Advisories, Incidents

​​php2shell: Kritische RCE-Schwachstellen in PHP

CVE-2026-109618 & CVE-2026-109619, CVSS 9.2 Stand: 22. Oktober 2026, 12:00 Uhr ​Es wurde eine kritische Sicherheitslücke in PHP entdeckt, die Angreifenden die Ausführung beliebiger Befehle auf jedem Server ermöglicht, auf dem PHP läuft. Als betroffen gemeldet wurden alle Versionen ab einschließlich PHP 5 (also PHP 5.x, 7.x und 8.x). Patches für den 8.x-Zweig wurden wie Tage zuvor angekündigt am 21. Oktober 2026 um 14 Uhr UTC (16 Uhr CEST) bereitgestellt.1 Die Verteilung in Linux-Distributionen erfolgte zeitnah – Patches für Appliances […]

Schwachstelle

50 Grad im Kühlregal und Risiken in der Solar-Cloud

In der Nacht vom 11. auf den 12. Oktober 2026 haben Angreifer die Kühlsteuerungen französischer Supermärkte manipuliert. Laut Wirtschaftsminister Roland Lescure traf es rund 700 der etwa 10.000 Supermärkte im Land (Stand: 13. Oktober), allein bei Intermarché rund 150 Filialen. Die Täter schalteten Kühl- und Tiefkühlmöbel in den Dauerabtaumodus, woraufhin die Temperaturen auf bis zu 50 Grad stiegen. Betroffen sind vor allem Danfoss-Controller der Serien AK-SM und AK-SC, darunter die Altgeräte AK-SM 800 (Supportende 2021) und AK-SC 355 (seit 2016 […]

KI/ML

Google pausiert, Anthropic scannt: Bei KI-Funden wird die Prüfung knapp

Seit dem 1. Oktober 2026 nimmt Google in seinem Open-Source-Bug-Bounty (OSS VRP) vorerst keine neuen Meldungen zu Produktschwachstellen an. Als Grund nennt Google eine stark gestiegene Zahl automatisierter Einreichungen, die größtenteils ungültig seien. Meldungen zur Lieferkette und bereits eingereichte Fälle sind nicht betroffen. Ein Update ist für das erste Quartal 2027 angekündigt. Schon seit März verlangt Google für bestimmte Speicherfehler eine OSS-Fuzz-Reproduktion oder einen übernommenen Patch. Das curl-Projekt hatte seine Geldprämien Ende Januar aus ähnlichem Grund eingestellt und nimmt Meldungen […]

Kryptographie

Classic McEliece verliert nach 55 Tagen seine BSI-Empfehlung

Seit dem 1. Oktober 2026 rät das BSI davon ab, den Kryptoalgorithmus Classic McEliece für Neuentwicklungen einzusetzen. Auslöser war ein Preprint vom August (IACR ePrint 2026/1630). Die Forscher zeigen darin, dass sich öffentliche McEliece-Schlüssel mit deutlich weniger Aufwand als gedacht von reinen Zufallsdaten unterscheiden lassen. Damit wird eine verborgene Struktur sichtbar, die Angreifern einen Ansatzpunkt bietet. Folgearbeiten schätzen den Aufwand für eine Schlüsselrückgewinnung auf 2⁹⁴ bis 2¹⁰² Bitoperationen. Laut heise entspricht das ungefähr dem Sicherheitsniveau von AES-128 statt des angestrebten […]

Allgemein, Netzwerk, Security Engineering

DHCPv6-Spoofing verhindern: IPv6-Sicherheit im Netzwerk

In internen Penetrationstests beobachten wir regelmäßig, dass Clients und Server IPv6 standardmäßig aktiviert haben, ohne dass der Einsatz bewusst geplant oder abgesichert wurde. Daraus entsteht ein Sicherheitsproblem: Ein Angreifer im selben Netzwerksegment kann über DHCPv6-Spoofing oder bösartige Router Advertisements (RA) Einfluss auf die IPv6- und DNS-Konfiguration von Systemen nehmen. Besonders relevant ist das in Windows- und Active-Directory-Umgebungen. Dort führt ein Manipulation der IPv6-Konfiguration dazu, das angegriffene Systeme einen vom Angreifer kontrollierten DNS-Server verwenden und deren Netzwerkverkehr beliebig umgeleitet werden kann. […]

KI/ML

KI-Agenten machen Berechtigungsgrenzen zur Sicherheitsfrage

Der Sicherheitsvorfall beim US-amerikanischen KI-Dienstleister Hugging Face im Juli 2026 zeigt, warum KI-Agenten nicht allein über Modellschutz abgesichert werden können. Während einer internen Cyber-Evaluation identifizierten und kombinierten OpenAI-Modelle Schwachstellen in der Testumgebung. Sie erlangten darüber Internetzugang und drangen anschließend bis in die Produktionsinfrastruktur von Hugging Face vor. https://openai.com/index/hugging-face-model-evaluation-security-incident/ Betroffen waren interne Datensätze sowie Zugangsdaten von Diensten. Öffentliche Modelle, Datensätze, Spaces und die Software-Lieferkette waren nach Angaben von Hugging Face nicht manipuliert. https://huggingface.co/blog/security-incident-july-2026 Der Vorfall fand in einer Evaluation mit reduzierten […]

Schwachstelle

Signiert und trotzdem bösartig

Der Angriff auf die Softwarebibliotheken keyv und cacheable vom 4. August 2026 zeigt eine oft übersehene Grenze. Die sogenannte Provenance, also der Nachweis, wo und über welchen Prozess ein Artefakt gebaut wurde, bestätigt die Herkunft eines Builds. Sie bestätigt nicht, dass der zugrunde liegende Quellcode legitim oder unverändert war. Bei keyv@6.0.0 waren npm-Provenance und SLSA-Attestation (ein Beleg, dass die Software in einer sicheren, nachvollziehbaren Umgebung gebaut wurde) gültig. Dennoch enthielt das veröffentlichte Paket Schadcode, weil dieser bereits vor dem Build […]

Post-Quanten-Kryptografie

Der G7 drängt, die EU-Uhr läuft: Post-Quanten-Migration ist ein Inventarproblem

Die G7-Arbeitsgruppe für Cybersicherheit hat am 3. September 2026 öffentliche und private Organisationen in einem gemeinsamen Aufruf dazu aufgefordert, den Übergang zu Post-Quanten-Kryptografie jetzt vorzubereiten. Wann kryptografisch relevante Quantencomputer verfügbar sein werden, ist offen. Das Risiko besteht dennoch bereits heute. Angreifer können verschlüsselte Daten schon jetzt abgreifen und so speichern, um sie später zu entschlüsseln, wenn die technische Fähigkeit dafür vorhanden ist. Besonders betroffen sind Informationen, die über viele Jahre vertraulich bleiben müssen. https://cyber.gouv.fr/en/news/post-quantum-cryptography-transition-anssi-and-its-g7-partners-rally-public-and-private-sectors-with-urgent-call-to-action/ Auch die europäische Roadmap wird häufig […]

NIS2

NIS-2-Registrierung und die Lücke in der Statistik

18.845 Registrierungen von Einrichtungen, die unter die NIS-2-Richtlinie fallen, zum 31.07.2026 – gegenüber einer erwarteten Zahl von rund 29.500. Die Differenz prägt die Debatte über NIS-2. Sie belegt jedoch nicht, dass rund 10.000 Einrichtungen ihre Pflichten ignorieren. Die Zahl von 29.500 war eine Schätzung des Statistischen Bundesamtes auf Basis älterer Daten. Das Bundesinnenministerium lässt diese Bezugsgröße inzwischen neu berechnen. Damit ist die vielzitierte Registrierungslücke vor allem eines sicher nicht: ein belastbarer Nachweis über die tatsächliche Zahl registrierungspflichtiger Einrichtungen. Sie beschreibt […]