24. September 2026
Beschreibung
In der OAuth Komponente von F5 BIG-IP APM existiert eine kritische
Schwachstelle, welche dass unauthentifizierte Ausführen von Schadcode
aus der Ferne erlaubt. Betroffen sind Systeme, welche BIG-IP APM als
Authorisierungsserver via OAuth-Funktionalität nutzen.
Es liegen Informationen vor, dass diese Lücke bereits aktiv ausgenutzt
wird, daher empfiehlt sich die Überprüfung der eigenen Instanzen auf
etwaige Indicators of Compromise, welche ebenfalls im veröffentlichten
Advisory enthalten sind.
CVE-Nummer(n): CVE-2026-94127
CVSS v4.0 Base Score: 9.3
Auswirkungen
AngreiferInnen können die Lücke durch setzen eines zu langen
Authorization-Headers trivial ausnutzen. Die Ausnutzung der Lücke,
mithilfe einer speziell präparierten Anfrage, führt zur
unauthentifizierten Ausführung von Befehlen.
Betroffene Systeme
* BIG-IP APM
+ Version 21.1.0
* BIG-IP APM
+ Version 17.5.0 - 17.5.1
+ Version 17.1.0 - 17.1.3
Abhilfe
F5 stellt Hotfixes bereit, die die Sicherheitslücke schließen. Sollten
Updates nicht zeitnahe eingespielt werden können, empfiehlt F5 zur
zwischenzeitlichen Mitigation das Erstellen einer iRule welche über den
Support bezogen werden kann.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
K000162605: BIG-IP APM vulnerability CVE-2026-94127
https://my.f5.com/manage/s/article/K000162605
Is This A Joke? In The Auth Header? (F5 BIG-IP UnAuth Heap-Overflow
to RCE CVE-2026-94127)
https://labs.watchtowr.com/is-this-a-joke-in-the-auth-header-f5-big-ip-unau…
Mit freundlichen Grüßen,
Michael Schlagenhaufer
--
// Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
15. September 2026
Beschreibung
In Cisco Secure Email Gateway existiert eine kritische
Sicherheitslücke. Bei erfolgreicher Ausnutzung könnte diese
Sicherheitslücke es nicht authentifizierten Angreifer:innen aus der
Ferne ermöglichen Befehle mit Root-Rechten auf dem zugrunde liegenden
Betriebssystem auszuführen. Laut Cisco wurde eine Ausnutzung der
Sicherheitslücke bereits beobachtet.
CVE-Nummer(n): CVE-2026-76461
CVSS Base Score: 9.8
Auswirkungen
Ein Angreifer könnte diese Sicherheitslücke ausnutzen, indem er eine
speziell präparierte E-Mail-Nachricht mit bösartigen SQL-Anweisungen an
eine betroffene Instanz sendet. Ein erfolgreicher Angriff könnte es
Angreifern ermöglichen, beliebige SQL-Anweisungen auszuführen und die
betroffenen Instanzen zu kompromittieren.
Betroffene Systeme
Betroffen ist Cisco AsyncOS for Cisco Secure Email Gateway (physisch
und virtuell):
* <15.5.5-014
* <16.0.4-302
* <16.5.0-780
Laut Cisco sind Secure Email and Web Manager und Secure Web Appliance
nicht betroffen.
Abhilfe
Cisco stellt Updates bereit, die die Sicherheitslücke schließen. Bei
Anzeichen einer Kompromittierung empfiehlt Cisco, davor einen sauberen
Punkt der Instanz wiederherzustellen.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
Cisco Security Advisory 14.09.2026: Cisco Secure Email Gateway SQL
Injection Vulnerability
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso…
Mit freundlichen Grüßen,
Michael Schlagenhaufer
--
// Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
2.September 2026
Beschreibung
In SonicWalls SMA1000 Series Appliances existieren zwei
schwerwiegende Sicherheitslücken. Die schwerwiegendere der beiden
Schwachstellen ermöglicht es Angreifer:innen aus der Ferne und ohne
Authentifizierung, die Appliance dazu zu bringen, serverseitig Anfragen
an eigentlich nicht erreichbare interne Endpunkte zu senden
(Server-Side Request Forgery). Laut SonicWall PSIRT werden die in
diesem Advisory beschriebenen Schwachstellen bereits aktiv ausgenutzt.
CVE-Nummer(n): CVE-2026-83548, CVE-2026-83549
CVSS Base Score: 10.0 (bzw. 7.8)
Auswirkungen
CVE-2026-83548 ist eine Server-Side-Request-Forgery-Schwachstelle
(SSRF) im Work-Place-Interface der SMA1000 Appliance. Ein:e
entfernte:r, nicht authentifizierte:r Angreifer:in kann die Appliance
dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare
interne Endpunkte zu senden. Der Hersteller gibt für diese
Schwachstelle einen CVSS Base Score von 10.0 an.
Bei CVE-2026-83549 handelt es sich um eine 'Command Injection' die es
angemeldeten AdministratorInnen, aufgrund einer unsachgemäßen
Neutralisierung, erlaubt Betriebssystembefehle auszuführen.
Betroffene Systeme
Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden
Versionen:
* 12.4.3-03453 (platform-hotfix) und ältere Versionen.
* 12.5.0-02835 (platform-hotfix) und ältere Versionen.
Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100
Series Produktlinie nicht von diesen Schwachstellen betroffen.
Abhilfe
SonicWall stellt für betroffenen Modelle einen platform-hotfix bereit,
der die Schwachstellen behebt:
* 12.4.3-03526 (platform-hotfix) und höher.
* 12.5.0-02952 (platform-hotfix) und höher.
Da keine Workarounds existieren, und SonicWall die aktive Ausnutzung
der beschriebenen Lücken beobachtet hat, empfiehlt sich ein rasches
einspielen der verfügbaren Hot-Fixes.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
SonicWall SMA1000 Series Appliances Affected By Multiple
Vulnerabilities
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0016
Mit freundlichen Grüßen,
Michael Schlagenhaufer
--
// Michael Schlagenhaufer <schlagenhaufer(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
20. Juli 2026
Beschreibung
In WordPress existieren zwei Sicherheitslücken. Eine
SQL-Injection-Schwachstelle im Parameter „author__not_in“ von
„WP_Query“ betrifft WordPress ab Version 6.8. Ab WordPress 6.9 lässt
sich diese laut Advisory in Kombination mit einer Schwachstelle in der
REST-API (Batch-Route-Confusion) zur Ausführung von beliebigem Code
(Remote Code Execution) ausnutzen. Laut Searchlight Cyber ist diese
Angriffskette ohne vorherige Authentifizierung und ohne weitere
Voraussetzungen in einer Standardinstallation ohne Plugins nutzbar.
Auf GitHub sind mittlerweile mehrere öffentlich verfügbare
Proof-of-Concept-Exploits für CVE-2026-63030 veröffentlicht worden.
Damit ist der Aufwand für eine Ausnutzung deutlich reduziert; CERT.at
rechnet mit Angriffen auf ungepatchte Systeme.
CVE-Nummer(n): CVE-2026-60137, CVE-2026-63030
CVSS Base Score: N/A (Einstufung im GitHub Security Advisory:
CVE-2026-60137 „Moderate“, CVE-2026-63030 „Critical“)
Auswirkungen
In Kombination mit der Schwachstelle in der REST-API ist ab WordPress
6.9 die Ausführung von beliebigem Code auf dem betroffenen System, und
damit eine vollständige Kompromittierung der Webseite und des
darunterliegenden Systems möglich.
Betroffene Systeme
CVE-2026-60137 (SQL Injection):
* WordPress 6.8.0 bis 6.8.5
* WordPress 6.9.0 bis 6.9.4
* WordPress 7.0.0 bis 7.0.1
CVE-2026-63030 (REST-API Batch-Route-Confusion, RCE):
* WordPress 6.9.0 bis 6.9.4
* WordPress 7.0.0 bis 7.0.1
* WordPress 7.1 Beta 1
WordPress-Versionen vor 6.8 sind nicht betroffen.
Abhilfe
WordPress hat korrigierte Versionen veröffentlicht:
* WordPress 7.0.2 (behebt beide Schwachstellen)
* WordPress 6.9.5 (behebt beide Schwachstellen)
* WordPress 6.8.6 (behebt CVE-2026-60137)
* WordPress 7.1 Beta 2 (behebt beide Schwachstellen)
CERT.at empfiehlt, die Aktualisierung umgehend einzuspielen. Das
WordPress.org-Team hat für betroffene Versionen erzwungene Updates über
das Auto-Update-System aktiviert.
Sofern ein Update nicht unmittelbar möglich ist, nennt Searchlight
Cyber folgende temporäre Maßnahmen: Deaktivierung der REST-API für
nicht authentifizierte Benutzer:innen, Blockieren des Pfads
„/wp-json/batch/v1“ sowie des Query-Parameters „rest_route=/batch/v1“
mittels Web Application Firewall (beide Muster müssen blockiert
werden), oder Einsatz eines Plugins, das Batch-Requests an die REST-API
nur für authentifizierte Benutzer:innen zulässt. Diese Maßnahmen können
den regulären Betrieb der Webseite beeinträchtigen und sind nur als
temporäre Notmaßnahme bis zum Update vorgesehen.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
WordPress 7.0.2 Release (Englisch)
[103]https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
Facilitated SQL injection vulnerability in the author__not_in parameter
of WP_Query (Englisch)
[104]https://github.com/WordPress/wordpress-develop/security/advisories
/GHSA-fpp7-x2x2-2mjf
REST API batch-route confusion and SQL injection issue leading to
Remote Code Execution (Englisch)
[105]https://github.com/WordPress/wordpress-develop/security/advisories
/GHSA-ff9f-jf42-662q
wp2shell: Pre Authentication RCE in WordPress Core (Englisch)
[106]https://wp2shell.com/
New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run
Code (Englisch)
[107]https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw
-lets.html
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
15. Juli 2026
Beschreibung
In den SonicWall SMA1000 Series Appliances existieren mehrere
Sicherheitslücken. Die schwerwiegendere der beiden Schwachstellen
ermöglicht es Angreifer:innen aus der Ferne und ohne Authentifizierung,
die Appliance dazu zu bringen, serverseitig Anfragen an eigentlich
nicht erreichbare interne Endpunkte zu senden (Server-Side Request
Forgery). Laut SonicWall PSIRT werden die in diesem Advisory
beschriebenen Schwachstellen bereits aktiv ausgenutzt.
CVE-Nummer(n): CVE-2026-15409, CVE-2026-15410
CVSS Base Score: 10.0
Auswirkungen
CVE-2026-15409 ist eine Server-Side-Request-Forgery-Schwachstelle
(SSRF) im Work-Place-Interface der SMA1000 Appliance. Ein:e
entfernte:r, nicht authentifizierte:r Angreifer:in kann die Appliance
dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare
interne Endpunkte zu senden. Der Hersteller gibt für diese
Schwachstelle einen CVSS Base Score von 10.0 an.
CVE-2026-15410 ist eine Schwachstelle vom Typ „Improper Control of
Generation of Code“ (Code Injection) in der Appliance Management
Console (AMC), die es unter bestimmten Voraussetzungen einem:einer
entfernten, als Administrator:in authentifizierten Angreifer:in
ermöglichen kann, beliebige Betriebssystembefehle auszuführen. Der
Hersteller gibt für diese Schwachstelle einen CVSS Base Score von 7.2
an.
Betroffene Systeme
Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden
Versionen:
* 12.4.3-03245, 12.4.3-03387 und 12.4.3-03434 (platform-hotfix)
* 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800 (platform-hotfix)
Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100
Series Produktlinie nicht von diesen Schwachstellen betroffen.
Abhilfe
SonicWall stellt einen platform-hotfix bereit, der die Schwachstellen
behebt:
* 12.4.3-03453 (platform-hotfix) und höher
* 12.5.0-02835 (platform-hotfix) und höher
Der aktuelle platform-hotfix steht auf mysonicwall.com zum Download
bereit. Ein Workaround steht laut Hersteller nicht zur Verfügung.
Da eine aktive Ausnutzung beobachtet wurde, empfiehlt SonicWall
zusätzlich, das System auf Anzeichen einer Kompromittierung (Indicators
of Compromise) zu überprüfen. Dazu zählen unter anderem:
* Einträge in extraweb_access.log mit Anfragen an /__api__/login oder
/__api__/logout mit HTTP-Status 200
* Einträge in extraweb_access.log mit Anfragen an /wsproxy mit
auffälligen Host-Parametern und HTTP-Status 101
* Einträge in ctrl-service.log mit Hotfix-Rollbacks mit
Path-Traversal-Namen
* Routen für /__api__/login oder /__api__/logout in
/var/lib/unit/conf.json (diese URIs existieren in einer legitimen
Konfiguration nicht)
Werden IOCs festgestellt, empfiehlt SonicWall, betroffene Appliances
neu aufzusetzen (Hardware: re-image, virtuell: re-deploy),
Benutzer:innen- und Administrator:innen-Passwörter zu ändern sowie
TOTP-Token zurückzusetzen.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
SonicWall SMA1000 Series Appliances Affected By Multiple
Vulnerabilities (Englisch)
[103]https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
22. Juni 2026
Beschreibung
Fortinet hat letzten Freitag, am 19.5.2026, nun auch ein offizielles
Statement zu "FortiBleed" veröffentlicht. Wir hatten zuvor in einem
[103]Blog-Artikel unseren aktuellen Wissensstand beschrieben. Bei
dieser Angriffswelle handelt es sich nicht um die Ausnutzung einer
neuen Schwachstelle. Die Angreifer:innen verwenden stattdessen
Zugangsdaten, die bei früheren Sicherheitsvorfällen (u. a. im
Zusammenhang mit CVE-2025-59718, CVE-2025-59719 und CVE-2026-24858)
erlangt wurden, sowie Brute-Force-Methoden gegen Geräte mit schwacher
Passworthygiene und ohne Multi-Faktor-Authentifizierung (MFA).
Externe Sicherheitsforscher:innen berichten von einer großen Anzahl
betroffener Geräte weltweit. Ursache für die hohe Erfolgsquote der
Angriffe ist unter anderem, dass Administrator:innen-Passwörter auf
FortiGate-Geräten bis zu den FortiOS-Versionen 7.2.11, 7.4.8 und 7.6.1
mit dem schwächeren SHA-256-Verfahren gehasht wurden. Auch nach einem
Update auf eine neuere FortiOS-Version bleiben bestehende Passwörter so
lange im älteren, leichter zu brechenden Format gespeichert, bis sich
die jeweilige Administratorin oder der jeweilige Administrator nach dem
Update erneut anmeldet. Erlangte Konfigurationsexporte ermöglichten es
den Angreifer:innen, die darin enthaltenen Passwort-Hashes offline
mittels Brute-Force-Angriffen zu kompromittieren.
Auswirkungen
Angreifer:innen mit gültigen, kompromittierten Zugangsdaten erhalten
administrativen Zugriff auf betroffene FortiGate-Geräte. Dies
ermöglicht unter anderem das Anlegen zusätzlicher lokaler
Administrator:innen-Konten zur Aufrechterhaltung des Zugriffs, das
Exportieren der Gerätekonfiguration, das Mitlesen von über das Gerät
laufendem VPN- und Authentifizierungsverkehr sowie die Vorbereitung
lateraler Bewegung in das interne Netzwerk, etwa in angebundene
Active-Directory-Umgebungen. Bei Telekommunikationsanbietern und
Managed Service Providern besteht zusätzlich das Risiko, dass über
kompromittierte Geräte auch Kundennetzwerke erreicht werden können.
Betroffene Systeme
* FortiGate-Geräte mit Administrator:innen-Konten, deren Passwörter
nicht seit einem Update auf FortiOS 7.2.11, 7.4.8, 7.6.1 oder neuer
durch eine erneute Anmeldung auf das PBKDF2-Hashverfahren
umgestellt wurden
* FortiGate- und weitere Fortinet-Geräte mit aus dem öffentlichen
Internet erreichbaren Management Interfaces oder SSL-VPN-Zugang
ohne Multi-Faktor-Authentifizierung
* Fortinet-Geräte, die möglicherweise bereits von früheren
Sicherheitsvorfällen betroffen waren (u. a. im Zusammenhang mit
CVE-2025-59718, CVE-2025-59719, CVE-2026-24858)
Abhilfe
Fortinet empfiehlt Betreiber:innen von FortiGate-Geräten folgende
Sofortmaßnahmen:
* Alle aktiven administrativen und VPN-Sitzungen beenden und
sämtliche administrativen und VPN-Passwörter zurücksetzen,
insbesondere auf aus dem Internet erreichbaren Systemen
* Multi-Faktor-Authentifizierung (MFA) für alle Administrator:innen-
und VPN-Benutzer:innen-Konten aktivieren
* Update auf eine aktuelle Version von FortiOS 7.4, 7.6 oder 8.0
durchführen. Diese Versionen unterstützen die PBKDF2-Hashfunktion
für Administrator:innen-Passwörter
* Nach dem Update sicherstellen, dass sich alle Administrator:innen
mindestens einmal neu anmelden, damit ihre Passwörter auf PBKDF2
umgehasht werden. Erfolgt dies nicht, verbleiben die schwächeren
SHA-256-Hashes weiterhin in der Konfiguration. Auf FortiOS 7.2.x
und 7.4.x kann zusätzlich die Option
login-lockout-upon-weaker-encryption in den Passwortrichtlinien
aktiviert werden, um das Verbleiben älterer Hashes zu verhindern
* Konfiguration auf nicht autorisierte Änderungen überprüfen,
idealerweise im Vergleich zu einer bekannt unveränderten
Konfiguration. Besonderes Augenmerk gilt unbekannten
Benutzer:innen-Konten, etwa mit Namen wie „forticloud“,
„fortiuser“, „fortinet-support“ oder „fortinet-tech-support“
* Logs auf unerwartete administrative Zugriffe von unbekannten
IP-Adressen sowie auf ungewöhnliche Aktivitäten in angebundenen
Domain-Controller-Logs überprüfen
* Externe administrative Erreichbarkeit der Geräte einschränken, etwa
durch Trusted Hosts, eine Local-In-Policy oder durch vollständige
Deaktivierung der administrativen Erreichbarkeit aus dem Internet
Bestehen Hinweise auf nicht autorisierte Änderungen an der
Konfiguration oder andere Kompromittierungsindikatoren, sollte das
betroffene Gerät als kompromittiert behandelt werden. In diesem Fall
empfiehlt Fortinet eine vollständige Überprüfung gemäß den eigenen
Empfehlungen zur Wiederherstellung kompromittierter Geräte sowie eine
Überprüfung angebundener Active-Directory-Umgebungen auf Hinweise zu
Authentifizierungsversuchen oder neu angelegten Konten.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
Analysis of Reported Credential Compromise of FortiGate Devices –
Fortinet PSIRT Blog (Englisch)
[104]https://www.fortinet.com/blog/psirt-blogs/analysis-of-reported-cre
dential-compromise-of-fortigate-devices
An update on FortiBleed – what’s happening with victim orgs –
DoublePulsar (Englisch)
[105]https://doublepulsar.com/an-update-on-fortibleed-whats-happening-w
ith-victim-orgs-c0671a50e7f4
Technical Tip: Enforcing PBKDF2 as hash function for administrator
accounts in FortiOS v7.2.11 and later – Fortinet Community (Englisch)
[106]https://community.fortinet.com/fortigate-3/technical-tip-enforcing
-pbkdf2-as-hash-function-for-administrator-accounts-in-fortios-v7-2-11-
and-later-220652
FG-IR-25-647: Multiple Fortinet Products’ FortiCloud SSO Login
Authentication Bypass – Fortinet PSIRT (Englisch)
[107]https://www.fortiguard.com/psirt/FG-IR-25-647
FG-IR-26-060: Administrative FortiCloud SSO authentication bypass –
Fortinet PSIRT (Englisch)
[108]https://www.fortiguard.com/psirt/FG-IR-26-060
CERT.at Blog: Aktueller Stand rund um "FortiBleed"
[109]https://www.cert.at/de/blog/2026/6/aktueller-stand-rund-um-fortibl
eed
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
08.06.2026
Beschreibung
Checkpoint warnt vor beobachteten Angriffen gegen die Produkte
Checkpoint Security Gateway und Checkpoint Spark Firewall.
Auswirkungen
Die zugrunde liegende Sicherheitslücke CVE-2026-50751 erlaubt
unbefugten Zugriff auf das VPN.
Betroffene Systeme
Folgende Systeme sind von der Sicherheitslücke betroffen, sofern
IKEv1 aktiviert ist:
* Security Gateways:
+ R82.10 Jumbo Hotfix Take 19 or below
+ R82 Jumbo Hotfix Take 103 or below
+ R81.20 Jumbo Hotfix Take 141 or below
+ R81.10 (EOS)
+ R81 (EOS)
+ R80.40 (EOS)
* Spark Firewalls:
+ R80.20.X (EOS),
+ R81.10.X,
+ R82.00.X
Abhilfe
Checkpoint stellt für die unterschiedlichen Produkte Hotfixes bereit.
Im Advisory finden sich weiters auch Tipps zur Suche nach bereits
erfolten Angriffen sowie mitigierende Maßnahmen.
Sollten sich in ihren Systemen Hinweise auf eine bereits erfolgte
Kompromittierung zeigen bitten wir Sie mit uns Kontakt aufzunehmen.
Hinweis
Generell empfiehlt CERT.at, wo möglich die "automatisches
Update"-Features von Software zu nutzen, parallel Firewall-Software
aktiv und den Virenschutz aktuell zu halten.
__________________________________________________________________
Informationsquelle(n):
Checkpoint Advisory zu CVE-2026-50571
https://support.checkpoint.com/results/sk/sk185033
Blog Artikel von Checkpoint zu den beobachteten Angriffen
https://blog.checkpoint.com/security/check-point-releases-important-hotfix-…
mit freundlichen Grüßen,
--
// Benedikt Olszewski <olszewski(a)cert.at> - T: +43 1 5056416 766
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
20. Mai 2026
Beschreibung
In Drupal Core existiert eine SQL-Injection-Schwachstelle in der
Datenbank-Abstraktions-API. Speziell gestaltete Anfragen können zu
beliebigen SQL-Injections führen. Die Schwachstelle ist ausschließlich
für Drupal-Installationen relevant, die PostgreSQL als Datenbank
einsetzen, und kann ohne Authentifizierung durch anonyme Benutzer:innen
ausgenutzt werden.
Zusätzlich zur SQL-Injection enthalten die Drupal-Releases für die
unterstützten Versionszweige (11.3, 11.2, 10.6 und 10.5) auch
Sicherheitsaktualisierungen für die Abhängigkeiten Symfony und Twig.
Diese Abhängigkeits-Updates betreffen unabhängig von der eingesetzten
Datenbank alle Drupal-Installationen.
CVE-Nummer(n): CVE-2026-9082
CVSS Base Score: N/A
Auswirkungen
Angreifer:innen können ohne Authentifizierung speziell gestaltete
Anfragen senden und so beliebigen SQL-Code ausführen. Mögliche Folgen
sind die Offenlegung von Informationen sowie in bestimmten
Konstellationen Privilegieneskalation, Remote Code Execution oder
weitere Angriffe.
Auch wenn die SQL-Injection nur PostgreSQL-Installationen betrifft,
sind durch die mitveröffentlichten Updates für Symfony und Twig je nach
Konfiguration und eingesetzten Contrib-Modulen alle Drupal-Sites
potenziell von weiteren Schwachstellen betroffen.
Betroffene Systeme
Drupal Core in folgenden Versionsbereichen:
* Drupal 11.3.x: Versionen vor 11.3.10
* Drupal 11.2.x: Versionen vor 11.2.12
* Drupal 11.1.x und 11.0.x: Versionen vor 11.1.10 (End-of-Life)
* Drupal 10.6.x: Versionen vor 10.6.9
* Drupal 10.5.x: Versionen vor 10.5.10
* Drupal 10.4.x und frühere 10er-Versionen: vor 10.4.10 (End-of-Life)
* Drupal 9.x: alle Versionen (End-of-Life)
* Drupal 8.9.x: alle Versionen (End-of-Life)
Abhilfe
Drupal stellt für die unterstützten Versionszweige folgende
Sicherheitsaktualisierungen bereit:
* Drupal 11.3.x: Update auf 11.3.10
* Drupal 11.2.x: Update auf 11.2.12
* Drupal 10.6.x: Update auf 10.6.9
* Drupal 10.5.x: Update auf 10.5.10
Für nicht mehr unterstützte Minor-Branches wurden ausschließlich zur
Behebung dieser Schwachstelle gezielte Versionen veröffentlicht:
* Drupal 11.1.x und 11.0.x: Update auf 11.1.10
* Drupal 10.4.x und frühere 10er-Versionen: Update auf 10.4.10
Aufgrund der Schwere der Schwachstelle stellt Drupal zusätzlich manuell
anzuwendende Patches für die End-of-Life-Versionen Drupal 9.5 und
Drupal 8.9 bereit. CERT.at empfiehlt für diese Versionen mittelfristig
eine Migration auf einen unterstützten Versionszweig.
Sites, die Drupal Steward einsetzen, sind laut Hersteller bereits vor
bekannten Angriffsvektoren geschützt; die Aktualisierung sollte dennoch
zeitnah erfolgen.
Da die Aktualisierungen auch Symfony und Twig betreffen, wird empfohlen
zu überprüfen, welche Benutzerrollen Twig-Templates aktualisieren
können (etwa über Views oder Contrib-Module).
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n)
Drupal core - Highly critical - SQL injection - SA-CORE-2026-004
(Englisch)
https://www.drupal.org/sa-core-2026-004
Upcoming highly critical release on May 20, 2026 - PSA-2026-05-18
(Englisch)
https://www.drupal.org/psa-2026-05-18
Vorankündigung: Kritische Sicherheitslücke in Drupal Core -
Patch-Verfügbarkeit am 20. Mai 2026 (Deutsch)
https://www.cert.at/de/aktuelles/2026/5/drupal-critical-preannounce
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
Beschreibung
Am 7. Mai 2026 wurden zwei neue Schwachstellen im Linux-Kernel
öffentlich gemacht, die unter den Namen „Dirty Frag“ und „Copy Fail 2:
Electric Boogaloo“ bekannt sind. Beide Schwachstellen ermöglichen
lokalen, nicht privilegierten Benutzer:innen eine Eskalation auf root.
Sie liegen in den In-Place-Entschlüsselungspfaden der Kernel-Module
esp4, esp6 (IPsec/ESP) sowie rxrpc und nutzen Page-Cache-Writeprimitives
aus, indem über splice(2), sendfile(2) bzw. MSG_SPLICE_PAGES angehängte,
nicht kernelseitig privat gehaltene Seiten direkt überschrieben werden.
Funktionsfähige Proof-of-Concept-Exploits (PoCs) sind öffentlich
verfügbar und ermöglichen die Eskalation auf root in einem einzigen
Aufruf.
CVE-Nummer(n): CVE-2026-43284 (Dirty Frag), N/A (Copy Fail 2)
CVSS Base Score: noch nicht vergeben
Auswirkungen
Lokale, nicht privilegierte Angreifer:innen können durch Ausnutzung der
Schwachstellen beliebige Inhalte im Page-Cache des Kernels überschreiben
und sich dadurch root-Rechte auf dem betroffenen System verschaffen. Es
handelt sich um deterministische Logikfehler ohne Race-Condition; bei
einem Fehlschlag tritt keine Kernel-Panik auf, die
Erfolgswahrscheinlichkeit wird als hoch beschrieben.
Der xfrm-ESP-Pfad setzt die Möglichkeit zur Erstellung von
User-Namespaces voraus. Der RxRPC-Pfad benötigt diese Voraussetzung
nicht, ist jedoch nur auf Distributionen ausnutzbar, in denen das Modul
rxrpc.ko verfügbar bzw. geladen ist. Durch Verkettung beider Pfade lässt
sich auf den meisten gängigen Distributionen root erlangen.
Bestehende Gegenmaßnahmen gegen „Copy Fail“ (CVE-2026-31431),
insbesondere das Sperren des Moduls algif_aead, schützen NICHT gegen
„Dirty Frag“ oder „Copy Fail 2“.
Betroffene Systeme
Betroffen sind die meisten aktuellen Linux-Distributionen mit
aktiviertem Page-Cache-Pfad in esp4/esp6 bzw. rxrpc. Die
zugrundeliegenden Code-Stellen existieren laut Hersteller- und
Forscher:innen-Angaben seit Kernel-Commit cac2661c53f3 (xfrm-ESP, Januar
2017) bzw. 2dc334f1a63a (RxRPC, Juni 2023). Die folgende Aufstellung ist
daher nicht abschließend; sie führt nur diejenigen Distributionen auf,
deren Hersteller die Betroffenheit bisher öffentlich bestätigt haben
oder für die der Forscher die Ausnutzung explizit getestet hat:
* Ubuntu 24.04 (vom Forscher getestet auf Kernel 6.17)
* Red Hat Enterprise Linux 10.1 (vom Forscher getestet); Red Hat hat
in RHSB-2026-003 die Betroffenheit zudem für Red Hat OpenShift
Container Platform 4 bestätigt
* CentOS Stream 10
* AlmaLinux 8, 9 und 10 (gepatcht in kernel-4.18.0-553.123.2.el8_10,
kernel-5.14.0-611.54.3.el9_7 bzw. kernel-6.12.0-124.55.2.el10_1 und
neuer)
* Fedora 44
* openSUSE Tumbleweed
* CloudLinux 7h, 8, 9 und 10 (CloudLinux 7 wird vom Hersteller noch
untersucht)
* BlueOnyx 5210R, 5211R, 5212R
Amazon Linux untersucht laut Sicherheitsbulletin 2026-027-AWS aktuell
den genauen Umfang der betroffenen Versionen.
Distributionen, die unprivilegierte User-Namespaces standardmäßig
blockieren (z. B. Ubuntu via AppArmor in bestimmten Konfigurationen),
sind über den xfrm-ESP-Pfad nicht angreifbar, bleiben aber über den
RxRPC-Pfad anfällig, sofern das Modul vorhanden ist.
Abhilfe
Zum Zeitpunkt der Veröffentlichung dieser Warnung liegen für die meisten
Distributionen noch keine vollständig gepatchten Kernel vor. Der
Upstream-Fix für den ESP-Pfad wurde am 7. Mai 2026 in den netdev-Tree
aufgenommen (Commit f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4); der
RxRPC-Fix ist noch nicht gemergt. Einzelne Distributionen (u. a.
AlmaLinux, CloudLinux) haben gepatchte Kernel bzw.
KernelCare-Livepatches in Vorbereitung oder bereits in Test bzw.
Auslieferung.
CERT.at empfiehlt, die folgenden Maßnahmen umzusetzen:
* Sicherheitsaktualisierungen der jeweiligen Distribution einspielen,
sobald diese verfügbar sind, und das System neu starten.
* Bis zur Verfügbarkeit gepatchter Kernel die betroffenen
Kernel-Module sperren, sofern sie nicht produktiv benötigt werden. Die
Module esp4 und esp6 werden für IPsec-Tunnel (z. B. strongSwan,
Libreswan) verwendet; rxrpc wird nahezu ausschließlich von AFS-Clients
genutzt. Auf Systemen, die diese Funktionen nicht einsetzen, kann das
Sperren der Module ohne Funktionsverlust erfolgen, beispielsweise
durch Eintragen entsprechender Regeln in /etc/modprobe.d/ und Entladen
aktuell geladener Module.
* Auf Hosts, die IPsec-Tunnel terminieren oder weiterleiten, dürfen
die Module esp4/esp6 nicht gesperrt werden. In diesem Fall ist die
Installation eines gepatchten Kernels bzw. eines Livepatches
abzuwarten.
Mehrschichtige Mitigationen (Modul-Blacklist über modprobe.d sowie
zusätzlich modprobe.blacklist=... als Kernel-Parameter) erhöhen die
Wirksamkeit, insbesondere gegen ein automatisches Nachladen über Netlink
aus User-Namespaces heraus.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
___________________________________________________________________
Informationsquelle(n):
Dirty Frag - Disclosure und PoC durch Hyunwoo Kim (Englisch)
https://github.com/V4bel/dirtyfrag
Greg Kroah-Hartman zur CVE-Vergabe auf der oss-security-Mailingliste
(Englisch)
https://seclists.org/oss-sec/2026/q2/441
Copy Fail 2: Electric Boogaloo - Write-up und PoC (Englisch)
https://afflicted.sh/blog/posts/copy-fail-2.html
AlmaLinux: Dirty Frag vulnerability fix is ready for testing (Englisch)
https://almalinux.org/blog/2026-05-07-dirty-frag/
CloudLinux: Dirty Frag - Mitigation and Kernel Update (Englisch)
https://blog.cloudlinux.com/dirty-frag-mitigation-and-kernel-update
Red Hat: How to mitigate the „Dirty Frag“ vulnerability in OpenShift 4
(RHSB-2026-003) (Englisch)
https://access.redhat.com/solutions/7142250
Red Hat Security Bulletin RHSB-2026-003 (Englisch)
https://access.redhat.com/security/vulnerabilities/RHSB-2026-003
Amazon: Dirty Frag and other issues in Amazon Linux kernels (Englisch)
https://aws.amazon.com/security/security-bulletins/rss/2026-027-aws/
BlueOnyx: Security Advisory: Dirty Frag & Copy Fail 2 - Two New Linux
LCE Vulnerabilities (Englisch)
https://www.blueonyx.it/news/sec-adv-dirtyfrag-copyfail2.html
Upstream-Fix für den ESP-Pfad (netdev/net.git) (Englisch)
https://git.kernel.org/pub/scm/linux/kernel/git/netdev/net.git/commit/?i
d=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
Sehr geehrte Damen und Herren,
bitte finden Sie nachstehend unsere Warnung zu Copy Fail: Kritische
Linux-Kernel-Schwachstelle ermöglicht lokale Root-Rechte:
-----------------------8<-------------------------
Beschreibung
Die Schwachstelle steckt im Linux-Kernel und beruht auf einem simplen,
aber schweren Logikfehler. Benutzer:innen können dadurch mit wenig
Daten gezielt in eigentlich geschützte Speicherbereiche schreiben. Das
reicht aus, um interne Strukturen zu verändern und sich höhere Rechte
zu verschaffen. Der Vorgang funktioniert zuverlässig und ohne typische
Hürden wie Race Conditions oder spezielle Systemabhängigkeiten.
CVE-Nummer: CVE-2026-31431
CVSS Base Score: 7.8
Auswirkungen
Die Schwachstelle ermöglicht eine lokale Rechteausweitung bis Root mit
anschließend vollständiger Kontrolle über das System. Ein einfacher
Benutzerzugang reicht aus, um Sicherheitsgrenzen zu umgehen, Prozesse
zu manipulieren und das System komplett zu kompromittieren.
Betroffene Systeme
Kernel, die zwischen 2017 und der Veröffentlichung des Patches erstellt
wurden, und damit praktisch alle gängigen Linux-Distributionen, gelten
als betroffen.
Bisher verifizierte Systeme:
* Ubuntu 24.04 LTS 6.17.0-1007-aws
* Amazon Linux 2023 6.18.8-9.213.amzn2023
* RHEL 10.1 6.12.0-124.45.1.el10_1
* SUSE 16 6.12.0-160000.9-default
Abhilfe
Entscheidend ist, den Linux-Kernel zeitnah auf eine gepatchte Version
zu aktualisieren, da nur so die zugrunde liegende Logiklücke
geschlossen wird (behoben im Commit a664bf3d603d). Bis dahin lässt sich
das Risiko lediglich begrenzen, etwa indem der Zugriff für nicht
vertrauenswürdige lokale Nutzer*innen eingeschränkt und überflüssige
Kernel-Funktionen deaktiviert werden. Ein vollständiger Schutz ist ohne
Update jedoch nicht möglich.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
Informationsquelle(n):
Copy Fail - https://copy.fail/
-----------------------8<------------------------
Mit freundlichen Grüßen
Felician Fuchs
--
// Felician Fuchs <fuchs(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien