Eine kritische Schwachstelle für beliebiges Datei-Lesen im WordPress-Plugin Smart Slider 3 lässt über 500.000 Websites exponiert. TP-Link patcht Authentifizierungsumgehung und Command-Injection-Mängel in Routern. Cisco veröffentlicht einen IOS-Fix für mehrere Schwachstellen, der DoS, Secure-Boot-Umgehung und Privilegieneskalation abdeckt. BIND-DNS-Resolver sehen sich Speichererschöpfung durch gestaltete Domains gegenüber. Hightower Holding meldet ein Datenleck, das 130.000 Personen betrifft. OpenAI erweitert sein Bug-Bounty-Programm auf KI-Safety- und Missbrauchsrisiken.
Jeder authentifizierte Nutzer (einschließlich Subscriber) kann beliebige Serverdateien lesen — darunter wp-config.php mit Datenbank-Zugangsdaten, Schlüsseln und Salts. Über 500.000 Sites betreiben noch verwundbare Versionen.
Der Sicherheitsforscher Dmitrii Ignatyev hat eine schwerwiegende Schwachstelle in Smart Slider 3 offengelegt, einem der beliebtesten Slider-Plugins von WordPress mit über 800.000 aktiven Installationen. Der als CVE-2026-3098 geführte Mangel erlaubt es jedem authentifizierten Nutzer — selbst denen mit der niedrigsten Subscriber-Rolle —, beliebige Dateien vom Webserver zu lesen.
Die Schwachstelle rührt von fehlenden Capability-Checks in den AJAX-Export-Aktionen des Plugins her. Der Funktion actionExportAll fehlt die Validierung von Dateityp und Quelle, was bedeutet, dass nicht nur Bild- oder Videodateien exportiert werden können — auch .php-Dateien lassen sich lesen.
Zwar ist eine Nonce vorhanden, sie verhindert den Missbrauch jedoch nicht, da jeder authentifizierte Nutzer sie erhalten kann. Wordfence-Forscher István Márton erklärte:
„Dies ermöglicht es letztlich authentifizierten Angreifern mit minimalem Zugang, etwa Subscribern, jede beliebige Datei auf dem Server zu lesen, einschließlich der wp-config.php der Website, die die Datenbank-Zugangsdaten sowie Schlüssel und Salts für kryptographische Sicherheit enthält."
Die Schwachstelle ist noch nicht als aktiv ausgenutzt markiert, doch angesichts der niedrigen Hürde (Subscriber-Zugang) und des hohen Werts der offengelegten Daten (Datenbank-Zugangsdaten) wird eine Ausnutzung in Kürze erwartet.
Maßnahme für Verteidiger: Aktualisieren Sie Smart Slider 3 sofort auf Version 3.5.1.34. Falls Sie nicht umgehend patchen können, deaktivieren Sie das Plugin. Auditieren Sie Ihre Site auf unautorisierte Subscriber-Konten. Rotieren Sie Datenbank-Zugangsdaten und WordPress-Salts, falls Sie eine Kompromittierung vermuten. Prüfen Sie Serverlogs auf anomale Export-Anfragen.
Mehrere Mängel hoher Schwere in TP-Link-Routern erlauben Authentifizierungsumgehung, beliebige Befehlsausführung und Entschlüsselung von Konfigurationsdateien. Firmware-Updates sind verfügbar.
TP-Link hat Firmware-Updates veröffentlicht, die mehrere Schwachstellen hoher Schwere über seine Router-Produktlinie hinweg adressieren. Die Sicherheitsmängel könnten von Angreifern verkettet werden, um eine vollständige Router-Kompromittierung ohne gültige Zugangsdaten zu erreichen.
Diese Schwachstellen sind besonders gefährlich, weil Heim- und KMU-Router oft internetzugewandt sind, selten aktualisiert werden und einen strategischen Ausgangspunkt für laterale Bewegung in interne Netze bieten.
Maßnahme für Verteidiger: Prüfen Sie Ihr TP-Link-Routermodell gegen das Sicherheits-Advisory des Herstellers und aktualisieren Sie die Firmware sofort. Deaktivieren Sie Remote-Management, falls nicht benötigt. Ändern Sie Standard-Admin-Zugangsdaten. Erwägen Sie Netzwerksegmentierung, um den Wirkungsradius einer Router-Kompromittierung zu begrenzen.
Cisco hat ein Paket von Sicherheitspatches für seine IOS- und IOS-XE-Software veröffentlicht, das mehrere Schwachstellen hoher und mittlerer Schwere adressiert. Die Mängel decken zusammen ein breites Spektrum an Angriffsflächen in Unternehmensnetzwerk-Ausrüstung ab.
| Auswirkung | Schweregrad | Beschreibung |
|---|---|---|
| Denial of Service | Hoch | Gestaltete Pakete können Routing-Prozesse zum Absturz bringen und Netzwerkausfälle verursachen |
| Secure-Boot-Umgehung | Hoch | Angreifer können Secure-Boot-Schutzmechanismen umgehen und persistente Implantate auf Firmware-Ebene ermöglichen |
| Informationsoffenlegung | Mittel | Leak sensibler Konfigurationsdaten und interner Zustandsinformationen |
| Privilegieneskalation | Mittel | Authentifizierte Nutzer können Rechte über ihre Autorisierungsstufe hinaus erhöhen |
Die Secure-Boot-Umgehung ist besonders besorgniserregend — sie erlaubt es Angreifern, die initialen Zugang erlangen, persistente Hintertüren zu installieren, die Geräteneustarts und in manchen Szenarien sogar Firmware-Upgrades überstehen.
Maßnahme für Verteidiger: Prüfen Sie das Cisco-IOS-Security-Advisory-Bundle und planen Sie sofortiges Patchen für internetzugewandte und kritische Infrastrukturgeräte. Priorisieren Sie die Secure-Boot-Umgehung und die DoS-Schwachstellen. Verifizieren Sie die Geräteintegrität mit Ciscos Trustworthy-Technologies-Verifizierungswerkzeugen.
Speziell gestaltete Domain-Anfragen können Out-of-Memory-Zustände in BIND-Resolvern auslösen, was zu fortschreitenden Speicherlecks und letztlich zu Denial of Service führt.
ISC hat Updates für BIND 9 veröffentlicht, die am weitesten verbreitete DNS-Server-Software, und patcht damit Schwachstellen hoher Schwere, die es entfernten Angreifern erlauben, Speichererschöpfung in DNS-Resolvern über speziell gestaltete Domain-Anfragen zu verursachen.
Die Schwachstellen nutzen Randfälle in BINDs Domainnamen-Auflösungslogik aus. Wenn ein Resolver bestimmte gestaltete Domainnamen verarbeitet, allokiert er Speicher, der nie ordnungsgemäß freigegeben wird. Ein Angreifer kann einen stetigen Strom solcher Anfragen senden, um fortschreitend allen verfügbaren Speicher auf dem Resolver zu verbrauchen, was schließlich Folgendes verursacht:
Da BIND einen erheblichen Teil der DNS-Infrastruktur des Internets antreibt, haben diese Schwachstellen einen weiten Wirkungsradius. Unternehmens-, ISP- und Regierungs-DNS-Resolver sind alle potenziell betroffen.
Maßnahme für Verteidiger: Aktualisieren Sie BIND sofort auf die neueste gepatchte Version. Überwachen Sie den Speicherverbrauch der Resolver auf anomale Wachstumsmuster. Implementieren Sie Rate-Limiting für DNS-Anfragen einzelner Quellen. Erwägen Sie, BIND zusammen mit alternativen Resolvern zur Redundanz einzusetzen.
Hightower Holding, ein großes US-amerikanisches Vermögensverwaltungsunternehmen, hat ein Datenleck offengelegt, das rund 130.000 Personen betrifft. Das Unternehmen bestätigte, dass Hacker unautorisierten Zugriff auf seine Umgebung erlangten und sensible personenbezogene Informationen exfiltrierten.
Diese Kombination personenbezogener Daten ist besonders gefährlich für Identitätsdiebstahl und Finanzbetrug. Mit SSNs und Führerscheinnummern können Angreifer betrügerische Kreditkonten eröffnen, falsche Steuererklärungen einreichen und ausgeklügelte Social-Engineering-Angriffe gegen die Opfer durchführen.
Hightower ist ein registrierter Anlageberater, der über 130 Milliarden US-Dollar an Vermögenswerten verwaltet, was dieses Datenleck für den Finanzdienstleistungssektor besonders bedeutsam macht. Das Unternehmen bietet betroffenen Personen Kreditüberwachungsdienste an.
Betroffene Personen: Falls Sie Hightower-Kunde sind, sperren Sie Ihre Kreditauskunft bei allen drei Auskunfteien (Equifax, Experian, TransUnion). Überwachen Sie Finanzkonten auf unautorisierte Aktivität. Seien Sie wachsam gegenüber Phishing-Versuchen, die Ihre geleakten personenbezogenen Daten nutzen. Erwägen Sie eine IRS Identity Protection PIN.
In einer bemerkenswerten Erweiterung seines Sicherheitsprogramms hat OpenAI einen neuen Bug-Bounty-Zweig gestartet, der gezielt auf KI-Missbrauchs- und Safety-Risiken abzielt. Anders als klassische Bug-Bounties, die sich auf Schwachstellen auf Code-Ebene konzentrieren, belohnt dieses Programm Forscher für das Aufspüren von Design- oder Implementierungsproblemen, die zu materiellem Schaden führen.
Dies stellt eine bedeutende Verschiebung dar, wie KI-Unternehmen Sicherheit angehen. Indem OpenAI finanzielle Anreize für das Red-Teaming von KI-Safety schafft, erkennt es an, dass klassische Modelle der Schwachstellen-Offenlegung sich parallel zu KI-Fähigkeiten weiterentwickeln müssen.
Für Forscher: Das Programm deckt Design- und Implementierungsprobleme ab, die zu materiellem Schaden führen. Meldungen sollten klare Reproduktionsschritte und Nachweise der Auswirkung enthalten. Dies ist getrennt von OpenAIs bestehendem Security-Bug-Bounty auf HackerOne.
| Bedrohung | Kategorie | Schweregrad | Erforderliche Maßnahme |
|---|---|---|---|
| Smart Slider CVE-2026-3098 | WordPress-Schwachstelle | Mittel* | Auf 3.5.1.34 aktualisieren |
| TP-Link-Router-Mängel | Netzwerk-Schwachstelle | Hoch | Firmware aktualisieren |
| Cisco IOS mehrere Schwachstellen | Netzwerk-Schwachstelle | Hoch | IOS-Patches anwenden |
| BIND-DNS-Speicherleck | DNS-Schwachstelle | Hoch | BIND aktualisieren |
| Hightower-Datenleck (130K) | Datenleck | Hoch | Kreditsperre / überwachen |
| OpenAI-Safety-Bounty | Branche | Info | Awareness |
*Smart-Slider-CVE wegen der Authentifizierungsanforderung als mittel eingestuft, doch das reale Risiko ist auf Sites mit offener Registrierung hoch.
KENSAI überwacht Ihre WordPress-Plugins, Netzwerkgeräte und DNS-Infrastruktur kontinuierlich auf bekannte Schwachstellen — und alarmiert Sie, bevor Angreifer zuschlagen.
Kostenlosen Scan starten →Veröffentlicht vom KENSAI Threat Intelligence Team
29. März 2026 — Abendausgabe
Quellen: Wordfence, BleepingComputer, SecurityWeek, ISC, Cisco, TP-Link, OpenAI