Experteneinblicke in Cybersicherheit, Schwachstellenforschung und bewährte Sicherheitspraktiken.
Ein unauthentifizierter Request an Jira, Confluence oder Bitbucket liest Dateien aus dem Webapp-Root -- inklusive WEB-INF, wo crowd.properties Klartext-Zugangsdaten preisgibt und daraus Admin auf der Instanz wird. CVSS 9.3, acht Produkte, alle Versionen, Angriffsversuche binnen Stunden nach dem oeffentlichen Writeup.
Citrix hat an einem Sonntag acht NetScaler-CVEs gepatcht, zwei davon wurden bereits als Zero-Day ausgenutzt. CVE-2026-88771 betrifft jede ADC- und Gateway-Installation auf einem betroffenen Build -- inklusive Standardkonfiguration -- und die August-Builds enthalten den Fix nicht.
Ein praeparierter Request an einen unauthentifizierten API-Endpunkt uebergibt einem Angreifer das System, das entscheidet, wer ins Netzwerk darf -- und anschliessend Root darauf. CVSS 10.0, als Zero-Day ausgenutzt, seit dem 16. September im CISA-KEV-Katalog mit dreitaegiger Frist, und kein Workaround ausser einer ACL.
Zwei gleichzeitige Multipart-Requests an eine unauthentifizierte Struts-Action liefern einem Angreifer Jettys laufende Konfiguration -- und damit eine Shell auf dem System, das jeden Endpunkt eines MSP verwaltet. CVSS 10.0, vor der Offenlegung ausgenutzt, seit dem 8. September im CISA-KEV-Katalog -- der vierte N-central-Hotfix in fuenf Wochen.
Eine Authentifizierungsschwaeche in der Standardkonfiguration von JFrog Artifactory laesst unauthentifizierte Angreifer Administrator-Tokens erzeugen. Am 28. August gepatcht, am 1. September aktiv ausgenutzt, am 2. September im CISA-KEV -- und kompromittiert wird das System, dem Ihre gesamte Build-Pipeline vertraut.
Citrix lieferte den Fix am 30. Juni und nannte ihn Denial of Service. Sieben Wochen spaeter machte watchTowr aus demselben Heap Overflow Pre-Auth-Root, und binnen Tagen landeten Webshells auf ungepatchten NetScaler-Appliances -- CISA nahm die Luecke am 26. August mit einer Drei-Tage-Frist in den KEV-Katalog auf.
Vier separate Fehler in SharePoints JWT-Validierungspipeline erlauben einem unauthentifizierten Angreifer, ein Token fuer jeden Benutzer zu faelschen -- auch fuer Site-Administratoren. CISA nahm die Schwachstelle am 18. August in den KEV-Katalog auf, nachdem die Ausnutzung dem oeffentlichen PoC innerhalb eines Tages folgte.
Eine Path-Traversal-Luecke im vCenter-Syslog-Server erlaubt unauthentifizierten Angreifern Codeausfuehrung auf der Appliance, die die gesamte virtuelle Umgebung steuert -- fuenf Tage nach Disclosure zaehlten Forscher 361 kompromittierte Hosts in 47 Laendern.
Ein fest einprogrammiertes Konto mit niedrigen Rechten in jedem Cisco Secure Firewall Management Center erlaubt unauthentifizierten Angreifern die Anmeldung an der Firewall-Management-Ebene -- ausgenutzt als Zero-Day, bevor Cisco ueberhaupt ein Advisory veroeffentlichte.
Eine Route-Confusion im REST-API-Batch-Endpunkt von WordPress Core, verkettet mit einer SQL-Injection in WP_Query, ermoeglicht unauthentifizierten Angreifern Remote Code Execution auf einer Standard-WordPress-Installation -- ohne Plugins, ohne Zugangsdaten, und sie wird bereits aktiv ausgenutzt.
Zwei Zero-Days in SonicWalls SMA-1000-Remote-Access-Appliance -- eine unauthentifizierte CVSS-10.0-SSRF verkettet mit einer Post-Auth-Root-Code-Injection -- werden aktiv ausgenutzt, um Zugangsdaten, Session-Datenbanken und MFA-Seeds zu stehlen.
Eine 16 Jahre alte Use-after-Free-Luecke in der KVM-Shadow-MMU laesst einen Root-Nutzer in einer Gast-VM auf den Host ausbrechen -- auf Intel und AMD, ausgenutzt als Zero-Day in Googles kvmCTF