Kiteworks empfiehlt am 26. September eine 6-stündige Serverabschaltung als Vorsicht nach Behördenwarnung vor möglichem Angriff. Kein Vorfall bestätigt.
CSRF-Lücke in Elementor 4.3.0 und 4.3.1: Ein Admin-Klick genügt, um ein Admin-Konto anzulegen. Update auf 4.3.2 sofort installieren.
Kanada warnt: CVE-2026-48842 in Roundcube wird aktiv ausgenutzt. Pre-Auth SQL-Injection in virtuser_query bedroht Mails – Update auf 1.6.16/1.7.1 nötig.
CISA warnt vor aktiv ausgenutzten WSO2- und Adobe-Commerce-Lücken. Bundesbehörden müssen bis 27.9.2026 patchen und Systeme forensisch prüfen.
Siemens Desigo CC: Manipulierte Grafiken ermöglichen Codeausführung per CVE-2026-34223 (CVSS 8,2) und gefährden Clients.
CVE-2026-63077 in TeamCity wird für Ransomware genutzt: Unauthentifizierte Angreifer führen Code aus. CISA warnt – jetzt auf 2025.11.7 patchen.
CISA stuft Siemens Mendix Runtime nach erneuter Prüfung als nicht betroffen ein. CVE-2026-7891 wurde abgelehnt, ein Patch ist nicht erforderlich.
CVE-2026-48842 in Roundcube wird aktiv ausgenutzt: SQL-Injection vor Login über virtuser_query. Update auf 1.6.16 oder 1.7.1 und Schutzmaßnahmen.
SolarWinds behebt drei kritische RCE-Lücken in Observability Self-Hosted und Access Rights Manager ohne Authentifizierung – jetzt updaten.