Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
WordPress-Instanzübernahme durch wp2shell
Eine kritische Schwachstelle in WordPress ermöglicht die Übernahme von CMS-Instanzen. Erste Angriffe auf WordPress-Websites wurden bereits dokumentiert. Die Schwachstelle wird als wp2shell bezeichnet. Betroffen sind alle WordPress-Versionen, die die Lücke nicht durch Updates schließen.
- Priorität: Hoch (kritisch)
- Datum: 26.07.2026
- Für wen relevant: Unternehmen, die WordPress als Content-Management-System einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Angreifer können die Kontrolle über die betroffene WordPress-Instanz übernehmen und damit Inhalte manipulieren oder Daten offenlegen.
- Quelle: BornCity
PHP-Object-Injection im Fluent Forms Pro Add On Pack
Das WordPress-Plugin Fluent Forms Pro Add On Pack bis Version 6.2.6 ist anfällig für PHP-Object-Injection. Grund ist die Deserialisierung ungeprüfter Eingabedaten. Angreifer mit Subscriber-Zugriff oder höher können PHP-Objekte injizieren. Bei Vorhandensein einer POP-Kette lassen sich Benutzerpasswörter ändern und Administrator-Konten übernehmen. Die Lücke besteht nur, wenn die Benutzeraktualisierungsintegration aktiviert und ein Benutzer-Meta-Feld zugeordnet ist. Die Version 6.2.7 behebt die Schwachstelle.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 26.07.2026
- CVE: CVE-2026-15962
- Für wen relevant: Betreiber von WordPress-Websites, die das Plugin Fluent Forms Pro Add On Pack einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können Passwörter ändern und Administratorrechte erlangen, was zu unautorisierten Änderungen oder Datenzugriffen führt.
- Quelle: NVD
Microsoft Edge – mehrere Stellen betroffen
Bei Microsoft Edge sind mehrere sicherheitsrelevante Schwachstellen gemeldet:
1. Informationspreisgabe in Microsoft Edge durch Ursprungsvalidierungsfehler
Microsoft Edge (Chromium-basiert) enthält einen Ursprungsvalidierungsfehler. Unbefugte Angreifer können darüber Informationen über ein Netzwerk offenlegen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Erhöht (hoch (CVSS 7.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57989
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus dem Browserverkehr auslesen oder abfangen.
- Quelle: NVD
2. Informationspreisgabe in Microsoft Edge durch externe Dateizugriffe
Microsoft Edge (Chromium-basiert) erlaubt externen Parteien den Zugriff auf Dateien oder Verzeichnisse. Unbefugte Angreifer können darüber Informationen über ein Netzwerk offenlegen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Erhöht (hoch (CVSS 7.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57990
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Angreifer können sensible Daten aus dem Browser oder System auslesen.
- Quelle: NVD
3. Spoofing in Microsoft Edge durch Ursprungsvalidierungsfehler
Microsoft Edge (Chromium-basiert) enthält einen Ursprungsvalidierungsfehler. Unbefugte Angreifer können darüber Spoofing-Angriffe über ein Netzwerk durchführen. Die Schwachstelle betrifft alle Edge-Versionen, die den Fehler nicht durch ein Update beheben.
- Priorität: Beobachten (mittel (CVSS 5.4))
- Datum: 26.07.2026
- CVE: CVE-2026-57978
- Für wen relevant: Nutzer und Unternehmen, die Microsoft Edge als Browser einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Angreifer können gefälschte Inhalte oder Websites vortäuschen, um Nutzer zu täuschen.
- Quelle: NVD
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
