Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Ajax.NET Professional: Deserialisierung ungeprüfter Daten
Alle Versionen des Pakets ajaxpro.2 sind anfällig für die Deserialisierung ungeprüfter Daten. Dabei können beliebige .NET-Klassen eingelesen werden. Dies ermöglicht die Ausführung von Programmcode über das Netzwerk. Das betroffene Produkt könnte das Ende des Supports erreicht haben. Nutzer sollten die Nutzung einstellen oder auf eine unterstützte Version wechseln.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 26.08.2026
- CVE: CVE-2021-23758
- Für wen relevant: Unternehmen, die die Ajax.NET Professional-Bibliothek einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle beliebigen Code auf dem System ausführen.
- Quelle: CISA KEV
Vercel Next.js: Mehrere Schwachstellen ermöglichen Codeausführung
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Vercel Next.js ausnutzen, um beliebigen Programmcode auszuführen. Die genauen Auswirkungen hängen von der jeweiligen Schwachstelle ab.
- Priorität: Hoch (kritisch)
- Datum: 26.08.2026
- Für wen relevant: Entwickler und Betreiber von Webanwendungen, die Vercel Next.js nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstellen beliebigen Code auf dem Server oder in der Anwendung ausführen.
- Quelle: BSI CERT-Bund
RustDesk: Unkontrollierte Speicherzuweisung vor Authentifizierung
RustDesk-Versionen vor 1.4.7 enthalten eine unkontrollierte Speicherzuweisung in BytesCodec. Vor der Authentifizierung vertraut der Decoder der im Header kodierten Payload-Länge und reserviert diesen Speicherplatz, bevor die Payload empfangen wird. Ein manipulierter Header kann bis zu 1.073.741.823 Bytes anfordern. Unauthentifizierte Angreifer können durch gleichzeitige TCP-Verbindungen Speicher erschöpfen und einen Denial-of-Service-Zustand auslösen. Die Korrektur begrenzt die präventive Speicherzuweisung auf 256 KiB.
- Priorität: Erhöht (hoch (CVSS 8.7))
- Datum: 26.08.2026
- CVE: CVE-2026-73108
- Für wen relevant: Nutzer und Betreiber von RustDesk-Servern oder -Clients. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle die Verfügbarkeit des Dienstes beeinträchtigen.
- Quelle: NVD
Microsoft SQL Server: Fehlerhafte Verarbeitung interner Funktionen
Microsoft SQL Server verarbeitet interne Funktionen fehlerhaft. Das ermöglicht einem entfernten Angreifer, Programmcode im Kontext des SQL Server Database Engine-Dienstkontos auszuführen. Die Schwachstelle betrifft die Verarbeitung bestimmter Funktionen.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 26.08.2026
- CVE: CVE-2019-1068
- Für wen relevant: Betreiber von Microsoft SQL Server-Datenbanken. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle beliebigen Code mit den Rechten des Datenbankdienstes ausführen.
- Quelle: CISA KEV
TYPO3 Extensions: Mehrere Schwachstellen in Erweiterungen
Ein Angreifer kann mehrere Schwachstellen in verschiedenen TYPO3 Extensions ausnutzen. Das ermöglicht die Ausführung von Programmcode, SQL-Injection, das Erlangen erweiterter Berechtigungen, das Manipulieren von Daten, das Offenlegen sensibler Informationen, das Umgehen von Sicherheitsmaßnahmen oder das Auslösen eines Denial-of-Service-Zustands. Die genauen Auswirkungen hängen von der jeweiligen Extension ab.
- Priorität: Hoch (kritisch)
- Datum: 26.08.2026
- Für wen relevant: Betreiber von TYPO3-Websites mit installierten Erweiterungen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstellen sensible Daten offenlegen, die Kontrolle über die Website erlangen oder die Verfügbarkeit beeinträchtigen.
- Quelle: BSI CERT-Bund
Avada Theme und Fusion Builder: Dateischreibrechte missbraucht
Das Avada-Theme für WordPress ist bis Version 7.16 anfällig für willkürliches Schreiben von Dateien, wenn der Fusion Builder in Versionen bis 3.16 aktiv ist. Eine Kette aus Schwächen bei Autorisierung und Eingabevalidierung ermöglicht es unauthentifizierten Angreifern, beliebige Dateien auf dem Server zu schreiben. Dies kann zur Erstellung und Ausführung von PHP-Dateien führen. Die Ausnutzung erfordert, dass beide Komponenten installiert und aktiv sind sowie bestimmte Inhalte durch Administratoren vorhanden sind.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 26.08.2026
- CVE: CVE-2026-18431
- Für wen relevant: Betreiber von WordPress-Websites mit aktivem Avada-Theme und Fusion Builder. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle beliebigen Code auf dem Server ausführen und die gesamte Website übernehmen.
- Quelle: NVD
Formidable Charts: Verzeichnisdurchquerung ermöglicht Dateizugriff
Das Formidable Charts-Plugin für WordPress ist bis Version 2.0.1 anfällig für Verzeichnisdurchquerung über den Parameter 'frm_graph'. Unauthentifizierte Angreifer können so den Inhalt beliebiger Dateien auf dem Server auslesen, die sensible Informationen enthalten können. Die Ausnutzung erfordert, dass Formidable Forms Lite, Formidable Forms Pro und Formidable Charts aktiv sind sowie das Verzeichnis wp-content/uploads/frm-charts/ existiert.
- Priorität: Erhöht (hoch (CVSS 7.5))
- Datum: 26.08.2026
- CVE: CVE-2026-15990
- Für wen relevant: Betreiber von WordPress-Websites mit aktivem Formidable Charts-Plugin. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle sensible Daten auf dem Server offenlegen.
- Quelle: NVD
Google Reviews-Plugin: Gespeichertes Cross-Site Scripting möglich
Das Plugin 'Reviews and Rating – Google Reviews' für WordPress ist bis Version 5.10 anfällig für gespeichertes Cross-Site Scripting. Der Shortcode-Handler wp_display() erlaubt Angreifern, HTML-Tags zu definieren und unvertrauenswürdige Inhalte einzubetten. Authentifizierte Angreifer mit Contributor-Zugriff oder höher können so beliebige Web-Skripte in Seiten einbetten, die bei jedem Aufruf der Seite ausgeführt werden.
- Priorität: Beobachten (mittel (CVSS 6.4))
- Datum: 26.08.2026
- CVE: CVE-2026-2388
- Für wen relevant: Betreiber von WordPress-Websites mit aktivem 'Reviews and Rating – Google Reviews'-Plugin. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle beliebigen JavaScript-Code im Kontext der Website ausführen.
- Quelle: NVD
Gitea: Kritische Schwachstelle ermöglicht Schadcode-Attacken
Eine kritische Sicherheitslücke in Gitea ermöglicht Schadcode-Attacken auf Gitea-Instanzen. Angreifer nutzen die Schwachstelle bereits aktiv aus. Administratoren sollten die Systeme zügig aktualisieren.
- Priorität: Hoch (kritisch)
- Datum: 26.08.2026
- Für wen relevant: Betreiber von Gitea-Servern. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstelle Schadcode auf dem Server ausführen und die Integrität der Softwareprojekte gefährden.
- Quelle: Golem Security
Google Chrome: Mehrere Schwachstellen in Browser
Ein Angreifer kann mehrere Schwachstellen in Google Chrome ausnutzen. Das ermöglicht die Ausführung von Programmcode, das Erweitern von Berechtigungen, das Umgehen von Sicherheitsmaßnahmen, das Offenlegen sensibler Informationen, Spoofing-Angriffe, das Manipulieren von Daten oder das Auslösen von Denial-of-Service-Zuständen. Die genauen Auswirkungen hängen von der jeweiligen Schwachstelle ab.
- Priorität: Erhöht (hoch)
- Datum: 26.08.2026
- Für wen relevant: Nutzer und Betreiber von Google Chrome. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte durch die Schwachstellen sensible Daten offenlegen, die Kontrolle über den Browser erlangen oder die Verfügbarkeit beeinträchtigen.
- Quelle: BSI CERT-Bund
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
