- Warning - CERT.at

Kritische Sicherheitslücken in PHP - Updates verfügbar
by Güneş Holler 21 Oct '26

21 Oct '26

21. Oktober 2026 Beschreibung In PHP existieren zwei kritische Sicherheitslücken, deren Ausnutzung es nicht authentifizierten Angreifer:innen ermöglichen kann, aus der Ferne beliebigen Code auszuführen. Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Bei CVE-2026-109618 kann die Behandlung von Out-of-Memory-Zuständen (OOM) PHP unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Beim anschließenden Beenden der Anfrage werden diese ungültigen Daten als gültig verarbeitet. Bei CVE-2026-109619 kann anfragebezogener interner Zustand bestehen bleiben, nachdem der zugehörige Speicher bereits freigegeben wurde (Use-after-free). Eine spätere Anfrage, die vom selben Worker-Prozess verarbeitet wird, kann diesen veralteten Zustand vor der regulären Initialisierung verwenden. CVE-Nummer(n): CVE-2026-109618, CVE-2026-109619 CVSS v4.0 Base Score: 9.2 Auswirkungen Durch Ausnutzen der Schwachstellen können Angreifer:innen ohne Authentifizierung aus der Ferne beliebigen Code mit den Rechten des Benutzerkontos ausführen, unter dem der Webserver- bzw. PHP-Worker-Prozess läuft. CVE-2026-109619 ermöglicht zusätzlich das Auslesen von Speicherinhalten. Das PHP-Projekt stuft das Risiko für Apache mit mod_php am höchsten ein: Für diese Konfiguration wurde eine Ausnutzung demonstriert, bei der eine nicht authentifizierte Anfrage den Angriff auslöst, bevor Anwendungscode ausgeführt wird. Für CVE-2026-109619 wurde die Codeausführung zusätzlich gegen PHP-FPM validiert. Angaben zu einer aktiven Ausnutzung macht das PHP-Projekt nicht. Betroffene Systeme * PHP 8.5 vor Version 8.5.12 * PHP 8.4 vor Version 8.4.27 * PHP 8.3 vor Version 8.3.36 * PHP 8.2 vor Version 8.2.35 * PHP 8.1 und ältere Versionen (End of Life) Abhilfe Das PHP-Projekt stellt mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 Updates bereit, welche die Schwachstellen beheben. Laut Hersteller ist ausschließlich ein Update eine vollständige Abhilfe. Linux-Distributionen und LTS-Anbieter haben die Patches vorab erhalten; aktualisierte Pakete sind über die jeweiligen Anbieter zu beziehen. Für das Repository rpms.remirepo.net sind laut PHP-Projekt am 21. Oktober 2026 keine Updates verfügbar. Betreiber:innen, die dieses Repository nutzen, wird empfohlen, auf Distributionspakete umzusteigen oder PHP aus dem Quellcode zu bauen. PHP 8.1 und ältere Versionen erhalten keine Updates mehr vom PHP-Projekt. Einige Distributionen und LTS-Anbieter stellen zurückportierte Fixes bereit. Zusätzlich hat das PHP-Projekt minimale Quellcode-Backports für [106]PHP 7.4, [107]PHP 8.0 und [108]PHP 8.1 veröffentlicht. Ein Upgrade auf eine unterstützte Version wird empfohlen. PHP 8.2 erreicht am 31. Dezember 2026 das End of Life. Falls ein sofortiges Update nicht möglich ist, reduzieren folgende Maßnahmen die Angriffsfläche für einzelne bekannte Angriffswege. Sie bieten jedoch keinen vollständigen Schutz: * CVE-2026-109618: memory_limit=-1 so setzen, dass Anwendungen den Wert nicht überschreiben können (z. B. per php_admin_value in der FPM-Pool- oder Apache-Konfiguration). Einen niedrigen Wert für post_max_size setzen (8M ohne Datei-Uploads, 32M mit Datei-Uploads) und upload_max_filesize darunter halten. Zusätzlich können Begrenzungen auf Webserver- bzw. Proxy-Ebene (u. a. Anfragegröße, Anzahl der Eingabefelder, Multipart-Teile und Header) gesetzt werden. Container- oder cgroup-Speicherlimits können als Verfügbarkeitsgrenze dienen; RLIMIT_AS und RLIMIT_DATA sollten nicht verwendet werden, da diese die verwundbare Speicherallokation auslösen können. * CVE-2026-109619: session.upload_progress.enabled=0 in php.ini, in der FPM-Pool- oder Serverkonfiguration setzen (nicht über ini_set() oder .user.ini) und alle Worker-Prozesse neu starten. Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen und alle Worker-Prozesse neu starten. Ungültige oder veraltete INI-Einstellungen, die pro Anfrage angewendet werden und vor der Initialisierung Diagnosemeldungen erzeugen, sollten entfernt werden. Das Unterdrücken dieser Meldungen über error_reporting, display_errors oder @ ist nicht ausreichend. Weiters sollten von außen auslösbare Fatal Errors und Ausführungs-Timeouts behoben werden. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Security advisory: Critical remote code execution vulnerabilities, update now (Englisch) [109]https://www.php.net/index.php#2026-10-21-5 GitHub Security Advisory GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (Englisch) [110]https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx- j79w GitHub Security Advisory GHSA-6wmf-4rv5-p3rp: RCE via stale global state (Englisch) [111]https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5- p3rp Mit freundlichen Grüßen, Güneş Holler -- // Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücke in Cisco Secure Email Gateway - aktiv ausgenutzt - Updates verfügbar - CVE-2026-76519
by Michael Schlagenhaufer 15 Oct '26

15 Oct '26

15. Oktober 2026 Beschreibung In der Funktion Advanced Malware Protection (AMP) von Cisco Secure Email Gateway existiert eine kritische Sicherheitslücke. Die Schwachstelle beruht auf einer fehlerhaften Verarbeitung von E-Mail-Anhängen, wenn der File-Reputation-Dienst aktiviert ist. Laut Cisco wird die Sicherheitslücke bereits aktiv ausgenutzt. CVE-Nummer(n): CVE-2026-76519 CVSS Base Score: 9.8 Auswirkungen Nicht authentifizierte Angreifer:innen können aus der Ferne durch das Versenden einer E-Mail mit einem präparierten Anhang über ein betroffenes Gerät beliebige Dateien auf dem zugrundeliegenden Betriebssystem schreiben und Befehle mit root-Rechten ausführen. Damit ist eine vollständige Kompromittierung des Geräts möglich. Mit diesen Berechtigungen können Angreifer:innen zudem Spuren der Ausnutzung entfernen. Ist ein betroffenes Gerät Teil eines Clusters, können die zur Authentifizierung zwischen den Cluster-Mitgliedern verwendeten privaten SSH-Schlüssel ausgelesen und für die Kompromittierung weiterer Cluster-Mitglieder verwendet werden. Betroffene Systeme Betroffen ist Cisco Secure Email Gateway (physisch und virtuell) mit einer verwundbaren Version von Cisco AsyncOS, wenn beide der folgenden Bedingungen erfüllt sind: * Der File-Reputation-Dienst (Teil von Cisco AMP) ist aktiviert und einer Mail Policy zugewiesen. * Die Version der Content Scanner Tools ist älter als 25.3.0.5525. Betroffene Cisco AsyncOS Releases für Cisco Secure Email Gateway: * Release 15.5: Versionen vor 15.5.5-014 * Release 16.0: alle Versionen (kein Fix, Migration auf eine behobene Version notwendig) * Release 16.5: Versionen vor 16.5.0-780 Nicht betroffen sind laut Cisco Secure Email and Web Manager sowie Secure Web Appliance. Abhilfe Cisco stellt folgende fehlerbereinigte Versionen bereit: * Cisco AsyncOS 15.5.5-014 * Cisco AsyncOS 16.5.0-780 Cisco empfiehlt, Systeme mit Releases vor 16.5 auf 16.5.0-780 zu migrieren. Der Fix wird zusätzlich für alle lizenzierten und unterstützten AsyncOS-Releases über ein Update der Content Scanner Tools verteilt. Versionen ab 25.3.0.5525 enthalten den Fix. Das Update erfordert weder ein Software-Upgrade noch einen Neustart. Bei aktivierten automatischen Updates ist nach Einspielen des Updates keine weitere Aktion nötig, andernfalls kann das Update über den CLI-Befehl contentscannerupdate manuell angestoßen werden. Die installierte Version lässt sich mit contentscannerstatus prüfen. Für Cisco Secure Email Cloud Gateway ist laut Cisco keine Aktion erforderlich. Workarounds stehen nicht zur Verfügung. Da die Schwachstelle aktiv ausgenutzt wird, empfiehlt CERT.at, betroffene Systeme auf Anzeichen einer Kompromittierung zu prüfen. Cisco beschreibt dazu die Durchsuchung der system_logs nach Einträgen mit „System Security“ (bei Clustern auf jedem Cluster-Mitglied). Zusätzlich sollten Netzwerk- und Firewall-Logs außerhalb des Geräts auf verdächtige Aktivitäten, etwa unerwartete Uploads vom Gerät zu externen IP-Adressen, geprüft werden. Bei Verdacht auf Kompromittierung einer physischen Appliance empfiehlt Cisco die Kontaktaufnahme mit dem Cisco TAC. Bei virtuellen Appliances empfiehlt Cisco, zunächst forensische Daten zu sichern (ein Upgrade zerstört diese), eine neue virtuelle Maschine mit einer behobenen Version aufzusetzen, die Konfiguration ohne Import alter Konfigurationsdateien neu aufzubauen sowie sämtliche Zugangsdaten und kryptographisches Material zu erneuern. Bei Clustern sollten alle Mitglieder eines Clusters mit mindestens einem kompromittierten Gerät neu aufgesetzt werden. Details finden sich im [105]Advisory des Herstellers. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Cisco Secure Email Gateway Arbitrary File Write Vulnerability (Englisch) https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso… Cisco Secure Email Gateway and Secure Email and Web Manager Security Hardening Release: September 2026 (Englisch) https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso… Mit freundlichen Grüßen, Michael Schlagenhaufer -- // Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Weitere kritische Sicherheitslücke in Citrix NetScaler ADC und NetScaler,Gateway - Updates verfügbar
by Güneş Holler 09 Oct '26

09 Oct '26

09. Oktober 2026 Beschreibung Citrix hat ein Security Bulletin zu einer kritischen Sicherheitslücke in Citrix NetScaler ADC und Citrix NetScaler Gateway veröffentlicht. Es handelt sich um einen Speicherüberlauf, der zur Ausführung von beliebigem Code aus der Ferne (Remote Code Execution) oder zu einem Denial-of-Service (DoS) führen kann. Voraussetzung ist, dass das Gerät als SAML Service Provider (SP) oder SAML Identity Provider (IdP) konfiguriert ist. Betroffen sind auch Systeme, die bereits auf die für CVE-2026-88771 bis CVE-2026-88778 beziehungsweise CVE-2026-88779 bereitgestellten Versionen aktualisiert wurden, sofern sie als SAML IdP konfiguriert sind. Citrix sind nach eigenen Angaben zum Zeitpunkt der Veröffentlichung keine Angriffe unter Ausnutzung dieser Schwachstelle bekannt. CVE-Nummer(n): CVE-2026-107406 CVSS v4.0 Base Score: 9.5 Auswirkungen Durch Ausnutzen der Schwachstelle können Angreifer:innen aus der Ferne beliebigen Code auf betroffenen Geräten ausführen oder einen Denial-of-Service-Zustand herbeiführen. Laut CVSS-Vektor sind dafür weder eine Authentifizierung noch eine Interaktion von Benutzer:innen erforderlich, die Angriffskomplexität wird als hoch eingestuft. Da NetScaler-Systeme häufig als aus dem Internet erreichbare Zugangspunkte eingesetzt werden, sind bei einer Kompromittierung auch darüber laufende Daten sowie dahinterliegende Systeme gefährdet. Betroffene Systeme Betroffen sind von Kund:innen selbst verwaltete Installationen von Citrix NetScaler ADC und Citrix NetScaler Gateway, die als SAML SP oder SAML IdP konfiguriert sind. Welche Konfiguration betroffen ist, hängt von der eingesetzten Version ab. Betroffen bei Konfiguration als SAML IdP: * NetScaler ADC und NetScaler Gateway 14.1-73.37 bis einschließlich 14.1-73.41 * NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS bis einschließlich 14.1-73.41 FIPS * NetScaler ADC und NetScaler Gateway 13.1-64.23 bis einschließlich 13.1-64.28 * NetScaler ADC 13.1-FIPS NDcPP 13.1-37.279 bis einschließlich 13.1-37.282 Betroffen bei Konfiguration als SAML SP oder SAML IdP: * NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.37 * NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS * NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-64.23 * NetScaler ADC 13.1-FIPS NDcPP vor 13.1-37.279 Secure Private Access Hybrid-Installationen, die NetScaler-Instanzen verwenden, sind ebenfalls betroffen. Von Citrix verwaltete Cloud-Dienste sowie Citrix-managed Adaptive Authentication werden vom Hersteller aktualisiert. Abhilfe Citrix stellt aktualisierte Versionen bereit, welche die Schwachstelle beheben, und empfiehlt, diese so rasch wie möglich einzuspielen: * NetScaler ADC und NetScaler Gateway 14.1-73.46 und neuere Versionen * NetScaler ADC und NetScaler Gateway 13.1-64.29 und neuere Versionen von 13.1 * NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS und neuere Versionen von 14.1-FIPS * NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.283 und neuere Versionen von 13.1-FIPS und 13.1-NDcPP Im Security Bulletin werden keine Workarounds oder Mitigationsmaßnahmen genannt. Ob ein Gerät die Voraussetzungen erfüllt, lässt sich anhand der NetScaler-Konfiguration prüfen. Folgende Einträge weisen auf eine entsprechende Konfiguration hin: * SAML SP: „add authentication samlAction“ * SAML IdP: „add authentication samlIdPProfile“ Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-107406 (Englisch) [105]https://support.citrix.com/external/article/CTX697191/citrix-netsc aler-adc-and-citrix-netscale.html Protecting Customers: Immediate Guidance for CVE-2026-107406 in NetScaler ADC and NetScaler Gateway (Englisch) [106]https://community.citrix.com/techzone-blogs/110_security-updates/p rotecting-customers-immediate-guidance-for-cve-2026-107406-in-netscaler -adc-and-netscaler-gateway-r1631/ Mit freundlichen Grüßen, Güneş Holler -- // Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücken in Citrix NetScaler ADC und NetScaler Gateway - aktiv ausgenutzt - Updates verfügbar
by Erik Huemer 27 Sep '26

27 Sep '26

Kritische Sicherheitslücken in Citrix NetScaler ADC und NetScaler Gateway - aktiv ausgenutzt - Updates verfügbar 27. September 2026 Beschreibung In Citrix NetScaler ADC und Citrix NetScaler Gateway existieren mehrere Sicherheitslücken, darunter zwei kritische Schwachstellen, die die Ausführung von beliebigem Code ermöglichen. Laut Hersteller werden CVE-2026-88771 und CVE-2026-88772 bereits aktiv ausgenutzt. CVE-Nummer(n): CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, CVE-2026-88778 CVSS v4.0 Base Scores: bis zu 9.5 (kritisch) Auswirkungen CVE-2026-88771 ermöglicht es nicht authentifizierten Angreifer:innen aus der Ferne, aufgrund unzureichender Eingabevalidierung beliebige Befehle auszuführen. Laut Hersteller sind alle Installationen von NetScaler ADC und NetScaler Gateway betroffen, auch in der Standardkonfiguration. CVE-2026-88772 ist ein Speicherüberlauf, der zur Ausführung von beliebigem Code oder zu Denial-of-Service führen kann. Voraussetzung ist eine aktivierte DTLS-Konfiguration; auf VPN-Virtual-Servern ist DTLS standardmäßig aktiviert. Die weiteren Schwachstellen ermöglichen HTTP Request Smuggling (CVE-2026-88773), die Umgehung von Richtlinien mit HTTP-URL-basierten Ausdrücken (CVE-2026-88774), Denial-of-Service oder fehlerhaftes Verhalten durch Speicherüberläufe (CVE-2026-88775, CVE-2026-88776, CVE-2026-88777) sowie die Vorhersage von TCP Initial Sequence Numbers (CVE-2026-88778). Sie setzen jeweils bestimmte Konfigurationen voraus, u. a. den Betrieb als Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oder AAA-Virtual-Server, Load-Balancing-Virtual-Server vom Typ Oracle oder aktivierte Nicht-HTTP-Layer-7-Protokollfunktionen (z. B. FTP, RTSP, DNS64, NAT64). Die genauen Voraussetzungen sowie Anleitungen zur Überprüfung der eigenen Konfiguration finden sich im Advisory des Herstellers. Betroffene Systeme * Citrix NetScaler ADC und Citrix NetScaler Gateway 14.1 vor 14.1-73.37 * Citrix NetScaler ADC und Citrix NetScaler Gateway 13.1 vor 13.1-64.23 * Citrix NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS * Citrix NetScaler ADC 13.1-FIPS und 13.1-NDcPP vor 13.1-37.279 Ebenfalls betroffen sind Secure-Private-Access-Hybrid-Installationen, die NetScaler-Instanzen verwenden. Das Advisory gilt nur für kundenseitig verwaltete Installationen; von Citrix verwaltete Cloud-Dienste sowie Adaptive Authentication werden vom Hersteller aktualisiert. Abhilfe Citrix stellt Updates bereit, welche die Schwachstellen beheben: Version 14.1-73.37 bzw. 13.1-64.23 für NetScaler ADC und NetScaler Gateway sowie 14.1-73.37 FIPS bzw. 13.1-37.279 für die FIPS- und NDcPP-Varianten. Aufgrund der aktiven Ausnutzung wird dringend empfohlen, die Updates umgehend einzuspielen. Dies gilt auch für NetScaler-Instanzen in Secure-Private-Access-Hybrid-Installationen. Für von CVE-2026-88778 betroffene Systeme empfiehlt der Hersteller zusätzlich, die Option „Enhanced ISN Generation“ zu aktivieren (set ns tcpparam -enhancedISNgeneration ENABLED). Details finden sich in der [105]Dokumentation des Herstellers. Aufgrund der aktiven Ausnutzung empfiehlt CERT.at zudem, betroffene Systeme auf Anzeichen einer Kompromittierung zu überprüfen. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771, CVE-2026-88772, CVE-2026-88773, CVE-2026-88774, CVE-2026-88775, CVE-2026-88776, CVE-2026-88777, and CVE-2026-88778 (Englisch) [106]https://support.citrix.com/support-home/kbsearch/article?articleNu mber=CTX697096 TCP configurations – Enhanced ISN generation (Englisch) [107]https://docs.netscaler.com/en-us/citrix-adc/current-release/system /tcp-configurations.html#enhanced-isn-generation

1 0

Aktive Ausnutzung: Kritische Sicherheitslücke in F5 BIG-IP APM (CVE-2026-94127)
by Michael Schlagenhaufer 24 Sep '26

24 Sep '26

24. September 2026 Beschreibung In der OAuth Komponente von F5 BIG-IP APM existiert eine kritische Schwachstelle, welche dass unauthentifizierte Ausführen von Schadcode aus der Ferne erlaubt. Betroffen sind Systeme, welche BIG-IP APM als Authorisierungsserver via OAuth-Funktionalität nutzen. Es liegen Informationen vor, dass diese Lücke bereits aktiv ausgenutzt wird, daher empfiehlt sich die Überprüfung der eigenen Instanzen auf etwaige Indicators of Compromise, welche ebenfalls im veröffentlichten Advisory enthalten sind. CVE-Nummer(n): CVE-2026-94127 CVSS v4.0 Base Score: 9.3 Auswirkungen AngreiferInnen können die Lücke durch setzen eines zu langen Authorization-Headers trivial ausnutzen. Die Ausnutzung der Lücke, mithilfe einer speziell präparierten Anfrage, führt zur unauthentifizierten Ausführung von Befehlen. Betroffene Systeme * BIG-IP APM + Version 21.1.0 * BIG-IP APM + Version 17.5.0 - 17.5.1 + Version 17.1.0 - 17.1.3 Abhilfe F5 stellt Hotfixes bereit, die die Sicherheitslücke schließen. Sollten Updates nicht zeitnahe eingespielt werden können, empfiehlt F5 zur zwischenzeitlichen Mitigation das Erstellen einer iRule welche über den Support bezogen werden kann. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): K000162605: BIG-IP APM vulnerability CVE-2026-94127 https://my.f5.com/manage/s/article/K000162605 Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow to RCE CVE-2026-94127) https://labs.watchtowr.com/is-this-a-joke-in-the-auth-header-f5-big-ip-unau… Mit freundlichen Grüßen, Michael Schlagenhaufer -- // Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücke in Cisco Secure Email Gateway - aktiv ausgenutzt - Updates verfügbar
by Michael Schlagenhaufer 15 Sep '26

15 Sep '26

15. September 2026 Beschreibung In Cisco Secure Email Gateway existiert eine kritische Sicherheitslücke. Bei erfolgreicher Ausnutzung könnte diese Sicherheitslücke es nicht authentifizierten Angreifer:innen aus der Ferne ermöglichen Befehle mit Root-Rechten auf dem zugrunde liegenden Betriebssystem auszuführen. Laut Cisco wurde eine Ausnutzung der Sicherheitslücke bereits beobachtet. CVE-Nummer(n): CVE-2026-76461 CVSS Base Score: 9.8 Auswirkungen Ein Angreifer könnte diese Sicherheitslücke ausnutzen, indem er eine speziell präparierte E-Mail-Nachricht mit bösartigen SQL-Anweisungen an eine betroffene Instanz sendet. Ein erfolgreicher Angriff könnte es Angreifern ermöglichen, beliebige SQL-Anweisungen auszuführen und die betroffenen Instanzen zu kompromittieren. Betroffene Systeme Betroffen ist Cisco AsyncOS for Cisco Secure Email Gateway (physisch und virtuell): * <15.5.5-014 * <16.0.4-302 * <16.5.0-780 Laut Cisco sind Secure Email and Web Manager und Secure Web Appliance nicht betroffen. Abhilfe Cisco stellt Updates bereit, die die Sicherheitslücke schließen. Bei Anzeichen einer Kompromittierung empfiehlt Cisco, davor einen sauberen Punkt der Instanz wiederherzustellen. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Cisco Security Advisory 14.09.2026: Cisco Secure Email Gateway SQL Injection Vulnerability https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso… Mit freundlichen Grüßen, Michael Schlagenhaufer -- // Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücken in SonicWall SMA1000 Series - aktiv ausgenutzt - Updates verfügbar
by Michael Schlagenhaufer 02 Sep '26

02 Sep '26

2.September 2026 Beschreibung In SonicWalls SMA1000 Series Appliances existieren zwei schwerwiegende Sicherheitslücken. Die schwerwiegendere der beiden Schwachstellen ermöglicht es Angreifer:innen aus der Ferne und ohne Authentifizierung, die Appliance dazu zu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden (Server-Side Request Forgery). Laut SonicWall PSIRT werden die in diesem Advisory beschriebenen Schwachstellen bereits aktiv ausgenutzt. CVE-Nummer(n): CVE-2026-83548, CVE-2026-83549 CVSS Base Score: 10.0 (bzw. 7.8) Auswirkungen CVE-2026-83548 ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im Work-Place-Interface der SMA1000 Appliance. Ein:e entfernte:r, nicht authentifizierte:r Angreifer:in kann die Appliance dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden. Der Hersteller gibt für diese Schwachstelle einen CVSS Base Score von 10.0 an. Bei CVE-2026-83549 handelt es sich um eine 'Command Injection' die es angemeldeten AdministratorInnen, aufgrund einer unsachgemäßen Neutralisierung, erlaubt Betriebssystembefehle auszuführen. Betroffene Systeme Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden Versionen: * 12.4.3-03453 (platform-hotfix) und ältere Versionen. * 12.5.0-02835 (platform-hotfix) und ältere Versionen. Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100 Series Produktlinie nicht von diesen Schwachstellen betroffen. Abhilfe SonicWall stellt für betroffenen Modelle einen platform-hotfix bereit, der die Schwachstellen behebt: * 12.4.3-03526 (platform-hotfix) und höher. * 12.5.0-02952 (platform-hotfix) und höher. Da keine Workarounds existieren, und SonicWall die aktive Ausnutzung der beschriebenen Lücken beobachtet hat, empfiehlt sich ein rasches einspielen der verfügbaren Hot-Fixes. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): SonicWall SMA1000 Series Appliances Affected By Multiple Vulnerabilities https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0016 Mit freundlichen Grüßen, Michael Schlagenhaufer -- // Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücken in WordPress - Updates verfügbar
by Güneş Holler 20 Jul '26

20 Jul '26

20. Juli 2026 Beschreibung In WordPress existieren zwei Sicherheitslücken. Eine SQL-Injection-Schwachstelle im Parameter „author__not_in“ von „WP_Query“ betrifft WordPress ab Version 6.8. Ab WordPress 6.9 lässt sich diese laut Advisory in Kombination mit einer Schwachstelle in der REST-API (Batch-Route-Confusion) zur Ausführung von beliebigem Code (Remote Code Execution) ausnutzen. Laut Searchlight Cyber ist diese Angriffskette ohne vorherige Authentifizierung und ohne weitere Voraussetzungen in einer Standardinstallation ohne Plugins nutzbar. Auf GitHub sind mittlerweile mehrere öffentlich verfügbare Proof-of-Concept-Exploits für CVE-2026-63030 veröffentlicht worden. Damit ist der Aufwand für eine Ausnutzung deutlich reduziert; CERT.at rechnet mit Angriffen auf ungepatchte Systeme. CVE-Nummer(n): CVE-2026-60137, CVE-2026-63030 CVSS Base Score: N/A (Einstufung im GitHub Security Advisory: CVE-2026-60137 „Moderate“, CVE-2026-63030 „Critical“) Auswirkungen In Kombination mit der Schwachstelle in der REST-API ist ab WordPress 6.9 die Ausführung von beliebigem Code auf dem betroffenen System, und damit eine vollständige Kompromittierung der Webseite und des darunterliegenden Systems möglich. Betroffene Systeme CVE-2026-60137 (SQL Injection): * WordPress 6.8.0 bis 6.8.5 * WordPress 6.9.0 bis 6.9.4 * WordPress 7.0.0 bis 7.0.1 CVE-2026-63030 (REST-API Batch-Route-Confusion, RCE): * WordPress 6.9.0 bis 6.9.4 * WordPress 7.0.0 bis 7.0.1 * WordPress 7.1 Beta 1 WordPress-Versionen vor 6.8 sind nicht betroffen. Abhilfe WordPress hat korrigierte Versionen veröffentlicht: * WordPress 7.0.2 (behebt beide Schwachstellen) * WordPress 6.9.5 (behebt beide Schwachstellen) * WordPress 6.8.6 (behebt CVE-2026-60137) * WordPress 7.1 Beta 2 (behebt beide Schwachstellen) CERT.at empfiehlt, die Aktualisierung umgehend einzuspielen. Das WordPress.org-Team hat für betroffene Versionen erzwungene Updates über das Auto-Update-System aktiviert. Sofern ein Update nicht unmittelbar möglich ist, nennt Searchlight Cyber folgende temporäre Maßnahmen: Deaktivierung der REST-API für nicht authentifizierte Benutzer:innen, Blockieren des Pfads „/wp-json/batch/v1“ sowie des Query-Parameters „rest_route=/batch/v1“ mittels Web Application Firewall (beide Muster müssen blockiert werden), oder Einsatz eines Plugins, das Batch-Requests an die REST-API nur für authentifizierte Benutzer:innen zulässt. Diese Maßnahmen können den regulären Betrieb der Webseite beeinträchtigen und sind nur als temporäre Notmaßnahme bis zum Update vorgesehen. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): WordPress 7.0.2 Release (Englisch) [103]https://wordpress.org/news/2026/07/wordpress-7-0-2-release/ Facilitated SQL injection vulnerability in the author__not_in parameter of WP_Query (Englisch) [104]https://github.com/WordPress/wordpress-develop/security/advisories /GHSA-fpp7-x2x2-2mjf REST API batch-route confusion and SQL injection issue leading to Remote Code Execution (Englisch) [105]https://github.com/WordPress/wordpress-develop/security/advisories /GHSA-ff9f-jf42-662q wp2shell: Pre Authentication RCE in WordPress Core (Englisch) [106]https://wp2shell.com/ New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code (Englisch) [107]https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw -lets.html Mit freundlichen Grüßen, Güneş Holler -- // Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Kritische Sicherheitslücken in SonicWall SMA1000 Series - aktiv ausgenutzt, Updates verfügbar
by Güneş Holler 15 Jul '26

15 Jul '26

15. Juli 2026 Beschreibung In den SonicWall SMA1000 Series Appliances existieren mehrere Sicherheitslücken. Die schwerwiegendere der beiden Schwachstellen ermöglicht es Angreifer:innen aus der Ferne und ohne Authentifizierung, die Appliance dazu zu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden (Server-Side Request Forgery). Laut SonicWall PSIRT werden die in diesem Advisory beschriebenen Schwachstellen bereits aktiv ausgenutzt. CVE-Nummer(n): CVE-2026-15409, CVE-2026-15410 CVSS Base Score: 10.0 Auswirkungen CVE-2026-15409 ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im Work-Place-Interface der SMA1000 Appliance. Ein:e entfernte:r, nicht authentifizierte:r Angreifer:in kann die Appliance dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden. Der Hersteller gibt für diese Schwachstelle einen CVSS Base Score von 10.0 an. CVE-2026-15410 ist eine Schwachstelle vom Typ „Improper Control of Generation of Code“ (Code Injection) in der Appliance Management Console (AMC), die es unter bestimmten Voraussetzungen einem:einer entfernten, als Administrator:in authentifizierten Angreifer:in ermöglichen kann, beliebige Betriebssystembefehle auszuführen. Der Hersteller gibt für diese Schwachstelle einen CVSS Base Score von 7.2 an. Betroffene Systeme Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden Versionen: * 12.4.3-03245, 12.4.3-03387 und 12.4.3-03434 (platform-hotfix) * 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800 (platform-hotfix) Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100 Series Produktlinie nicht von diesen Schwachstellen betroffen. Abhilfe SonicWall stellt einen platform-hotfix bereit, der die Schwachstellen behebt: * 12.4.3-03453 (platform-hotfix) und höher * 12.5.0-02835 (platform-hotfix) und höher Der aktuelle platform-hotfix steht auf mysonicwall.com zum Download bereit. Ein Workaround steht laut Hersteller nicht zur Verfügung. Da eine aktive Ausnutzung beobachtet wurde, empfiehlt SonicWall zusätzlich, das System auf Anzeichen einer Kompromittierung (Indicators of Compromise) zu überprüfen. Dazu zählen unter anderem: * Einträge in extraweb_access.log mit Anfragen an /__api__/login oder /__api__/logout mit HTTP-Status 200 * Einträge in extraweb_access.log mit Anfragen an /wsproxy mit auffälligen Host-Parametern und HTTP-Status 101 * Einträge in ctrl-service.log mit Hotfix-Rollbacks mit Path-Traversal-Namen * Routen für /__api__/login oder /__api__/logout in /var/lib/unit/conf.json (diese URIs existieren in einer legitimen Konfiguration nicht) Werden IOCs festgestellt, empfiehlt SonicWall, betroffene Appliances neu aufzusetzen (Hardware: re-image, virtuell: re-deploy), Benutzer:innen- und Administrator:innen-Passwörter zu ändern sowie TOTP-Token zurückzusetzen. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): SonicWall SMA1000 Series Appliances Affected By Multiple Vulnerabilities (Englisch) [103]https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008 Mit freundlichen Grüßen, Güneş Holler -- // Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0

Angriffswelle gegen FortiGate Devices - "FortiBleed"
by Güneş Holler 22 Jun '26

22 Jun '26

22. Juni 2026 Beschreibung Fortinet hat letzten Freitag, am 19.5.2026, nun auch ein offizielles Statement zu "FortiBleed" veröffentlicht. Wir hatten zuvor in einem [103]Blog-Artikel unseren aktuellen Wissensstand beschrieben. Bei dieser Angriffswelle handelt es sich nicht um die Ausnutzung einer neuen Schwachstelle. Die Angreifer:innen verwenden stattdessen Zugangsdaten, die bei früheren Sicherheitsvorfällen (u. a. im Zusammenhang mit CVE-2025-59718, CVE-2025-59719 und CVE-2026-24858) erlangt wurden, sowie Brute-Force-Methoden gegen Geräte mit schwacher Passworthygiene und ohne Multi-Faktor-Authentifizierung (MFA). Externe Sicherheitsforscher:innen berichten von einer großen Anzahl betroffener Geräte weltweit. Ursache für die hohe Erfolgsquote der Angriffe ist unter anderem, dass Administrator:innen-Passwörter auf FortiGate-Geräten bis zu den FortiOS-Versionen 7.2.11, 7.4.8 und 7.6.1 mit dem schwächeren SHA-256-Verfahren gehasht wurden. Auch nach einem Update auf eine neuere FortiOS-Version bleiben bestehende Passwörter so lange im älteren, leichter zu brechenden Format gespeichert, bis sich die jeweilige Administratorin oder der jeweilige Administrator nach dem Update erneut anmeldet. Erlangte Konfigurationsexporte ermöglichten es den Angreifer:innen, die darin enthaltenen Passwort-Hashes offline mittels Brute-Force-Angriffen zu kompromittieren. Auswirkungen Angreifer:innen mit gültigen, kompromittierten Zugangsdaten erhalten administrativen Zugriff auf betroffene FortiGate-Geräte. Dies ermöglicht unter anderem das Anlegen zusätzlicher lokaler Administrator:innen-Konten zur Aufrechterhaltung des Zugriffs, das Exportieren der Gerätekonfiguration, das Mitlesen von über das Gerät laufendem VPN- und Authentifizierungsverkehr sowie die Vorbereitung lateraler Bewegung in das interne Netzwerk, etwa in angebundene Active-Directory-Umgebungen. Bei Telekommunikationsanbietern und Managed Service Providern besteht zusätzlich das Risiko, dass über kompromittierte Geräte auch Kundennetzwerke erreicht werden können. Betroffene Systeme * FortiGate-Geräte mit Administrator:innen-Konten, deren Passwörter nicht seit einem Update auf FortiOS 7.2.11, 7.4.8, 7.6.1 oder neuer durch eine erneute Anmeldung auf das PBKDF2-Hashverfahren umgestellt wurden * FortiGate- und weitere Fortinet-Geräte mit aus dem öffentlichen Internet erreichbaren Management Interfaces oder SSL-VPN-Zugang ohne Multi-Faktor-Authentifizierung * Fortinet-Geräte, die möglicherweise bereits von früheren Sicherheitsvorfällen betroffen waren (u. a. im Zusammenhang mit CVE-2025-59718, CVE-2025-59719, CVE-2026-24858) Abhilfe Fortinet empfiehlt Betreiber:innen von FortiGate-Geräten folgende Sofortmaßnahmen: * Alle aktiven administrativen und VPN-Sitzungen beenden und sämtliche administrativen und VPN-Passwörter zurücksetzen, insbesondere auf aus dem Internet erreichbaren Systemen * Multi-Faktor-Authentifizierung (MFA) für alle Administrator:innen- und VPN-Benutzer:innen-Konten aktivieren * Update auf eine aktuelle Version von FortiOS 7.4, 7.6 oder 8.0 durchführen. Diese Versionen unterstützen die PBKDF2-Hashfunktion für Administrator:innen-Passwörter * Nach dem Update sicherstellen, dass sich alle Administrator:innen mindestens einmal neu anmelden, damit ihre Passwörter auf PBKDF2 umgehasht werden. Erfolgt dies nicht, verbleiben die schwächeren SHA-256-Hashes weiterhin in der Konfiguration. Auf FortiOS 7.2.x und 7.4.x kann zusätzlich die Option login-lockout-upon-weaker-encryption in den Passwortrichtlinien aktiviert werden, um das Verbleiben älterer Hashes zu verhindern * Konfiguration auf nicht autorisierte Änderungen überprüfen, idealerweise im Vergleich zu einer bekannt unveränderten Konfiguration. Besonderes Augenmerk gilt unbekannten Benutzer:innen-Konten, etwa mit Namen wie „forticloud“, „fortiuser“, „fortinet-support“ oder „fortinet-tech-support“ * Logs auf unerwartete administrative Zugriffe von unbekannten IP-Adressen sowie auf ungewöhnliche Aktivitäten in angebundenen Domain-Controller-Logs überprüfen * Externe administrative Erreichbarkeit der Geräte einschränken, etwa durch Trusted Hosts, eine Local-In-Policy oder durch vollständige Deaktivierung der administrativen Erreichbarkeit aus dem Internet Bestehen Hinweise auf nicht autorisierte Änderungen an der Konfiguration oder andere Kompromittierungsindikatoren, sollte das betroffene Gerät als kompromittiert behandelt werden. In diesem Fall empfiehlt Fortinet eine vollständige Überprüfung gemäß den eigenen Empfehlungen zur Wiederherstellung kompromittierter Geräte sowie eine Überprüfung angebundener Active-Directory-Umgebungen auf Hinweise zu Authentifizierungsversuchen oder neu angelegten Konten. Hinweis Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________ Informationsquelle(n): Analysis of Reported Credential Compromise of FortiGate Devices – Fortinet PSIRT Blog (Englisch) [104]https://www.fortinet.com/blog/psirt-blogs/analysis-of-reported-cre dential-compromise-of-fortigate-devices An update on FortiBleed – what’s happening with victim orgs – DoublePulsar (Englisch) [105]https://doublepulsar.com/an-update-on-fortibleed-whats-happening-w ith-victim-orgs-c0671a50e7f4 Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later – Fortinet Community (Englisch) [106]https://community.fortinet.com/fortigate-3/technical-tip-enforcing -pbkdf2-as-hash-function-for-administrator-accounts-in-fortios-v7-2-11- and-later-220652 FG-IR-25-647: Multiple Fortinet Products’ FortiCloud SSO Login Authentication Bypass – Fortinet PSIRT (Englisch) [107]https://www.fortiguard.com/psirt/FG-IR-25-647 FG-IR-26-060: Administrative FortiCloud SSO authentication bypass – Fortinet PSIRT (Englisch) [108]https://www.fortiguard.com/psirt/FG-IR-26-060 CERT.at Blog: Aktueller Stand rund um "FortiBleed" [109]https://www.cert.at/de/blog/2026/6/aktueller-stand-rund-um-fortibl eed Mit freundlichen Grüßen, Güneş Holler -- // Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78 // CERT Austria - https://www.cert.at/ // CERT.at GmbH, FB-Nr. 561772k, HG Wien

1 0