Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
WordPress-Instanzübernahme durch wp2shell
Eine kritische Schwachstelle in WordPress ermöglicht die Übernahme von CMS-Instanzen. Erste Angriffe auf WordPress-Websites wurden bereits dokumentiert. Die Schwachstelle wird als wp2shell bezeichnet. Betroffen sind alle WordPress-Versionen, die die Lücke nicht durch Updates schließen.
- Priorität: Hoch (kritisch)
- Datum: 26.07.2026
- Für wen relevant: Unternehmen, die WordPress als Content-Management-System einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer können die Kontrolle über die betroffene WordPress-Instanz übernehmen und damit Inhalte manipulieren oder Daten offenlegen.
- Quelle: BornCity
PHP-Object-Injection im Fluent Forms Pro Add On Pack
Das WordPress-Plugin Fluent Forms Pro Add On Pack bis Version 6.2.6 ist anfällig für PHP-Object-Injection. Grund ist die Deserialisierung ungeprüfter Eingabedaten. Angreifer mit Subscriber-Zugriff oder höher können PHP-Objekte injizieren. Bei Vorhandensein einer POP-Kette lassen sich Benutzerpasswörter ändern und Administrator-Konten übernehmen. Die Lücke besteht nur, wenn die Benutzeraktualisierungsintegration aktiviert und ein Benutzer-Meta-Feld zugeordnet ist. Die Version 6.2.7 behebt die Schwachstelle.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 26.07.2026
- CVE: CVE-2026-15962
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Fluent Forms Pro Add On Pack einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können Passwörter ändern und Administratorrechte erlangen, was zu unautorisierten Änderungen oder Datenzugriffen führt.
- Quelle: NVD
Microsoft Edge – mehrere Stellen betroffen
Bei Microsoft Edge sind mehrere sicherheitsrelevante Schwachstellen gemeldet:
1. Informationspreisgabe in Microsoft Edge durch Ursprungsvalidierungsfehler
Microsoft Edge (Chromium-basiert) enthält einen Ursprungsvalidierungsfehler. Unbefugte Angreifer können darüber Informationen über ein Netzwerk offenlegen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Erhöht (hoch (CVSS 7.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57989
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus dem Browserverkehr auslesen oder abfangen.
- Quelle: NVD
2. Informationspreisgabe in Microsoft Edge durch externe Dateizugriffe
Microsoft Edge (Chromium-basiert) erlaubt externen Parteien den Zugriff auf Dateien oder Verzeichnisse. Unbefugte Angreifer können darüber Informationen über ein Netzwerk offenlegen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Erhöht (hoch (CVSS 7.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57990
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus dem Browser oder System auslesen.
- Quelle: NVD
3. Spoofing in Microsoft Edge durch Ursprungsvalidierungsfehler
Microsoft Edge (Chromium-basiert) enthält einen Ursprungsvalidierungsfehler. Unbefugte Angreifer können darüber Spoofing-Angriffe über ein Netzwerk durchführen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Beobachten (mittel (CVSS 5.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57978
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können gefälschte Inhalte oder Websites vortäuschen, um Nutzer zu täuschen.
- Quelle: NVD
Unberechtigte Berechtigungen in NanoClaw durch lokale Manipulation
In NanoClaw bis Version 2.0.64 besteht eine Schwachstelle in der Funktion createChatSdkBridge.setup der Datei src/channels/chat-sdk-bridge.ts. Durch eine Manipulation lassen sich Berechtigungen unrechtmäßig erhöhen. Der Angriff erfordert lokale Zugriffsmöglichkeiten. Der Exploit ist öffentlich verfügbar und kann genutzt werden. Der Hersteller wurde frühzeitig über das Problem informiert, hat aber noch nicht reagiert. Aktualisieren Sie auf eine korrigierte Version, sobald verfügbar.
- Priorität: Beobachten (mittel / informativ)
- Datum: 26.07.2026
- CVE: CVE-2026-17433
- Für wen relevant: Unternehmen, die NanoClaw einsetzen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Angreifer könnten Berechtigungen erhöhen und damit unerlaubte Aktionen durchführen.
- Quelle: NVD
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
