Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
GitLab: Schwachstelle ermöglicht Dateizugriff
GitLab hat eine Schwachstelle in GitLab CE/EE behoben. Betroffen sind alle Versionen von 18.7 vor 19.1.8, 19.2 vor 19.2.6 und 19.3 vor 19.3.2. Unter bestimmten Bedingungen konnten nicht authentifizierte Nutzer beliebige Dateien vom GitLab-Server lesen. Dies lag an unzureichender Pfadbeschränkung und fehlender Authentifizierung in der Repository-Commits-API. Die Probleme wurden in den Versionen 19.3.2, 19.2.6 und 19.1.8 behoben. Die US-Behörde CISA warnt vor beobachteten Angriffen, die diese und andere Schwachstellen ausnutzen.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 14.09.2026
- CVE: CVE-2026-85706
- Für wen relevant: Unternehmen, die GitLab Community Edition oder Enterprise Edition einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte vertrauliche Dateien vom Server lesen und so sensible Informationen erlangen.
- Quelle: heise Security
Ruby und Ruby on Rails: Codeausführung durch ERB-Schwachstelle
Im ERB-Templating-System für Ruby wurde eine Schwachstelle entdeckt. Obwohl Ruby 2.7.0 einen Schutzmechanismus gegen Codeausführung bei der Deserialisierung von ERB-Objekten einführte, fehlte dieser bei drei anderen öffentlichen Methoden (`ERB#def_method`, `ERB#def_module`, `ERB#def_class`). Ein Angreifer, der `Marshal.load` auf nicht vertrauenswürdige Daten in einer Ruby-Anwendung auslösen kann, kann `ERB#def_module` für die Codeausführung nutzen und den Schutz umgehen. Die Schwachstelle ist in ERB 4.0.3.1, 4.0.4.1, 6.0.1.1 und 6.0.4 behoben.
- Priorität: Hoch (kritisch)
- Datum: 14.09.2026
- CVE: CVE-2026-41316
- Für wen relevant: Entwickler und Betreiber von Anwendungen, die auf Ruby oder Ruby on Rails basieren und das ERB-Templating-System nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein entfernter, anonymer Angreifer kann Sicherheitsmaßnahmen umgehen und beliebigen Code ausführen.
- Quelle: BSI CERT-Bund
JFrog Artifactory: Schwachstellen ermöglichen Authentifizierungs-Bypass
In JFrog Artifactory wurden drei kritische Schwachstellen entdeckt, die von Angreifern ausgenutzt werden. Eine davon (CVE-2026-42018), behoben am 12. August, konnte einen internen Token für anonyme Nutzer an nicht authentifizierte Anrufer zurückgeben, selbst wenn der anonyme Zugriff deaktiviert war. Dies konnte sensible Ressourcen offenlegen. Eine weitere Schwachstelle (CVE-2026-42016), behoben am 27. Juli, betrifft eine unzureichende Token-Validierung, die zur Privilegienerhöhung genutzt werden kann. Eine dritte Schwachstelle (CVE-2026-82329) ist ein Authentifizierungs-Bypass, der am 28. August behoben wurde.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 14.09.2026
- CVE: CVE-2026-42016, CVE-2026-42018, CVE-2026-82329
- Für wen relevant: Organisationen, die JFrog Artifactory zur Verwaltung von Software-Artefakten, Binärdateien oder KI-Modellen nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer können die Authentifizierung umgehen, ihre Berechtigungen auf Administratorniveau erhöhen und so sensible Daten oder Repository-Informationen erhalten.
- Quelle: SecurityWeek
Froxlor: Schwachstelle in SSH-Schlüsselverwaltung
Froxlor vor Version 2.3.12 validiert mehrzeilige SSH-Public-Keys im SshKeys::add()-Endpunkt nicht korrekt. Dies erlaubt Kunden, beliebige Zeilen in authorized_keys-Dateien einzuschleusen. Angreifer können bösartige SSH-Schlüsseleinträge mit Optionsdirektiven injizieren. Dies führt zu einem dauerhaften, unautorisierten Zugriff, der auch nach dem Löschen des Schlüssels oder dem Entzug des SSH-Zugriffs bestehen bleibt.
- Priorität: Hoch (kritisch)
- Datum: 14.09.2026
- CVE: CVE-2026-90767, CVE-2026-90937, CVE-2026-90935
- Für wen relevant: Betreiber von Systemen, die Froxlor als Servermanagement-Panel einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein authentisierter Angreifer kann Administratorrechte erlangen, Daten manipulieren oder offenlegen und Sicherheitsmechanismen umgehen.
- Quelle: BSI CERT-Bund
cPanel/WHM: Mehrere Schwachstellen in YAML-Verarbeitung
In cPanel/WHM wurden mehrere Schwachstellen entdeckt, die unter anderem die YAML::Syck-Bibliothek betreffen. Versionen vor 1.47 von YAML::Syck für Perl erlauben eine Use-After-Free- und Double-Free-Schwachstelle über einen Ankerknoten, der freigegeben wird, während er sich noch auf dem Parser-Wertestapel befindet. Wenn ein Ankername neu definiert oder entfernt wird, kann dies zu einem doppelten Freigeben des Knotens führen. Jede Anwendung, die `Load` oder `LoadFile` auf ein nicht vertrauenswürdiges Dokument ausführt, das einen Anker während des Parsens neu definiert, kann den Interpreter zum Absturz bringen.
- Priorität: Hoch (kritisch)
- Datum: 14.09.2026
- CVE: CVE-2026-13713, CVE-2026-57075, CVE-2026-57076, CVE-2026-57077
- Für wen relevant: Administratoren und Nutzer von cPanel/WHM-Installationen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer kann beliebigen Code ausführen, vertrauliche Informationen offenlegen, Sicherheitsmaßnahmen umgehen, Daten manipulieren oder einen Denial-of-Service-Zustand herbeiführen.
- Quelle: BSI CERT-Bund
strongSwan: Schwachstelle ermöglicht Codeausführung
strongSwan vor Version 6.0.7 weist eine Schwachstelle bei der Verarbeitung und dem Klonen von Identitäten auf. EAP-Identitäten, die nach dem Parsen eine leere, aber nicht-NULL-Kodierung ergeben, werden nicht korrekt geklont. Dies löst ein Double-Free aus, sobald die Duplikate zerstört werden.
- Priorität: Hoch (kritisch)
- Datum: 14.09.2026
- CVE: CVE-2026-47895, CVE-2026-78123, CVE-2026-78124, CVE-2026-78126, CVE-2026-78127, CVE-2026-78129, CVE-2026-78130, CVE-2026-78131, CVE-2026-78132, CVE-2026-78133, CVE-2026-78134, CVE-2026-78135
- Für wen relevant: Unternehmen, die strongSwan für VPN-Verbindungen oder andere Sicherheitsfunktionen einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein entfernter, anonymer Angreifer kann die Schwachstelle ausnutzen, um beliebigen Programmcode auszuführen.
- Quelle: BSI CERT-Bund
Revolut meldet Datenpanne nach Phishing-Angriff
Das Fintech-Unternehmen Revolut hat eine Datenpanne offengelegt. Dabei wurden Daten einer unbekannten Anzahl von Kunden an einen Bedrohungsakteur weitergegeben, der sich als Regierungsbehörde ausgab. Revolut erhielt eine Anfrage für Kundeninformationen, die scheinbar von einer legitimen Regierungsbehörde stammte. Die Anfrage kam jedoch von einem nicht autorisierten E-Mail-Konto, das direkt die offizielle E-Mail-Domain der Regierungsbehörde nutzte. Da die Kommunikation gültige Domain-Authentifizierungsdaten enthielt, wurde sie in der Annahme einer authentischen Anfrage erfüllt.
- Priorität: Beobachten (mittel / informativ)
- Datum: 14.09.2026
- Für wen relevant: Kunden von Revolut, deren persönliche Daten betroffen sein könnten. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die offengelegten Daten umfassen Identitätsdetails wie vollständiger Name, Geburtsdatum, Beruf sowie Kontaktdaten wie Postanschrift, E-Mail-Adresse und Telefonnummer.
- Quelle: BleepingComputer
Windows RDS-Problem nach September-Updates
Die Microsoft Sicherheitsupdates vom 8. September 2026 für Windows verursachen ein Problem mit RDP-Verbindungen. Microsoft hat dieses Verhalten bestätigt, und alle Windows-Versionen sind davon betroffen. Eine Known Issue Rollback (KIR)-Lösung wird bereitgestellt.
- Priorität: Erhöht (hoch)
- Datum: 14.09.2026
- Für wen relevant: Administratoren von Windows-Systemen, die Remote Desktop Services (RDS) nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Nutzer können sich nicht mehr über RDP anmelden, was den Zugriff auf wichtige Systeme blockiert.
- Quelle: BornCity
Schädliche Twitch-Browser-Erweiterung stiehlt OAuth-Tokens
Eine bösartige Twitch-Browser-Erweiterung namens "Twitch Enhanced Viewer | JeetBot" hat OAuth-Tokens von fast 31.000 Nutzern an Proxy-Server eines russischen Bot-Dienstes weitergeleitet. Die Erweiterung ist sowohl im Google Chrome Web Store als auch im Mozilla Firefox Add-Ons Store verfügbar. Sie bewirbt sich als Tool zur Verbesserung des Twitch-Erlebnisses, leitet aber die OAuth-Tokens als Query-Parameter an den Proxy des Betreibers weiter.
- Priorität: Beobachten (mittel / informativ)
- Datum: 14.09.2026
- Für wen relevant: Twitch-Nutzer, die Browser-Erweiterungen verwenden, insbesondere "Twitch Enhanced Viewer | JeetBot". (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die gestohlenen OAuth-Tokens könnten Angreifern Zugriff auf die Twitch-Konten der Nutzer verschaffen.
- Quelle: The Hacker News
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
