🛡️ Sicherheitsforschungs-Briefing

Europäische Kommission — Europa.eu von ShinyHunters kompromittiert

Die Europäische Kommission bestätigte eine schwerwiegende Datenpanne, nachdem die Erpressergruppe ShinyHunters behauptete, über 350 GB an Informationen aus den Cloud-Systemen der Europäischen Kommission gestohlen zu haben. Der Vorfall stellt einen der größten Regierungsdatendiebstähle in der jüngeren europäischen Geschichte dar.

SecurityWeek ↗

CareCloud — Patientendaten im Gesundheitswesen gestohlen

Das Gesundheits-IT-Unternehmen CareCloud meldete einen Cybersicherheitsvorfall in einer seiner Umgebungen für elektronische Gesundheitsakten (EHR). Sensible Patientendaten wurden während einer ca. achtstündigen Netzwerkunterbrechung offengelegt. Von der Datenpanne ist eine unbekannte Anzahl von Patienten betroffen, deren geschützte Gesundheitsinformationen (PHI) möglicherweise abgegriffen wurden.

BleepingComputer ↗

FBI-Direktor Kash Patel — Persönliches E-Mail-Konto kompromittiert

Das FBI bestätigte, dass iranische Hacker das persönliche E-Mail-Konto von FBI-Direktor Kash Patel angegriffen haben. Eine pro-iranische Hackergruppe beanspruchte die Verantwortung und stellte E-Mails und Dokumente zum Download bereit. Die USA bieten eine Belohnung von 10 Mio. USD für Informationen über die Hacker. Das FBI merkte an, dass die kompromittierten Informationen veraltet seien.

SecurityWeek ↗

CVE-2026-3055 — Citrix NetScaler ADC/Gateway Memory Overread

Eine kritische Speicher-Overread-Schwachstelle in Citrix NetScaler ADC und Gateway ermöglicht es Angreifern, sensible Informationen auszulesen, darunter authentifizierte Admin-Sitzungs-IDs. Für die Ausnutzung muss die Appliance als SAML Identity Provider konfiguriert sein. Aktive Ausnutzung wird seit dem 27. März beobachtet.

Maßnahme: Sofort patchen. SAML-IDP-Konfigurationen überprüfen.

BleepingComputer ↗

F5 BIG-IP APM — DoS zu kritischer RCE hochgestuft

F5 hat eine BIG-IP APM-Schwachstelle von hochgradigem DoS zu kritischer RCE hochgestuft. Angreifer installieren aktiv Webshells auf ungepatchten Geräten. CISA hat dies in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.

Maßnahme: Sofort patchen. BIG-IP-Instanzen auf Webshells überprüfen.

BleepingComputer ↗

CVE-2026-21643 — Fortinet FortiClient EMS SQL Injection

Eine kritische SQL-Injection-Schwachstelle in Fortinets FortiClient Endpoint Management Server (EMS) wird aktiv in freier Wildbahn ausgenutzt. Bedrohungsakteure nutzen diese Schwachstelle für den Erstzugang zu Unternehmensnetzwerken.

Maßnahme: FortiClient EMS sofort patchen. EMS-Protokolle auf anomale Abfragen überprüfen.

CyberSecurityNews ↗

Grafana 12.4.2 — Zwei kritische RCE-Schwachstellen

Zwei kritische Schwachstellen in Grafana ermöglichen vollständige Remote-Code-Ausführung. Sicherheitsupdates wurden in Version 12.4.2 veröffentlicht.

CyberSecurityNews ↗

CVE-2026-33660 — n8n Workflow-Automatisierung RCE

Eine kritische RCE-Schwachstelle in der beliebten Open-Source-Workflow-Automatisierungsplattform n8n setzt Host-Server Remote-Code-Ausführungsangriffen aus.

CyberSecurityNews ↗

CVE-2026-33634 — Aqua Trivy Scanner

CISA hat eine kritische Schwachstelle in Aqua Securitys Trivy Scanner in den KEV-Katalog aufgenommen. Ironischerweise wurde ein Sicherheitsscanner selbst zum Angriffsvektor.

CyberSecurityNews ↗

Vim — Beliebige Befehlsausführung über manipulierte Dateien

Eine hochgradige Schwachstelle in Vim ermöglicht es Angreifern, über manipulierte Dateien beliebige Befehle auszuführen. Entwickler, die Vim nutzen, sollten umgehend aktualisieren.

CyberSecurityNews ↗

Cisco Secure Firewall Management Center — Unauthentifizierte RCE

Unauthentifizierte Remote-Code-Ausführungsschwachstelle in Ciscos Secure Firewall Management Center (FMC)-Software.

CyberSecurityNews ↗

Synology DiskStation Manager — Remote-Befehlsausführung

Unauthentifizierte Angreifer aus der Ferne können beliebige Befehle auf Synology-DSM-Geräten ausführen.

CyberSecurityNews ↗

Jira Work Management — Gespeichertes XSS

Eine gespeicherte XSS-Schwachstelle in Jira Work Management könnte zur Kontokompromittierung im Atlassian-Ökosystem führen.

CyberSecurityNews ↗

Claude Chrome Extension — 0-Click Prompt Injection

Eine Zero-Click-Schwachstelle in Anthropics Claude Chrome Extension setzte über 3 Millionen Nutzer stillen Prompt-Injection-Angriffen aus und ermöglichte es bösartigen Websites, den KI-Assistenten zu kapern.

CyberSecurityNews ↗

Russische APT Star Blizzard — DarkSword iOS-Exploit-Kit

Die russische staatlich unterstützte Gruppe Star Blizzard hat das DarkSword iOS-Exploit-Kit übernommen und zielt auf Regierungs-, Hochschul-, Finanz- und Rechtseinrichtungen sowie Denkfabriken ab. Dies markiert eine bemerkenswerte Erweiterung ihrer mobilen Exploit-Fähigkeiten.

SecurityWeek ↗

Russisches CTRL-Toolkit — RDP-Hijacking über FRP-Tunnel

Ein neu entdecktes Fernzugriffs-Toolkit russischen Ursprungs namens CTRL wird über bösartige LNK-Dateien verbreitet, die als Ordner mit privaten Schlüsseln getarnt sind. In .NET entwickelt, umfasst es Credential-Phishing (Windows Hello UI), Keylogging, RDP-Session-Hijacking und Reverse-Proxy-Tunneling über Fast Reverse Proxy (FRP).

The Hacker News ↗

China-verbundene APTs — Südostasiatische Regierung im Visier

Drei mit China verbündete Bedrohungscluster (Mustang Panda, Earth Estries/Crimson Palace, Unfading Sea Haze) führten eine koordinierte Kampagne gegen eine südostasiatische Regierung durch. Die eingesetzte Malware umfasst HIUPAN, PUBLOAD, MASOL RAT, PoshRAT, FluffyGh0st und andere — was auf eine gut ausgestattete, hartnäckige Operation hindeutet.

The Hacker News ↗

Iran — Cyberoperationen im Kriegskontext

Mit dem Iran verbundene Hackergruppen verlagern sich auf hochvolumige Cyberangriffe mit geringer Einzelwirkung und KI-gestützter Verstärkung. Ziele sind Krankenhäuser, Infrastruktur und zivile Systeme in einer sich wandelnden Konfliktlandschaft.

SecurityWeek ↗

TeamPCP Supply-Chain-Angriff — Telnyx SDK auf PyPI vergiftet

Zwei bösartige Versionen des beliebten Telnyx SDK wurden in die PyPI-Registry hochgeladen und zielen auf Windows-, macOS- und Linux-Systeme ab. Teil der wachsenden TeamPCP-Supply-Chain-Angriffskampagne.

SecurityWeek ↗

RoadK1ll — Neues WebSocket-Implantat für Lateralbewegung

Ein neu identifiziertes Implantat namens RoadK1ll nutzt WebSocket-Verbindungen für eine unauffällige Lateralbewegung von kompromittierten Hosts zu anderen Systemen im Netzwerk.

BleepingComputer ↗

Infiniti Stealer — Cloudflare-getarnter ClickFix-Angriff auf Macs

Ein Cloudflare-getarnter ClickFix-Angriff installiert den Infiniti Stealer auf Macs über gefälschte CAPTCHA-Seiten, Bash-Skripte, einen Nuitka-Loader und einen Python-basierten Infostealer. Apples macOS Tahoe 26.4 enthält nun Terminal-Einfügewarnungen, die speziell gegen ClickFix-Techniken schützen sollen.

SecurityWeek ↗

Apple macOS Tahoe 26.4 — Terminal-Einfügeschutz

Apple hat in macOS Tahoe 26.4 eine neue Sicherheitsfunktion eingeführt, die das Einfügen und Ausführen potenziell schädlicher Befehle im Terminal blockiert und damit direkt die ClickFix-Social-Engineering-Technik adressiert, die Nutzer dazu verleitet, bösartige Befehle einzufügen.

BleepingComputer ↗

Huskeys — Edge-Security-Management-Startup (8 Mio. USD Finanzierung)

Huskeys trat mit einer 8-Mio.-USD-Finanzierung aus dem Stealth-Modus hervor und entwickelt eine Edge-Security-Management-Plattform (ESM) — eine KI-Engine über dem gesamten Edge-Security-Stack.

SecurityWeek ↗

Google setzt Quanten-Deadline auf 2029

Google hat eine interne Frist für 2029 zur Quanten-Sicherheitsbereitschaft gesetzt — ein Signal, dass die Migrationszeitpläne für Post-Quanten-Kryptographie enger werden.

SecurityWeek ↗

LLMs untergraben Zugriffskontrolle

SecurityWeek hebt eine wachsende Sorge hervor: LLMs können komplexe Zugriffskontrollrichtlinien (Rego, Cedar) in Sekunden generieren, aber eine einzige fehlende Bedingung oder ein halluziniertes Attribut kann Least-Privilege-Sicherheitsmodelle stillschweigend aushebeln. Organisationen, die KI zum Schreiben von Zugriffsrichtlinien einsetzen, sollten die Ausgabe als nicht vertrauenswürdigen Code behandeln, der einer gründlichen Überprüfung bedarf.

Browserbasierte Angriffe umgehen traditionelle Schutzmaßnahmen

Ein Bericht von Push Security beschreibt, wie browserbasierte Angriffe — AITM-Phishing, ClickFix, bösartige OAuth-Apps und Session-Hijacking — schwerwiegende Sicherheitsverletzungen verursachen, während bestehende Schutzmaßnahmen sie nicht erkennen. Der Browser wird zur primären Angriffsoberfläche.

Netzwerk-Appliance-CVEs unter schneller Massenausnutzung

Der heutige Bericht zeigt 3 separate Netzwerk-Appliance-Hersteller (Citrix, F5, Fortinet) mit kritischen CVEs, die gleichzeitig aktiv ausgenutzt werden. Das Zeitfenster zwischen Offenlegung und Ausnutzung schrumpft weiter. Edge-Device-Patching ist keine Option — es ist ein Wettlauf.

Staatlich geförderte mobile Exploitation weitet sich aus

Star Blizzards Übernahme des DarkSword iOS-Exploit-Kits signalisiert, dass russische APTs ihre Fähigkeiten zur mobilen Zielerfassung ausbauen. In Kombination mit Irans KI-gestützter Angriffsskalierung erweitern sich die offensiven Fähigkeiten von Nationalstaaten schneller als die defensive Abdeckung.