Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Cisco ISE und ISE-PIC: Authentifizierung umgehbar, Lücke wird angegriffen
Über einen API-Endpunkt von Cisco Identity Services Engine (ISE) kann ein nicht angemeldeter Angreifer aus dem Netz die Authentifizierung umgehen und sich unbefugt Zugriff auf das Gerät verschaffen. Betroffen sind ISE und ISE Passive Identity Connector (ISE-PIC), unabhängig von der Konfiguration.
Cisco weiß von aktiven Angriffen, CISA hat die Lücke am 16.09. in den KEV-Katalog aufgenommen. Einen Workaround gibt es nicht. Behoben ist sie in 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4. Release 3.0 bekommt keine Updates mehr. Laut Cisco können Angreifer nach erfolgreicher Ausnutzung Befehle mit Root-Rechten ausführen und Spuren verwischen. Hinweise auf Angriffe liefert das access.log des API-Gateways.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV, CVSS 10.0)
- Datum: 16.09.2026
- CVE: CVE-2026-76460
- Für wen relevant: Unternehmen, die Cisco ISE oder ISE-PIC für Netzwerkzugangskontrolle einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer ohne Zugangsdaten kann das zentrale System für Netzwerkzugänge übernehmen.
- Quelle: Cisco
- Auch berichtet von: CISA KEV, BSI CERT-Bund
Google Pixel: Zero-Day-Lücke im Modem wird ausgenutzt
Google hat die September-Updates für Pixel-Geräte veröffentlicht. Sie schließen 110 Schwachstellen, darunter eine Lücke im Mobilfunkmodem, die laut Google bereits in begrenzten, gezielten Angriffen ausgenutzt wird. Ein Logikfehler erlaubt es, Berechtigungsprüfungen zu umgehen. Angreifer im benachbarten Netz können so ihre Rechte ausweiten, ohne dass der Nutzer etwas tun muss. Die Lücke ist als hoch eingestuft (CVSS 8.8).
Geschützt sind Geräte ab Patch-Level 2026-09-05. CISA führt die Lücke seit 16.09. im KEV-Katalog.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 16.09.2026
- CVE: CVE-2026-58704
- Für wen relevant: Unternehmen, deren Mitarbeitende Google-Pixel-Smartphones nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die Lücke wird bereits angegriffen. Firmenhandys sollten das Update zeitnah bekommen.
- Quelle: BleepingComputer
- Auch berichtet von: Google Pixel Bulletin, Golem
Acronis Backup für cPanel und Plesk: Rechteausweitung wird ausgenutzt
Das Acronis-Backup-Plugin für cPanel & WHM und die Erweiterung für Plesk setzen unsichere Dateiberechtigungen. Ein lokal angemeldeter Nutzer mit geringen Rechten kann dadurch seine Rechte ausweiten. Acronis hat Angriffe in begrenztem Umfang auf cPanel-&-WHM-Installationen beobachtet, CISA hat die Lücke am 16.09. in den KEV-Katalog aufgenommen.
Behoben ist sie im Plugin für cPanel & WHM ab Version 1.9.3.1021 und in der Plesk-Erweiterung ab 1.8.11.638.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV, CVSS 7.8)
- Datum: 16.09.2026
- CVE: CVE-2026-87886
- Für wen relevant: Webhoster und Unternehmen, die eigene Server mit cPanel oder Plesk und Acronis Backup betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf Shared-Hosting-Servern teilen sich viele Kunden ein System. Wer dort einen Account hat, könnte sich mehr Rechte verschaffen.
- Quelle: Acronis
- Auch berichtet von: CISA KEV
WordPress JetFormBuilder: Schwachstelle zur Privilegienerweiterung
Das WordPress-Plugin JetFormBuilder – Dynamic Blocks Form Builder weist eine Schwachstelle zur Privilegienerweiterung auf. Betroffen sind alle Versionen bis einschließlich 3.6.2. Das Plugin prüft nicht, ob eine übermittelte Formular-ID zu einem JetFormBuilder-Formular gehört. Dadurch können nicht authentifizierte Angreifer ein neues Administratorkonto erstellen.
- Priorität: Hoch (kritisch, CVSS 9.8)
- Datum: 16.09.2026
- CVE: CVE-2026-12793
- Für wen relevant: Betreiber von WordPress-Websites, die das JetFormBuilder-Plugin nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Nicht authentifizierte Angreifer können ein Administratorkonto erstellen.
- Quelle: NVD
IO-Link-Master von Pepperl+Fuchs und Phoenix Contact: Admin-Login ohne Passwort möglich
CERT@VDE meldet mehrere Lücken in der Firmware von IO-Link-Mastern, die in der Industrieautomation eingesetzt werden. Ein nicht angemeldeter Angreifer kann über die Funktion _account_log die Anmeldung umgehen und sich als Administrator einloggen. Über eine präparierte IODD-Datei lässt sich außerdem ein Shell-Skript mit Root-Rechten ablegen, das auch nach einem Neustart aktiv bleibt.
Betroffen sind unter anderem Pepperl+Fuchs ICE2-* und ICE3-* sowie Phoenix Contact IOL MA8 EIP DI8 und IOL MA8 PN DI8, jeweils mit Firmware vor 1.7.4.
- Priorität: Hoch (kritisch, CVSS 9.8)
- Datum: 16.09.2026
- CVE: CVE-2026-27546, CVE-2026-27565
- Für wen relevant: Produktionsbetriebe, die IO-Link-Master dieser Hersteller in ihren Anlagen einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Wer das Gerät übernimmt, kann Werte in der Anlage verfälschen und Passwort-Hashes oder private Schlüssel auslesen.
- Quelle: CERT@VDE (Pepperl+Fuchs)
- Auch berichtet von: CERT@VDE (Phoenix Contact), NVD
Microsoft Edge: Mehrere Schwachstellen ermöglichen Codeausführung
Microsoft Edge (Chromium-basiert) weist mehrere Schwachstellen auf. Eine davon ist ein Heap-basierter Pufferüberlauf. Dieser ermöglicht es einem nicht autorisierten Angreifer, Code über ein Netzwerk auszuführen. Ein Angreifer kann diese Schwachstellen ausnutzen, um beliebigen Programmcode auszuführen und erweiterte Berechtigungen zu erlangen.
- Priorität: Erhöht (hoch, CVSS 8.8)
- Datum: 16.09.2026
- CVE: CVE-2026-69486, CVE-2026-85892, CVE-2026-85893
- Für wen relevant: Unternehmen, die Microsoft Edge als Webbrowser einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können beliebigen Programmcode ausführen und erweiterte Berechtigungen erlangen.
- Quelle: BSI CERT-Bund
Mozilla Firefox und Thunderbird: Mehrere Schwachstellen
Mozilla Firefox und Thunderbird weisen mehrere Schwachstellen auf. Eine davon ist eine Use-after-free-Schwachstelle in der Audio/Video: Web Codecs-Komponente. Diese wurde in Firefox 156, Firefox ESR 140.16, Firefox ESR 153.3, Thunderbird 156, Thunderbird 140.16 und Thunderbird 153.3 behoben.
- Priorität: Erhöht (hoch, CVSS 8.8)
- Datum: 16.09.2026
- CVE: CVE-2026-92005, CVE-2026-92006, CVE-2026-92007, CVE-2026-92008, CVE-2026-92009, CVE-2026-92010, CVE-2026-92011, CVE-2026-92012, CVE-2026-92013, CVE-2026-92014, CVE-2026-92015, CVE-2026-92016, CVE-2026-92017, CVE-2026-92018, CVE-2026-92019, CVE-2026-92020, CVE-2026-92021, CVE-2026-92022, CVE-2026-92023, CVE-2026-92024
- Für wen relevant: Unternehmen, die Mozilla Firefox, Firefox ESR oder Thunderbird nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können Privilegien erhöhen, Sicherheitsmaßnahmen umgehen, Daten offenlegen oder manipulieren oder Denial-of-Service-Zustände verursachen.
- Quelle: BSI CERT-Bund
n8n: Lücken in Git-Node und Source-Control-Push
Für die Automatisierungsplattform n8n sind neue Schwachstellen veröffentlicht. Beim Git-Node wurde eine relative Remote-URL gegen den eingestellten Repository-Pfad geprüft, git löste sie dann aber vom übergeordneten Repository aus auf. Beim Source-Control-Push hat der Server die zu übertragenden Dateien aus der Anfrage des Clients übernommen statt selbst zu ermitteln. Beides setzt einen angemeldeten Nutzer voraus.
Behoben sind die Lücken in den Versionen 1.123.76, 2.37.7 und 2.38.2.
- Priorität: Mittel (mittel, CVSS 5.9)
- Datum: 16.09.2026
- CVE: CVE-2026-92587, CVE-2026-92588
- Für wen relevant: Teams, die n8n selbst betreiben und mehrere Nutzer oder Projekte haben. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: n8n-Instanzen enthalten oft Zugangsdaten zu vielen anderen Systemen.
- Quelle: NVD
- Auch berichtet von: NVD
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
