CISA warnt vor einer kritischen Honeywell-CCTV-Schwachstelle (CVSS 9.8), die unbefugten Zugriff ermöglicht. Figure-Fintech-Datenleck exponiert fast 1 Million Konten durch Social Engineering. Vier VS Code Extensions mit über 125 Mio. Downloads enthalten kritische Sicherheitslücken. Microsoft Copilot-Bug umgeht DLP-Richtlinien seit Januar.
CISA warnt vor einer kritischen Schwachstelle in mehreren Honeywell-CCTV-Produkten, die in kritischer Infrastruktur eingesetzt werden. Angreifer können Konten übernehmen und ohne Authentifizierung auf Kamerafeeds zugreifen.
Die von Forscher Souvik Kanda entdeckte CVE-2026-1670 wird als „fehlende Authentifizierung für kritische Funktion" eingestuft. Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer, die Wiederherstellungs-E-Mail-Adresse eines Gerätekontos zu ändern und damit eine vollständige Kontoübernahme durchzuführen.
| Modell | Firmware-Version |
|---|---|
| I-HIB2PI-UL 2MP IP | 6.1.22.1216 |
| SMB NDAA MVO-3 | WDR_2MP_32M_PTZ_v2.0 |
| PTZ WDR 2MP 32M | WDR_2MP_32M_PTZ_v2.0 |
| 25M IPC | WDR_2MP_32M_PTZ_v2.0 |
Diese NDAA-konformen Kameras sind in US-Regierungsbehörden, bei Bundesauftragnehmern und in kritischen Einrichtungen im Einsatz. CISA empfiehlt:
Das Blockchain-native Fintech-Unternehmen Figure Technology Solutions erlitt ein Datenleck, das fast 1 Million Konten betrifft. Der Angriff wurde durch Social Engineering ausgeführt.
Figure, das mit über 250 Partnern — darunter Banken, Kreditgenossenschaften und Fintechs — bereits über 22 Milliarden Dollar an Eigenheimkapital freigesetzt hat, bestätigte den Vorfall gegenüber TechCrunch. Die Angreifer nutzten Voice-Phishing (Vishing), um einen Mitarbeiter dazu zu bringen, Zugang zu gewähren.
Die ShinyHunters-Erpressergruppe veröffentlichte 2,5 GB Daten von Tausenden Kreditantragstellern auf ihrer Darknet-Seite. Dies ist Teil einer größeren Kampagne, die SSO-Konten bei Okta, Microsoft und Google in über 100 hochkarätigen Organisationen angreift.
Die Angreifer geben sich als IT-Support aus, rufen Mitarbeiter an und bringen sie dazu, Anmeldedaten und MFA-Codes auf Phishing-Seiten einzugeben, die Unternehmens-Login-Portale imitieren. Einmal eingedrungen, erhalten sie Zugriff auf verbundene Unternehmensanwendungen wie Salesforce, Microsoft 365, Google Workspace, Slack und Dropbox.
OX-Security-Forscher entdeckten mehrere Schwachstellen in vier beliebten VS Code Extensions. Drei CVEs sind noch nicht gepatcht.
„Ein Hacker benötigt nur eine einzige bösartige Extension oder eine einzelne Schwachstelle in einer Extension, um laterale Bewegung durchzuführen und ganze Organisationen zu kompromittieren", warnten die Forscher.
| CVE | Extension | CVSS | Auswirkung |
|---|---|---|---|
| CVE-2025-65717 | Live Server | 9.1 | Lokale Dateiexfiltration über bösartige Website |
| CVE-2025-65716 | Markdown Preview Enhanced | 8.8 | Beliebige JavaScript-Ausführung über .md-Datei |
| CVE-2025-65715 | Code Runner | 7.8 | Beliebige Code-Ausführung über settings.json |
| — | Microsoft Live Preview | — | Exfiltration sensibler Dateien (behoben in v0.4.16) |
Ein Microsoft 365 Copilot-Bug hat dazu geführt, dass der KI-Assistent vertrauliche E-Mails zusammenfasst und dabei Data-Loss-Prevention-Richtlinien (DLP) umgeht, die sensible Informationen schützen sollen.
Unter der Bezeichnung CW1226324 betrifft dieser Bug die Copilot-Chatfunktion „Arbeit-Tab". Er liest und fasst fälschlicherweise E-Mails in den Ordnern „Gesendete Elemente" und „Entwürfe" zusammen — einschließlich Nachrichten mit Vertraulichkeitskennzeichnungen, die explizit den Zugriff durch automatisierte Tools einschränken sollen.
Microsoft erklärte: „Dies hat niemandem Zugang zu Informationen gewährt, für die er nicht bereits berechtigt war... Ein Konfigurationsupdate wurde weltweit für Unternehmenskunden bereitgestellt."
Prüfen Sie die Copilot-Aktivitätsprotokolle für den Zeitraum seit dem 21. Januar. Stellen Sie sicher, dass Inhalte mit Vertraulichkeitskennzeichnung nicht versehentlich in Copilot-Zusammenfassungen enthalten waren, die über den beabsichtigten Empfängerkreis hinaus geteilt wurden.
Texas hat TP-Link Systems verklagt und dem Unternehmen vorgeworfen, Router irreführend als sicher zu vermarkten, während chinesische staatlich gestützte Hacker Firmware-Schwachstellen ausnutzen konnten.
651 Festnahmen in 16 afrikanischen Ländern. Über 4,3 Mio. Dollar sichergestellt. Die Operation richtete sich gegen Anlagebetrug, Mobile-Money-Betrügereien und betrügerische Kredit-Apps mit Verlusten von 45 Mio. Dollar.
ESET entdeckte Android-Malware, die Googles Gemini AI nutzt, um Persistenz aufrechtzuerhalten. Die Malware verwendet generative KI, um Bildschirme zu analysieren und Schritt-für-Schritt-Anleitungen zu generieren, um sich in den letzten Apps angeheftet zu halten.
Verurteilt für das Hacken mehrerer Steuerberatungsfirmen in Massachusetts und das Einreichen betrügerischer Steuererklärungen mit Rückforderungen von über 8,1 Mio. Dollar.
| Kennzahl | Wert |
|---|---|
| Betroffene Konten (Figure-Datenleck) | 967.200 |
| Honeywell CVE-Schweregrad (CVSS) | 9.8 |
| Gefährdete VS Code Extension Downloads | 125 Mio.+ |
| Dauer des Copilot-DLP-Bypasses | ca. 30 Tage |
| INTERPOL-Festnahmen (Op Red Card 2.0) | 651 |
| Von ShinyHunters angegriffene Organisationen | 100+ |
KI-gestütztes Schwachstellenmanagement mit über 333.000 indexierten CVEs.
Kostenlosen Scan startenBleiben Sie sicher. Bleiben Sie wachsam.
🗡️ KENSAI Sicherheitsteam
Get a free security scan of your website in 60 seconds
Free Security Scan →