöglicht potenziell:

• Vollständigen Zugriff auf den Bildschirm des Opfers
• Einsicht in vertrauliche Daten
• Fernsteuerung des Systems über die Screen-Sharing-Verbindung

Betroffene Systeme

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie betroffene Mac-Systeme umgehend auf die entsprechende gefixte Version:
   • macOS Sequoia 15.7.9
   • macOS Sonoma 14.8.9
   • macOS Tahoe 26.6.1
2. Screen Sharing deaktivieren: Wenn Screen Sharing nicht benötigt wird, deaktivieren Sie die Funktion unter Systemeinstellungen > Allgemein > Freigaben.
3. Netzwerksegmentierung: Stellen Sie sicher, dass Screen-Sharing-Dienste nicht aus unsicheren Netzwerken erreichbar sind.
4. Überwachung: Prüfen Sie Systemlogs auf unerlaubte Screen-Sharing-Verbindungen (Clientes in /var/log/system.log).

Quellen

• Apple Security Advisory – macOS Sequoia 15.7.9
• Apple Security Advisory – macOS Sonoma 14.8.9
• Apple Security Advisory – macOS Tahoe 26.6.1

Zusammenfassung

Eine kritische Schwachstelle mit dem Bezeichner CVE-2026-33824 wurde in der Windows IKE Extension (Internet Key Exchange) von Microsoft entdeckt. Die Schwachstelle mit einem CVSS-Score von 9.8 (Kritisch) erlaubt es einem nicht-authentifizierten Angreifer, beliebigen Code über das Netzwerk auszuführen. Betroffen sind zahlreiche Windows-Server- und Client-Versionen von Windows Server 2016 bis Windows Server 2025 sowie Windows 10 und Windows 11 in verschiedenen Editionen.

Microsoft hat Sicherheitsupdates bereitgestellt, die die Schwachstelle beheben. Aufgrund der Schwere und der Weiträufigkeit der betroffenen Systeme wird eine sofortige Aktualisierung dringend empfohlen.

Technische Details

Die Schwachstelle ist ein Double-Free-Fehler in der Windows IKE Extension (IPsec). Ein Double-Free tritt auf, wenn derselbe Speicherbereich zweimal freigegeben wird, was zu unvorhersehbarem Verhalten führen kann — insbesondere zu Speicher corruption, die ein Angreifer zur Code-Ausführung (Remote Code Execution) ausnutzen kann.

Angriffsvektor: Netzwerk (IPsec/IKE) Voraussetzungen: Keine Authentifizierung erforderlich Auswirkung: Ausführung beliebigen Codes mit den Berechtigungen des betroffenen Dienstes Schweregrad: CVSS 3.1 — 9.8 (Kritisch)

Die Schwachstelle betrifft die Komponente, die den Internet Key Exchange (IKE)-Protokoll-Austausch für IPsec-Verbindungen verarbeitet. Da IKE-Ports (UDP 500/4500) standardmäßig für VPN-Verbindungen geöffnet sind, ist die Angriffsfläche bei exponierten Systemen besonders groß.

Betroffene Systeme

Empfehlungen und Maßnahmen

Sofortige Maßnahmen

1. Sicherheitsupdates installieren — Die von Microsoft bereitgestellten Patches beheben die Schwachstelle. Aktualisieren Sie alle betroffenen Systeme umgehend über Windows Update oder WSUS.
2. Priorisierung: Server-Systeme mit Exposition im Internet (z. B. VPN-Server mit geöffneten UDP 500/4500) haben höchste Priorität.

Mittelfristige Maßnahmen

1. Netzwerk-Überwachung — Überwachen Sie IPsec/IKE-Traffic auf ungewöhnliche Aktivitäten und Exploit-Versuche.
2. Zugriff kontrollieren — Beschränken Sie den Zugriff auf IKE-Ports über Firewall-Regeln auf bekannte VPN-Peer-Adressen.
3. Systeminventarisierung — Stellen Sie sicher, dass alle betroffenen Systeme identifiziert und aktualisiert werden.

Notfallmaßnahmen (falls Patch nicht sofort möglich)

• Deaktivieren Sie IPsec/IKE auf betroffenen Systemen, sofern nicht betriebsnotwendig.
• Isolieren Sie betroffene Systeme in einem Segment mit eingeschränktem Netzwerkzugriff.

Quellen

• Microsoft Security Update Guide — CVE-2026-33824

Zusammenfassung

Eine schwere Schwachstelle der Kategorie Kritisch wurde in mehreren Versionen von Microsoft SharePoint identifiziert. Die Schwachstelle mit der Bezeichnung CVE-2026-55040 weist einen CVSS-Score von 9,1 auf und betrifft eine fehlerhafte Authentifizierung, die es einem nicht autorisierten Angreifer ermöglicht, eine Sicherheitsfunktion über das Netzwerk zu umgehen. Dies kann zum vollständigen Zugriff auf betroffene SharePoint-Systeme führen.

Technische Details

Die Schwachstelle liegt in der Authentifizierungsmechanik von Microsoft SharePoint. Angreifer können eine Schwachstelle in der Zugriffskontrolle ausnutzen, um sich ohne gültige Anmeldeinformationen Zugang zu verschaffen. Aufgrund der Netzwerkexponierung der SharePoint-Server ist eine Remote-Exploitation möglich, ohne dass lokale Anwesenheit erforderlich ist.

Das Ausnutzen der Schwachstelle erfordert keine Benutzerinteraktion und kann mit geringem Aufwand automatisiert werden. Die potenziellen Auswirkungen umfassen:

• Unbefugter Zugriff auf gespeicherte Dokumente und Daten
• Veränderung oder Löschung von Inhalten
• Weiterleitung von Angriffen auf nachgelagerte Systeme innerhalb des Netzwerks

Betroffene Systeme

Empfehlungen und Maßnahmen

1. Sofortiges Patching: Installieren Sie die entsprechenden Sicherheitsupdates von Microsoft, sobald diese verfügbar sind. Konsultieren Sie die offizielle Microsoft-Update-Guide-Seite für die jeweilige SharePoint-Version.
2. Zugriffsbeschränkungen: Schränken Sie den Netzwerkzugriff auf SharePoint-Server auf vertrauenswürdige Netzwerksegmente ein.
3. Monitoring: Überwachen Sie die SharePoint-Server auf verdächtige Anmeldeversuche und ungewöhnlichen Datenverkehr.
4. Zwangspasswörter: Setzen Sie alle betroffenen SharePoint-Konten auf sichere Passwörter zurück, nachdem der Patch angewendet wurde.

Quellen

• Microsoft Security Update Guide — CVE-2026-55040

Zusammenfassung

CVE-2025-62593 ist eine kritische Remote-Code-Ausführung (RCE) Schwachstelle in Ray, einer KI-Compute-Engine des Projekts ray-project. Die Schwachstelle betrifft Entwickler, die Ray als Entwicklungswerkzeug einsetzen, und kann über DNS-Rebinding-Angriffe ausgenutzt werden, indem ein Benutzer eine bösartige Webseite besucht oder mit bösartiger Werbung (Malvertising) konfrontiert wird. Der Angriff nutzt Firefox und Safari als Angriffsvektor.

Das Sicherheitsproblem wurde auf unzureichende Schutzmaßnahmen gegen browserbasierte Angriffe zurückgeführt. Die aktuelle Verteidigung basiert auf einer Überprüfung des User-Agent-Headers auf den Präfix "Mozilla", was gemäß der Fetch-Spezifikation ohne Weiteres manipuliert werden kann.

Die Schwachstelle wurde in Ray Version 2.52.0 gepatcht.

Technische Details

Angriffsszenario

1. DNS-Rebinding-Angriff: Ein Angreifer überträgt eine DNS-Antwort, die die IP-Adresse des Ray-Entwicklungsservers zurückgibt. Durch die Manipulation des DNS-Eintrags kann ein Angreifer Anfragen an den lokalen Ray-Server umleiten.

2. User-Agent-Manipulation: Ray prüft nur, ob der User-Agent-Header mit "Mozilla" beginnt, als Schutz gegen browserbasierte Angriffe. Da die Fetch-Spezifikation die Modifizierung dieses Headers erlaubt, kann ein Angreifer diesen Schutz leicht umgehen.

3. Kombinierter Angriff: Durch die Kombination aus DNS-Rebinding und User-Agent-Manipulation kann ein Angreifer unbefugt Anfragen an den lokalen Ray-Server senden und somit Remote-Code-Ausführung auf dem Entwicklersystem erzielen.

Schwachstellendetails

Betroffene Systeme

• ray-project Ray vor Version 2.52.0
• Alle Betriebssysteme, auf denen Ray als Entwicklungswerkzeug betrieben wird
• Besonders betroffen: Entwickler-Workstations mit aktiver Ray-Instanz

Empfehlungen und Maßnahmen

Sofortige Maßnahmen

1. Ray auf Version 2.52.0 oder höher aktualisieren — Die offiziellen Patches beheben das Problem vollständig.

2. Ray nur in isolierten Netzwerken betreiben — Stellen Sie sicher, dass Ray-Entwicklungsserver nicht von externen Netzwerken erreichbar sind.

3. Firewall-Regeln überprüfen — Beschränken Sie den Zugriff auf Ray-Server auf vertrauenswürdige IP-Adressen.

Präventive Maßnahmen

1. DNS-Resolv.conf absichern — Verwenden Sie DNSSEC oder vertrauenswürdige DNS-Resolver, um DNS-Rebinding-Angriffe zu erschweren.

2. Browser-Einstellungen überprüfen — Erwägen Sie, JavaScript auf verdächtigen Webseiten zu deaktivieren.

3. Netzwerksegmentierung — Trennen Sie Entwicklungsumgebungen von produktiven Systemen.

4. Regelmäßige Sicherheitsüberprüfungen — Überwachen Sie Ray-Sicherheitsbulletins und aktualisieren Sie die Software umgehend.

Langfristige Maßnahmen

• Implementieren Sie ein System zur Verfolgung von Abhängigkeiten und Sicherheitsupdates
• Nutzen Sie automatisierte Sicherheitsscans für Entwicklungsumgebungen

Quellen

• GitHub Advisory: GHSA-q279-jhrf-cc6v
• GitHub Commit: 70e7c72780bdec075dba6cad1afe0832772bfe09

Zusammenfassung

VMware vCenter enthält eine kritische Directory-Traversal-Schwachstelle im Syslog-Server. Ein Angreifer mit Netzwerkzugriff auf ein betroffenes vCenter kann diese Schwachstelle ausnutzen, um beliebigen Code auf dem System auszuführen. Die Schwachstelle wurde als CVE-2026-59310 veröffentlicht und mit einem CVSS-Score von 9.8 als kritisch (Critical) eingestuft. Broadcom hat hierzu das Security Advisory VMSA-2026-0006 veröffentlicht; Patches sind für alle betroffenen Produktversionen verfügbar.

Technische Details

CVE-2026-59310 betrifft eine Directory-Traversal-Schwachstelle im Syslog-Server von VMware vCenter. Aufgrund unsicherer Pfadbehandlung können manipulierte Pfadangaben die vorgesehenen Verzeichnisgrenzen umgehen. Die Schwachstelle wurde von Phil Brass und Matt South von Atredis Partners gemeldet.

Die CVSSv3-Vektordetails lauten: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (Netzwerkzugriff, niedrige Angriffskomplexität, keine Privilegien und keine Nutzerinteraktion erforderlich; vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit). Ein erfolgreicher Angriff ermöglicht die Ausführung beliebigen Codes mit den Rechten des vCenter-Dienstes.

Betroffene Systeme

• VMware vCenter 9.1.x.x < 9.1.0.0300
• VMware vCenter 9.0.x.x < 9.0.2.0100
• VMware vCenter 8.0 < 8.0 U3k
• VMware vSphere Foundation 9.0.x.x
• VMware vSphere Foundation 9.1.x.x
• VMware Cloud Foundation 9.0.x.x
• VMware Cloud Foundation 9.1.x.x
• VMware Cloud Foundation 5.x
• VMware Telco Cloud Platform 3.0
• VMware Telco Cloud Platform 4.x
• VMware Telco Cloud Platform 5.0.x
• VMware Telco Cloud Platform 5.1.x
• VMware Telco Cloud Infrastructure 3.0

Empfehlungen und Maßnahmen

1. Updates einspielen: Betroffene Systeme unverzüglich auf die behobenen Versionen aktualisieren:
   • vCenter 9.1.x.x → 9.1.0.0300
   • vCenter 9.0.x.x → 9.0.2.0100
   • vCenter 8.0 → 8.0 U3k (bzw. 8.0 U2f)
   • VMware Cloud Foundation 5.x → Async-Patch auf 8.0 U3k (KB88287)
   • VMware Telco Cloud Platform / Telco Cloud Infrastructure → KB449886
2. Sofortmaßnahme: Aufgrund des kritischen Schweregrades und des fehlenden Workarounds sollte die Aktualisierung mit höchster Priorität durchgeführt werden.
3. Netzwerkzugriff einschränken: Zugriff auf den Syslog-Dienst und die vCenter-Verwaltungsschnittstelle nur über vertrauenswürdige Netzwerke zulassen und entsprechende Firewall-Regeln prüfen.
4. Monitoring: Nach der Aktualisierung Systeme auf Anzeichen von Kompromittierung (ungewöhnliche Prozesse, verdächtige Dateizugriffe auf Syslog-Pfaden) überwachen.
5. FAQ prüfen: Das ergänzende Dokument unter https://brcm.tech/vmsa-2026-0006 lesen.

Quellen

• Broadcom Security Advisory VMSA-2026-0006: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017
• VMware vCenter 9.1.0.0300 Release Notes: https://techdocs.broadcom.com/bin/gethidpage?ux-context-string=vcenter-9-1-0-3&appid=vcf-9-1&language=en&format=rendered
• VMware vCenter 9.0.2.0100 Release Notes: https://techdocs.broadcom.com/bin/gethidpage?ux-context-string=9-0-2-0-1&appid=vcf-9-0&language=en&format=rendered
• VMware vCenter 8.0 U3k Release Notes: https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/vcenter-server-update-and-patch-release-notes/vsphere-vcenter-server-80u3k-release-notes.html
• VMware Cloud Foundation Async Patching Guide (KB88287): https://knowledge.broadcom.com/external/article?legacyId=88287
• Telco Cloud Platform / Infrastructure (KB449886): https://knowledge.broadcom.com/external/article/449886
• FAQ zum Advisory: https://brcm.tech/vmsa-2026-0006

Zusammenfassung

CVE-2026-72898 beschreibt eine kritische Schwachstelle in Metabase. Ein entfernter, nicht authentifizierter Angreifer kann über den '/reset_password'-Datenbankendpunkt beliebigen SQL-Code einschleusen (SQL-Injection) und dadurch Administratorzugriff auf die betroffene Metabase-Instanz erlangen. Der CVSS-Score beträgt 10.0 und die Schwachstelle wird als kritisch (Critical) eingestuft.

Technische Details

Die Schwachstelle liegt im '/reset_password'-Endpunkt von Metabase. Durch eine unzureichende Validierung und Absicherung der Datenbankabfragen ist es einem Angreifer möglich, ohne vorherige Authentifizierung beliebige SQL-Abfragen einzuschleusen und auf der Datenbank auszuführen. Ein erfolgreicher Angriff ermöglicht die vollständige Übernahme der betroffenen Metabase-Instanz mit Administratorrechten, einschließlich Zugriff auf verbundene Datenbanken und gespeicherte Konfigurationsdaten.

Die Schwachstelle ist besonders kritisch, da keine Authentifizierung für den Angriff erforderlich ist und ein Angreifer vollständigen Zugriff auf die Datenanalyse-Plattform sowie deren verbundene Datenquellen erlangen kann.

• CVE-ID: CVE-2026-72898
• CVSS-Score: 10.0 (Kritisch)
• Angriffstyp: SQL-Injection (Remote, unauthentifiziert)
• Auswirkung: Vollständige Übernahme der Metabase-Instanz mit Administratorrechten

Betroffene Systeme

Betroffen sind alle Metabase-Versionen unterhalb der jeweiligen Patch-Version:

• Metabase x.58.0 bis < x.58.24
• Metabase x.59.0 bis < x.59.21
• Metabase x.60.0 bis < x.60.17
• Metabase x.61.0 bis < x.61.11
• Metabase x.62.0 bis < x.62.9
• Metabase x.63.0 bis < x.63.5

Empfehlungen und Maßnahmen

• Patch einspielen: Betroffene Metabase-Instanzen sollten umgehend auf die aktuellen Patch-Versionen aktualisiert werden (x.58.24, x.59.21, x.60.17, x.61.11, x.62.9, x.63.5 oder neuer).
• Zugriffsbeschränkung: Den Zugriff auf die Metabase-Instanz und insbesondere den '/reset_password'-Endpunkt auf vertrauenswürdige Netzwerke beschränken.
• Instanz überwachen: Logs und Zugriffe auf die Metabase-Instanz auf verdächtige Aktivitäten und unautorisierte Konfigurationsänderungen prüfen.
• Zugangsdaten prüfen: Nach einem möglichen Kompromiss sollten alle Administrator- und Datenbankzugangsdaten rotiert werden.
• Offizielle Ankündigungen verfolgen: Die Herstellerankündigungen und das GitHub-Security-Advisory (GHSA-vwf4-m7j8-wcjf) regelmäßig auf weitere Informationen prüfen.

Quellen

• https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf
• https://www.metabase.com/blog/security-update
• https://www.cve.org/CVERecord?id=CVE-2026-72898
• https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026/va-26-222-01.json

Zusammenfassung

In den Progress ADC-Produkten LoadMaster, MOVEit WAF, ECS Connections Manager und Object Scale Connection Manager wurde eine kritische Schwachstelle (CVE-2026-8037) identifiziert. Ein nicht authentifizierter Angreifer kann über unsanitisierte Eingaben in mehreren Command-Endpoints der API beliebige Betriebssystembefehle auf der LoadMaster-Appliance ausführen (OS Command Injection Remote Code Execution). Die Schwachstelle wird mit einem CVSS-Score von 9.6 als kritisch eingestuft.

Technische Details

Die Schwachstelle liegt in der API der betroffenen Progress ADC-Produkte. Durch fehlende bzw. unzureichende Eingabevalidierung in mehreren Command-Endpoints kann ein Angreifer ohne vorherige Authentifizierung Betriebssystembefehle einschleusen und auf der Appliance ausführen. Dies ermöglicht vollständige Remote Code Execution (RCE) mit den Rechten des Dienstkontos und damit in der Regel die vollständige Kompromittierung des betroffenen Systems. Ein erfolgreicher Angriff kann zur Übernahme der LoadMaster-Appliance, zu Datenmanipulation und zur Nutzung des Systems als Sprungbrett für weitere Angriffe im Netzwerk führen.

Betroffene Systeme

Betroffen sind die folgenden Produkte von Progress Software in den angegebenen Versionen:

• Progress Software ECS Connections Manager V7.2.60.0 < V7.2.63.2
• Progress Software MOVEit WAF V7.2.60.0 < V7.2.63.2
• Progress Software Object Scale Connection Manager V7.2.60.0 < V7.2.63.2
• Progress Software LoadMaster V7.2.60.0 < V7.2.63.2
• Progress Software LoadMaster V7.2.45.12 < V7.2.54.18

Empfehlungen und Maßnahmen

1. Patch einspielen: Systeme umgehend auf die korrigierten Versionen V7.2.63.2 bzw. V7.2.54.18 aktualisieren.
2. Sofortige Isolation: Bis zur Installation des Patches betroffene Appliances möglichst vom Netzwerk isolieren und den Zugriff auf die Verwaltungsschnittstelle einschränken.
3. Zugriffskontrolle: API- und Verwaltungs-Endpoints nur aus vertrauenswürdigen Netzwerken erreichbar machen.
4. Überwachung: Logs und Systemaktivitäten auf Anzeichen von Kompromittierung prüfen (unerwartete Befehlsausführung, neue Benutzer, ungewöhnliche Prozesse).
5. Offizielle Anleitung: Die Hinweise des Herstellers im Security Bulletin beachten und umsetzen.

Quellen

• Progress Software: LoadMaster Critical Security Bulletin June 2026 (CVE-2026-8037, CVE-2026-33691) — https://community.progress.com/s/article/LoadMaster-Critical-Security-Bulletin-June-2026-CVE-2026-8037-CVE-2026-33691

Zusammenfassung

In JetBrains TeamCity wurde eine kritische Schwachstelle entdeckt, die eine nicht authentifizierte Remote-Code-Ausführung (RCE) über das Agent-Polling-Protokoll ermöglicht. Die Schwachstelle trägt die CVE-ID CVE-2026-63077 und wird mit einem CVSS-Score von 9.8 als kritisch eingestuft. Angreifer können die Lücke ohne vorherige Authentifizierung ausnutzen und damit beliebigen Code mit den Rechten des TeamCity-Servers ausführen. Ein Patch ist in den Versionen 2026.1.3 und 2025.11.7 verfügbar.

Technische Details

Die Schwachstelle betrifft das Agent-Polling-Protokoll von JetBrains TeamCity. Über dieses Protokoll kommunizieren Build-Agents mit dem TeamCity-Server, um nach neuen Aufgaben zu fragen. Aufgrund eines Fehlers, der unter CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten) klassifiziert ist, kann ein Angreifer manipulierte Daten über das Polling-Protokoll einschleusen und so beliebigen Code auf dem Server ausführen.

Wichtige Eckdaten im Überblick:

• CVE-ID: CVE-2026-63077
• CVSS-Score: 9.8 (Critical)
• Schwachstellentyp: Nicht authentifizierte Remote-Code-Ausführung (RCE)
• CWE: CWE-502 – Deserialisierung nicht vertrauenswürdiger Daten
• Betroffene Komponente: Agent-Polling-Protokoll (TW-102164)
• Auswirkung: Vollständige Kompromittierung des TeamCity-Servers, Datenzugriff, Übernahme von Build-Umgebungen

Da für die Ausnutzung keine Authentifizierung und keine Benutzerinteraktion erforderlich ist, stellt die Schwachstelle ein hohes Risiko dar, insbesondere für TeamCity-Instanzen, die direkt aus dem Internet erreichbar sind.

Betroffene Systeme

Betroffen sind alle Versionen von JetBrains TeamCity vor 2026.1.3 sowie vor 2025.11.7:

• JetBrains TeamCity < 2026.1.3
• JetBrains TeamCity < 2025.11.7

Die Schwachstelle beheben die Versionen 2026.1.3 und 2025.11.7.

Empfehlungen und Maßnahmen

1. Sofort aktualisieren: Betroffene TeamCity-Server unverzüglich auf 2026.1.3 (bzw. 2025.11.7 für den älteren Release-Zweig) aktualisieren.
2. Exposition reduzieren: TeamCity-Server nicht direkt aus dem Internet erreichbar machen und den Zugriff auf das Agent-Polling-Protokoll auf vertrauenswürdige Netzwerke beschränken.
3. Indikatoren prüfen: Nach einer Kompromittierung suchen – Logs auf ungewöhnliche Agent-Registrierungen und unerwartete Build-Aktivitäten prüfen.
4. Zugangskontrolle: Zugriff auf die TeamCity-Verwaltung über VPN oder Firewall-Regeln einschränken und Multi-Faktor-Authentifizierung aktivieren.

Quellen

• JetBrains – Fixed security issues: https://www.jetbrains.com/privacy-security/issues-fixed/

Security-Advisory: CVE-2026-9198

CVE-ID: CVE-2026-9198
CVSS v3.1: 9.8 (Kritisch)
CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE: CWE-94 (Unzureichende Kontrolle der Codegenerierung – "Code Injection")
Hersteller: IBM

Zusammenfassung

In IBM Langflow OSS (Open Source Software) können nicht authentifizierte Angreifer eine Kette aus zwei Sicherheitslücken ausnutzen, um auf Standardinstallationen eine vollständige Remote-Code-Ausführung (RCE) zu erlangen. Zunächst wird über den Endpunkt /api/v1/auto_login ein SUPERUSER-Token an jeden Netzwerkaufrufer ausgegeben. Mit diesem Token kann anschließend der Endpunkt /api/v1/validate/code aufgerufen werden, der über exec() beliebigen vom Angreifer kontrollierten Python-Code ausführt. Ein Angriff ist aus dem Netzwerk heraus ohne jedwede Authentifizierung möglich und führt zur vollständigen Kompromittierung des betroffenen Systems.

Technische Details

Die Schwachstelle kombiniert zwei separate Probleme:

1. Auto-Login-Bypass: Der Endpunkt /api/v1/auto_login stellt ohne Authentifizierung SUPERUSER-Tokens für jeden Netzwerkaufrufer aus. Dadurch kann sich ein Angreifer unberechtigt volle Administratorrechte innerhalb der Anwendung verschaffen.
2. Code-Injection: Der Endpunkt /api/v1/validate/code führt zur Validierung eingegebenen Benutzercode mittels exec() aus. Der Code-Validator führt dabei Python-Dekoratoren, Standardargumente und Annotationen bereits zum Zeitpunkt der Funktionsdefinition aus, wodurch beliebige Kommandos auf dem Hostsystem ausgeführt werden können.

Durch die Kombination beider Endpunkte (zuerst Token beschaffen, dann bösartigen Code einschleusen) kann ein nicht authentifizierter Angreifer vollständige Kontrolle über betroffene Langflow-Instanzen erlangen – inklusive Zugriff auf vertrauliche Daten, Manipulation und Ausfall des Dienstes. Betroffen sind alle Standardbereitstellungen, in denen die Auto-Login-Funktion aktiviert und der Validierungsendpunkt aus dem Netzwerk erreichbar ist.

Betroffene Systeme

• IBM Langflow OSS – Versionen 1.0.0 bis 1.10.0 (inklusive)
• Betroffene Plattformen: Windows, macOS, Linux

Empfehlungen und Maßnahmen

• Update durchführen: IBM empfiehlt dringend, Langflow OSS auf Version 1.10.1 zu aktualisieren. Der Fix ist über PyPI unter https://pypi.org/project/langflow/ verfügbar.
• Netzwerkzugriff einschränken: Bis zur Aktualisierung sollte der Zugriff auf die Endpunkte /api/v1/auto_login und /api/v1/validate/code auf vertrauenswürdige Netzwerke beschränkt werden.
• Instanzen prüfen: Bei bereits kompromittierten Systemen sollten Logs und verdächtige Prozesse untersucht sowie gegebenenfalls eine Neuinstallation mit anschließender Aktualisierung durchgeführt werden.
• Keine Workarounds verfügbar: Von IBM werden keine weiteren Workarounds oder Mitigationsmaßnahmen bereitgestellt; das Upgrade auf 1.10.1 ist der einzige offizielle Fix.

Quellen

• IBM Security Bulletin: https://www.ibm.com/support/pages/node/7278927
• NVD/CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-9198
• CWE-94: https://cwe.mitre.org/data/definitions/94.html
• Langflow auf PyPI: https://pypi.org/project/langflow/

Zusammenfassung

Arista Networks hat eine kritische Sicherheitslücke in mehreren Versionen des VeloCloud Orchestrator (VCO) On-Prem offengelegt. Die Schwachstelle mit der Bezeichnung CVE-2026-16812 weist einen CVSS-Score von 10,0 (Maximum) auf und ermöglicht es Remote-Angreifern, auf privilegierte interne Funktionalität zuzugreifen, die ausschließlich für die interne Nutzung bestimmt ist. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der von ihm verwalteten Daten vollständig kompromittieren.

Technische Details

Die Schwachstelle betrifft interne Funktionalität des VeloCloud Orchestrators, die nicht für den Remote-Zugang vorgesehen war. Ein Angreifer kann diese Schwachstelle ausnutzen, um unberechtigt auf privilegierte Systemkomponenten zuzugreifen. Die betroffene Funktionalität wurde ausschließlich für interne Zwecke entwickelt und ist nicht für eine externe Erreichbarkeit konzipiert.

Die Schwachstelle wurde extern entdeckt und ist aktiv exploitiert. Hosted- und Dedicated-Versionen des VCO wurden bereits im Vorfeld dieser Bekanntmeldung gepatcht.

Betroffene Systeme

• Arista Networks VeloCloud Orchestrator On-Prem 7.0.0 (vor 7.0.0.1)
• Arista Networks VeloCloud Orchestrator On-Prem 6.4.0 (vor 6.4.2.4)
• Arista Networks VeloCloud Orchestrator On-Prem 6.1.0 (vor 6.1.3.4)
• Arista Networks VeloCloud Orchestrator On-Prem 5.2.0 (vor 5.2.3.14)

Empfehlungen und Maßnahmen

• Sofortiges Update: Aktualisieren Sie den VeloCloud Orchestrator On-Prem umgehend auf die entsprechende gepatchte Version (7.0.0.1, 6.4.2.4, 6.1.3.4 bzw. 5.2.3.14).
• Netzwerksegregation: Stellen Sie sicher, dass der Orchestrator nicht direkt aus dem Internet erreichbar ist. Sperren Sie den Zugang auf autorisierte Netzwerke.
• Monitoring: Überwachen Sie das System auf Anzeichen einer Kompromittierung, insbesondere ungewöhnliche Zugriffsmuster auf interne Schnittstellen.
• Notfallmaßnahmen: Falls ein Update kurzfristig nicht möglich ist, isolieren Sie den betroffenen Orchestrator vom Netzwerk.

Quellen

• Arista Security Advisory 0144
• NVD - CVE-2026-16812

Zusammenfassung

CVE-2026-50522 beschreibt eine kritische Sicherheitsschwachstelle in Microsoft Office SharePoint, die eine Deserialisierung nicht vertrauenswürdiger Daten ermöglicht. Ein entfernter, nicht autorisierter Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Code auf dem betroffenen System auszuführen. Der CVSS-Score liegt bei 9.8 von 10, was der Stufe "Critical" entspricht.

Technische Details

Die Schwachstelle betrifft den Deserialisierungsmechanismus in Microsoft SharePoint. Durch das Einlesen nicht vertrauenswürdiger Daten kann ein Angreifer mithilfe von speziell aufgebauten Payloads die Ausführung beliebigen Codes auf dem Server erzwingen. Der Angriff erfolgt Netzwerk-basiert und erfordert keine lokale Authentifizierung. Aufgrund der Natur der Schwachstelle (Remote Code Execution via Insecure Deserialization) ist die Ausnutzung mit einem hohen Angriffserfolg zu rechnen.

Betroffene Systeme

Folgende Microsoft SharePoint-Versionen sind betroffen:

• Microsoft SharePoint Enterprise Server 2016 — Version 16.0.0 older than 16.0.5561.1001
• Microsoft SharePoint Server Subscription Edition — Version 16.0.0 older than 16.0.19725.20434
• Microsoft SharePoint Server 2019 — Version 16.0.0 older than 16.0.10417.20175

Empfehlungen und Maßnahmen

1. Sofortiges Patchen: Installieren Sie die verfügbaren Sicherheitsupdates von Microsoft für die jeweilige SharePoint-Version.
2. Zugriffsberechtigungen prüfen: Stellen Sie sicher, dass nur autorisierte Benutzer Netzwerkzugriff auf SharePoint-Server haben.
3. Monitoring: Überwachen Sie ungewöhnliche Aktivitäten auf den betroffenen SharePoint-Systemen.
4. Notfallplan: Bereiten Sie einen Incident-Response-Plan für den Fall der Ausnutzung vor.

Quellen

• Microsoft Security Update Guide — CVE-2026-50522

Zusammenfassung

Eine kritische Schwachstelle in der Anmeldeprozess-Implementierung von Check Point SmartConsole ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, einen Application-Login-Token zu erlangen und sich mit vollen administrativen Berechtigungen anzumelden. Check Point bestätigt, dass diese Schwachstelle aktiv ausgenutzt wird und eine sehr kleine Zahl an Kunden betroffen ist.

Technische Details

Die Schwachstelle (CVSS 9.1) betrifft den Authentifizierungsmechanismus von Check Point SmartConsole. Ein Angreifer kann den Login-Prozess umgehen, ohne gültige Anmeldedaten eingeben zu müssen. Damit erhält er einen gültigen Application-Login-Token, der volle administrative Berechtigungen auf dem Management Server gewährt.

Mit diesen Berechtigungen kann ein Angreifer:

• Sicherheitsrichtlinien (Security Policies) ändern
• Sicherheitskonfigurationen verändern
• Netzwerkzugriffsregeln manipulieren

Eine Fernausnutzung erfordert Zugang zur IP-Adresse des Management Servers sowie eine Konfiguration, die keine Einschränkungen für Trusted Clients enthält. Der Angreifer benötigt also Netzwerkzugriff auf den Management-Server.

Betroffene Systeme

Folgende Check Point Produkte sind betroffen:

Empfehlungen und Maßnahmen

1. Sofort aktualisieren: Installieren Sie die neuesten Jumbo Hotfix Updates für Ihre jeweilige Version. Details finden Sie in SK185169.
2. Trusted Clients einschränken: Konfigurieren Sie den Management Server so, dass nur vertrauenswürdige Client-IP-Adressen auf die Verwaltungsoberfläche zugreifen können.
3. Netzwerksegmentierung prüfen: Stellen Sie sicher, dass der Management Server nicht direkt aus dem Internet erreichbar ist.
4. Zugriffsprotokolle überprüfen: Analysieren Sie Logs auf verdächtige Anmeldeversuche und ungewöhnliche Administrative-Aktionen.
5. Forensische Untersuchung: Bei Verdacht auf eine Kompromittierung sollte eine gründliche Sicherheitsanalyse durchgeführt werden.

Quellen

• Check Point Support – SK185169
• EUVD – CVE-2026-16232