Experten für Schwachstellenforschung, fortschrittliche Bedrohungsanalyse und erstklassige Sicherheitsoperationen. Wir finden die Schwachstellen vor den Angreifern.
Bleiben Sie auf dem Laufenden mit unseren neuesten Sicherheitsforschungen und Branchenanalysen.
Ein unauthentifizierter Request an Jira, Confluence oder Bitbucket liest Dateien aus dem Webapp-Root -- inklusive WEB-INF, wo crowd.properties Klartext-Zugangsdaten preisgibt und daraus Admin auf der Instanz wird. CVSS 9.3, acht Produkte, alle Versionen, Angriffsversuche binnen Stunden nach dem oeffentlichen Writeup.
Citrix hat an einem Sonntag acht NetScaler-CVEs gepatcht, zwei davon wurden bereits als Zero-Day ausgenutzt. CVE-2026-88771 betrifft jede ADC- und Gateway-Installation auf einem betroffenen Build -- inklusive Standardkonfiguration -- und die August-Builds enthalten den Fix nicht.
Ein praeparierter Request an einen unauthentifizierten API-Endpunkt uebergibt einem Angreifer das System, das entscheidet, wer ins Netzwerk darf -- und anschliessend Root darauf. CVSS 10.0, als Zero-Day ausgenutzt, seit dem 16. September im CISA-KEV-Katalog mit dreitaegiger Frist, und kein Workaround ausser einer ACL.
Zwei gleichzeitige Multipart-Requests an eine unauthentifizierte Struts-Action liefern einem Angreifer Jettys laufende Konfiguration -- und damit eine Shell auf dem System, das jeden Endpunkt eines MSP verwaltet. CVSS 10.0, vor der Offenlegung ausgenutzt, seit dem 8. September im CISA-KEV-Katalog -- der vierte N-central-Hotfix in fuenf Wochen.
Eine Authentifizierungsschwaeche in der Standardkonfiguration von JFrog Artifactory laesst unauthentifizierte Angreifer Administrator-Tokens erzeugen. Am 28. August gepatcht, am 1. September aktiv ausgenutzt, am 2. September im CISA-KEV -- und kompromittiert wird das System, dem Ihre gesamte Build-Pipeline vertraut.
Citrix lieferte den Fix am 30. Juni und nannte ihn Denial of Service. Sieben Wochen spaeter machte watchTowr aus demselben Heap Overflow Pre-Auth-Root, und binnen Tagen landeten Webshells auf ungepatchten NetScaler-Appliances -- CISA nahm die Luecke am 26. August mit einer Drei-Tage-Frist in den KEV-Katalog auf.
Erhalten Sie fachkundige Cybersecurity-Beratung und Penetrationstests vom SEKurity-Team.