← Schwachstellen der WocheSchwachstellen der Woche: 2–8. November 2026
Die wichtigsten Schwachstellen der Woche: worum es geht und welchen Schaden sie anrichten können. Öffnen Sie eine Erklärung, um Betroffene und Maßnahmen zu sehen.
#1 · CVE-2026-116779
Angriffe beobachtet · öffentlicher Exploit auf GitHub · KEV: Angriffe in der Praxis beobachtet · CVSS 9.8 · EPSS: 2,5 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
freeswitch kann einen teil einer eingehenden nachricht als aufforderung verstehen, befehle auszuführen. Dadurch kann der absender ein eigenes programm auf dem server starten.
Welche Schäden möglich sind
Wenn freeswitch die nachricht annimmt, kann der angreifer einstellungen und zugangsdaten lesen, anrufe steuern und befehle mit den rechten des programms ausführen. Ein konto, mit dem man sich anmelden kann, reicht aus; bei manchen betroffenen einstellungen ist der zugang auch ohne passwort möglich.
Erklärung lesen →#2 · CVE-2026-123218
Angriffe beobachtet · öffentlicher Exploit auf GitHub · KEV: Angriffe in der Praxis beobachtet · CVSS 9.8 · EPSS: 0,5 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
IBM Aspera Faspex prüft die Berechtigungen von Benutzern nicht korrekt. Eine gezielt präparierte Nachricht kann einem Benutzer vollständige Administratorrechte verschaffen.
Welche Schäden möglich sind
Ein Benutzer mit berechtigtem Zugang kann vollständige Administratorrechte in Aspera Faspex erlangen und dadurch Daten lesen, ändern oder löschen sowie den Betrieb stören. Ob dafür immer eine vorherige Anmeldung nötig ist, ist unklar.
Erklärung lesen →#3 · CVE-2026-102895
Angriffe beobachtet · KEV: Angriffe in der Praxis beobachtet · CVSS 9.8 · EPSS: 0,5 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
gpustack kann irrtümlich annehmen, dass jemand als administrativ berechtigt angemeldet ist. Wer angreift, muss sich dafür nicht anmelden.
Welche Schäden möglich sind
Dazu muss gpustack über das Netzwerk erreichbar sein und fälschlich annehmen, dass man sich lokal verbindet; standardmäßig wird dann nicht geprüft, ob man angemeldet ist. Benutzerkonten lassen sich verändern. Modelle lassen sich verändern. Dauerhafte administrative Zugangsschlüssel lassen sich erstellen. Geheimnisse lassen sich auslesen, die für eingebundene Rechenknoten und Cloudanbieter hinterlegt sind. Programme lassen sich auf deinem Server ausführen.
Erklärung lesen →#4 · CVE-2026-116606
Angriffe beobachtet · öffentlicher Exploit auf GitHub · Nuclei-Prüfvorlage · KEV: Angriffe in der Praxis beobachtet · CVSS 9.3 · EPSS: 8,9 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
Bei Barracuda Email Security Gateway (ESG) kann jemand aus der Ferne umgehen, dass er sich anmelden muss. Dadurch lässt sich unbefugt ändern, wie das gesamte Gerät konfiguriert ist.
Welche Schäden möglich sind
Wer das Gerät über ein Netzwerk erreichen kann, kann ohne sich anzumelden aufrufen, dass eine Konfiguration importiert wird. Wird dabei ein gezielt präpariertes, kompatibles Sicherungsarchiv wiederhergestellt, lässt sich unbefugt ändern, wie das Gerät insgesamt konfiguriert ist. Dafür musst du nichts tun.
Erklärung lesen →#5 · CVE-2026-111560
Angriffe beobachtet · öffentlicher Exploit auf GitHub · KEV: Angriffe in der Praxis beobachtet · CVSS 8.6 · EPSS: 6,2 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
Bei Barracuda Networks kann fehlerhaft verarbeitet werden, was festlegt, wie spät es lokal ist. Dabei kann ausgeführt werden, was dort gezielt eingeschleust wurde.
Welche Schäden möglich sind
Wer sich über das Netzwerk bereits administrativ angemeldet hat, kann einschleusen, was später mit uneingeschränkten Systemrechten ausgeführt wird, sobald die manipulierte Zeitzoneneinstellung verarbeitet wird. Dadurch lässt sich auslesen, verändern oder löschen, was dort gespeichert ist; außerdem kann lahmgelegt werden, was dort läuft.
Erklärung lesen →#6 · CVE-2026-119977
Angriffe beobachtet · öffentlicher Exploit auf GitHub · KEV: Angriffe in der Praxis beobachtet · CVSS 8.1 · EPSS: 1,2 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
WordPress ist angreifbar, während es mit einem vollständigen Paket aktualisiert wird. Dabei ist vorhersehbar, wo es vorübergehend etwas über das Internet erreichbar ablegt.
Welche Schäden möglich sind
Wer angreift, kann währenddessen ohne sich anzumelden eigene programme auf dem server ausführen lassen. Erfolgreich anzugreifen ist schwierig und setzt voraus, dass WordPress gerade vollständig aktualisiert wird; welche weiteren bedingungen gelten und wann genau dies möglich ist, ist nicht angegeben.
Erklärung lesen →#7 · CVE-2026-19868
Angriffe beobachtet · öffentlicher Exploit auf GitHub · KEV: Angriffe in der Praxis beobachtet · CVSS 7.5 · EPSS: 0,5 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
SonicOS prüft möglicherweise nicht vollständig, ob sich jemand wie vorgeschrieben angemeldet hat. Dadurch lässt sich unter Umständen auch umgehen, dass man sich zusätzlich bestätigen muss.
Welche Schäden möglich sind
Wer sich auf andere Weise gültig anmelden kann, kann möglicherweise auch ohne die vorgeschriebene zusätzliche Prüfung zugreifen. Was sich anschließend lesen oder verändern lässt, ist nicht angegeben.
Erklärung lesen →#8 · CVE-2024-27834
Angriffe beobachtet · KEV: Angriffe in der Praxis beobachtet · CVSS 5.5 · EPSS: 1,5 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
Safari, iOS and iPadOS, macOS, tvOS und watchOS sind betroffen. Wer bereits beliebig lesen und schreiben kann, könnte aushebeln, was eigentlich schützen soll.
Welche Schäden möglich sind
Wer angreift, muss lokal zugreifen können, eingeschränkt berechtigt sein und bereits beliebig lesen und schreiben können. Dann lässt sich möglicherweise umgehen, was schützen soll, ohne dass du etwas tun musst. Was dadurch konkret verändert werden kann, ist nicht beschrieben.
Erklärung lesen →#9 · CVE-2026-118527
Angriffe beobachtet · KEV: Angriffe in der Praxis beobachtet · CVSS 4.3 · EPSS: 0,8 % Wahrscheinlichkeit eines Angriffsversuchs in den nächsten 30 Tagen
Worum es geht
Ivanti Connect Secure verwendet vorhersehbare Dateinamen. Dadurch kann ein Angreifer Dateien mit selbst gewähltem Inhalt an einen bekannten Ort auf der Festplatte des Servers hochladen.
Welche Schäden möglich sind
Ein Angreifer, der sich anmelden und das Programm über ein Netzwerk erreichen kann, kann Dateien mit eigenen Inhalten auf der Festplatte ablegen. Andere Benutzer müssen dafür nichts tun. Welche Berechtigungen für die Anmeldung erforderlich sind, ist nicht angegeben.
Erklärung lesen →
Server kostenlos prüfen →