Zimbra hat eine kritische Stored-XSS-Lücke im Classic Web Client geschlossen, über die eine präparierte E-Mail Code in Ihrer Sitzung ausführt. Gemeldet von Google TAG. Auf ZCS 10.1.19 aktualisieren.
Am 8. Juli 2026 schleuste das Konto eines vertrauten Beitragenden eine Hintertür in 18 npm-Pakete über die eigene OIDC-Pipeline von Injective Labs. Das sollten Verantwortliche prüfen.
Progress Software wies ShareFile-Kunden an, lokale Storage Zone Controller wegen einer glaubwürdigen Bedrohung physisch abzuschalten. Kein Patch, keine CVE. Was Inhaber lernen sollten.
Microsoft hat einen außerplanmäßigen Patch für RoguePlanet (CVE-2026-50656) veröffentlicht, eine Lücke in der Windows-Defender-Scan-Engine, die einem lokalen Nutzer den Aufstieg zu SYSTEM auf Windows 10 und 11 erlaubt. Da die Korrektur über Defenders eigenes stilles Engine-Update kommt, lautet die Aufgabe, den Build zu prüfen, statt anzunehmen, das Antivirenprogramm schütze Sie schon.
Eine XRING getaufte Schwachstelle bringt einen Webserver mit XQUIC, Alibabas quelloffener QUIC-Bibliothek, mit rund 260 Byte gewöhnlichem HTTP/3-Verkehr zum Absturz. Ohne Anmeldung, ohne fehlerhaftes Paket, und bis zum 10. Juli ohne CVE und ohne Lösung. Der einzige Schutz ist heute eine Konfigurationszeile, die Sie selbst setzen.
Cloudflare stellt seine Signaturen jetzt auf ML-DSA um, statt auf die neun neuen NIST-Kandidaten zu warten. Für Eigentümer ist die Vertrauensschicht die langsame Hälfte.
CISA hat Langflow, ein verbreitetes Werkzeug zum Bau von KI-Agenten, nach aktiver Ausnutzung auf die Liste der dringend zu schließenden Schwachstellen gesetzt. Angreifer stahlen KI- und Cloud-Schlüssel, und für Betreiber heißt das jetzt: patchen und Schlüssel rotieren.
Die FortiBleed-Kampagne fing Zugangsdaten von FortiGate-Firewalls mit dem eigenen Diagnosewerkzeug von FortiOS ab und belieferte INC Ransom und Lynx. Eine gepatchte Firewall reicht nicht.
Eine ColdFusion-Lücke mit Höchstwertung, CVE-2026-48282, wurde binnen Minuten nach Veröffentlichung der technischen Analyse angegriffen. US-Behörden müssen bis zum 10. Juli patchen, und am meisten gefährdet sind die vergessenen Server mit aktivierten Remote Development Services.
CVE-2026-53359, genannt Januscape, ist eine 16 Jahre alte Lücke, mit der eine gemietete virtuelle Maschine ausbrechen und den geteilten physischen Host übernehmen kann. Das Schließen braucht zwei getrennte Patches, nicht einen, und die korrigierten Linux-Kernel kamen erst am 4. Juli.
CVE-2026-8451 macht aus einem als SAML-Identitätsanbieter konfigurierten Citrix NetScaler ein Speicherleck, das Angreifern aktive Sitzungstoken liefert. Citrix hat am 30. Juni 2026 gepatcht, die Angriffe kamen binnen eines Tages. Wer den Fernzugriff über NetScaler betreibt, patcht und rotiert Sitzungen jetzt.
CVE-2026-48558 lässt Angreifer ein Login-Token fälschen und SimpleHelp übernehmen, das Fernwartungswerkzeug, mit dem viele IT-Dienstleister Ihre Rechner verwalten. Rund 14.000 Server waren erreichbar, die Lücke steht auf der CISA-Liste, und nach NIS2 liegt die Meldepflicht bei Ihnen, nicht beim Hersteller.
Seite 8 / 11
Eine überlegte Notiz zu Infrastruktur, Governance und Messbarkeit, fast jeden Morgen. Keine Theorie.