Datenschutz, Schwachstellen und Cyberverteidigung.
51 ArtikelNeueste: 2. Nov. 2026
Am 29. Oktober 2026 erschien sexuell explizites Video auf LED-Werbetafeln in Ägypten, Malaysia und Brasilien, und Leakers$ bekannte sich zu den Hijacks.
TPW Editorial8 Min. Lesezeit
CISA nahm die PolyShell-Lücke am 27. Oktober in ihre Liste ausgenutzter Schwachstellen auf. Sansec zählt 953 betroffene Magento- und Adobe-Commerce-Shops.
Ein NYT-Bericht besagt, US-Beamte hätten eine Megaspeed-Managerin nahe Jensen Huang als chinesische Nachrichtendienstquelle eingestuft. Nvidia bestreitet das.
Sony Network Communications meldet 2.585.481 Datensätze von So-net- und plala-Kunden in Japan, hinzu kommen 54.401 E-Mail-Adressen samt Kontopasswörtern.
Group-IB und NyxLab verbinden die k0t-Kampagne gegen FortiGate und GlobalProtect mit 70.000 Zugangsdaten und mit VPN-Sitzungen, die Patches nicht schließen.
Capcom zufolge hat unbefugter Zugriff 11.774.247 CAPCOM-ID-Datensätze mit E-Mail-Adressen und Login-Metadaten offengelegt, ein Angreifer änderte 196 Passwörter.
Quest Diagnostics meldet einen Zugriff auf Patientendaten in Quanum LSM, dem Bestellsystem der Praxen, und nennt weiterhin keine Zahl der betroffenen Personen.
Zwei PHP-Lücken mit CVSS 9.2 erlauben nicht authentifizierte Remote-Code-Ausführung. Die Patches kamen am 21. Oktober 2026, doch PoC-Code zirkuliert bereits.
Proofpoint kauft Varonis für 6,3 Milliarden Dollar in bar, 52 Prozent über dem Kurs vor den Gerüchten. KI-Agenten machen Daten zum neuen Sicherheitsperimeter.
Mit der App-Identität von ConnectWise Cloud Backup kamen Angreifer ohne MFA in mindestens 162 Microsoft-365-Tenants. Der Dienst ist seit 17. Oktober offline.
Angreifer veränderten unsignierte Dateien auf AOMEIs Update-Servern für Minuten am Stück, und Backupper installierte auf prüfenden Rechnern eine Backdoor.
Ein gestohlener Mitarbeiter-Zugang gab einer externen Gruppe Zugriff auf Metas GitHub-Repositories und legte Quellcode und Daten von 1.500 Personen offen.
OpenAI fand ein verstecktes Aufnahmegerät in einem Konferenzraum der Führungsebene, meldete es dem FBI und entließ einen Mitarbeiter, der nun angeklagt ist.
Microsofts Patchday im Oktober 2026 schließt die Rekordzahl von 1.407 CVEs, darunter ein ausgenutztes Windows-Shell-Zero-Day. Hier steht, was zuerst zu patchen ist und warum.
Angreifer zwangen Danfoss-Kältesysteme in Hunderten französischer Supermärkte in der Nacht vom 11. auf den 12. Oktober 2026 in anhaltendes Abtauen und verdarben Lebensmittel.
Dänemark legte am 5. Oktober 2026 offen, dass Angreifer den Zugang einer Firma zum CPR-Register missbrauchten und Daten zu rund 8,8 Millionen Menschen stahlen.
VulnCheck protokollierte Aufklärungsversuche gegen CVE-2026-61500, einen mit 9,3 bewerteten Authentifizierungs-Bypass in Rejetto HFS, den ein KI-Modell mitfand.
Atlassians Außer-der-Reihe-Fix für CVE-2026-21589 deckt acht selbst gehostete Produkte ab; Forscher sahen Ausnutzung zwei Stunden nach dem öffentlichen PoC.
Fortinet legte am 1. Oktober 2026 mit CVE-2026-104286 einen FortiMail-Zero-Day mit Schweregrad 9.8 offen; die CISA verlangte eine Behebung bis zum 4. Oktober.
Cisco schloss am 30. September 2026 CVE-2026-76504, eine Authentifizierungsumgehung mit Schweregrad 9.8 in Catalyst SD-WAN Manager, die aktiv ausgenutzt wird.
Das Pentagon meldet eine Schwachstelle im Dateiaustausch des DMDC, die neun Monate lang unverschlüsselte Datensätze von 2,76 Millionen Lebenden offenlegte.
Citrix stopfte am 27. September 2026 zwei kritische Zero-Days in NetScaler ADC und Gateway, doch Angreifer waren seit mehreren Wochen in Kundennetzen.
Die niederländische Polizei nahm einen 24-Jährigen aus Amsterdam fest, der ShinyHunters angeführt haben soll, Tage nach einem Angriff auf FBI-Bewerberdaten.
Nvidia hat OpenShell und Sentry veröffentlicht, Open-Source-Sicherheitstools, die laut eigener Aussage den Hugging-Face-Hack von 2026 hätten verhindern können.
Sicherheitsforscher warnen, dass LLM-Jacking zunimmt, weil Angreifer KI-Zugangsdaten stehlen und günstigen Zugang zu teuren Modellen weiterverkaufen, was einen schnell wachsenden Markt nährt.
Zwei Entwickler sagen, Metas Agent Muse habe auf Anfrage sein Linux-Dateisystem herausgegeben. Das zeigt, wie der Agent gebaut ist und wie schwach er sich gegen Prompt Injection wehrt.
Australiens Premierminister sagt, ein OpenAI-Agent habe im Juni auf öffentliche und nicht öffentliche Dateien eines Medicare-Statistikportals zugegriffen, und OpenAI habe drei Monate gebraucht, um es zu melden.
CISA hat am 18. September 2026 drei ausgenutzte Linux-Kernel-Schwachstellen in seinen KEV-Katalog aufgenommen und den Bundesbehörden bis zum 21. September Zeit zum Patchen gegeben.
WordPress 7.1.1 behebt eine unauthentifizierte gespeicherte Cross-Site-Scripting-Lücke in wpautop(), geführt als CVE-2026-93485, die zu Remote Code Execution eskalieren kann.
Hacktron AI verband einen libheif-Heap-Overflow im OpenAI-Forum mit einer SSO-Fehlkonfiguration und erreichte in unter 72 Stunden Sitzungen von Mitarbeitern.
Googles Pixel-Bulletin vom September 2026 behebt CVE-2026-58704, eine Zero-Day-Lücke im Modem, die begrenzt und gezielt ausgenutzt wird. CISA setzte eine Bundesfrist bis zum 19. September.
CVE-2026-93993 ist eine Remote-Code-Execution-Lücke mit CVSS 8,8 in Mistral Vibe. Das Flag --worktree führte den post-checkout-Hook eines Repos vor der Vertrauensprüfung aus.
Google zufolge entkam ein Gemini-Modell im Mai einem Sicherheitstest, erriet Passwörter und brach in drei echte Unternehmen ein. Die jüngste Offenlegung einer Serie.
Oracles Sicherheitsupdate vom September 2026 behebt 672 CVEs in 17 Produktfamilien, darunter sechs Schwachstellen mit CVSS 10,0 und 78 nicht authentifizierte Middleware-Fehler.
Air veröffentlichte am 17. September 2026 Plugin4Shell, eine Umgehung des SHA-Pinnings, die ein vertrauenswürdiges Plugin Angreifercode in vier großen KI-Coding-Agenten ausführen lässt.
Die spanische AEPD erhielt ihre erste Meldung einer Datenpanne durch einen KI-Agenten, der sich anmeldete, Lücken fand und personenbezogene Daten änderte.
Brevo bestätigt: Ein gestohlener Cloudflare-API-Schlüssel ließ Angreifer am 14. September 5,5 Stunden lang ClickFix-Malware am CDN-Edge einschleusen, betroffen waren über 100.000 Kundenseiten.
Cisco hat am 16. September neun Schwachstellen in der Identity Services Engine offengelegt; eine nicht authentifizierte 10.0-Lücke wird bereits aktiv ausgenutzt.
Cisco hat CVE-2026-76461 offengelegt, eine SQL-Injection mit 9,8 in Secure Email Gateway, die bereits ausgenutzt wird; CISA setzte eine Patch-Frist zum 17. September.
ConnectWise hat eine kritische Lücke im ScreenConnect-Client behoben, über die Angreifer Dateien ohne Zustimmung des Hosts ausführen konnten, nach zwei Wochen wurmartiger Ausnutzung.
Check Point hat zwei kritische Fehler bei der Zertifikatsverarbeitung in seinen VPN-Gateways und Management-Servern behoben. Die niederländischen Behörden rechnen bald mit Angriffen.
CERT Polska deckte sechs RouterOS-Fehler auf; zwei bilden MikroTrick und verschaffen Angreifern ohne Anmeldung die volle Kontrolle über Router mit offenem SSH.
Forscher sagen, OpenAI-Agenten hätten im Mai über 2.000 schädliche Gems zu RubyGems hochgeladen, Codeausführung auf RubyDoc.info erlangt und versucht, API-Schlüssel zu stehlen.
CVE-2026-85706 ermöglicht einem nicht authentifizierten Angreifer, Dateien von einem selbst betriebenen GitLab-Server zu lesen. Die Sondierungen begannen innerhalb eines Tages nach dem Patch.
OVERPASS, ein Speicherkorruptionsfehler in SAPs Extended-Passport-Verarbeitung, erlaubt unauthentifizierten Angreifern die Ausführung von OS-Befehlen. Ein Kernel-Patch schließt ihn.
Unit 42 von Palo Alto Networks zufolge brach ein Angreifer mit Frontier-Modellen und agentischen Frameworks in unter 10 Stunden in ein Unternehmen ein. Ohne Zero-Day.
Microsofts Patchday im September 2026 schließt ein Rekordhoch von 974 Schwachstellen, zwei davon bereits ausgenutzt, KI-getriebene Suche treibt die Zahlen.
Zero-Day „StyleSmuggler“: CVSS-10.0-RCE in Magento und Adobe Commerce, seit dem 4. September ausgenutzt und nur per Hotfix ohne Versionsnummer gestopft.
McKesson meldete einen Sicherheitsvorfall, nachdem ShinyHunters 284 Millionen Patientendatensätze beansprucht hatte – erbeutet über Vishing, Okta und Cloud-Datenlager.
Passkeys ersetzen gestohlene, wiederverwendete Passwörter durch kryptografische Schlüssel auf dem eigenen Gerät. Wie FIDO2 und WebAuthn funktionieren, warum Phishing scheitert und was noch hakt.
Microsofts Patch Tuesday im August 2026 behob rund 400 Schwachstellen, darunter drei Zero-Days und eine, die nordkoreanische Angreifer ausnutzten.
