intelligent piXel

Lagebild

771Meldungen gelesen
600betreffen Sie
171geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Diese Woche BSI CERT-Bund

    OpenSSH

    CVE-2024-6387

    Betrifft Sie, wenn Sie OpenSSH einsetzen: Ein entfernter, anonymer Angreifer kann die Schwachstelle ausnutzen und beliebigen Code mit root Rechten ausführen.

    Die Quelle beschreibt eine Race Condition im OpenSSH-Server. Sie kann dazu führen, dass der Server bestimmte Signale unsicher verarbeitet. Ein entfernter, nicht angemeldeter Angreifer kann sie laut Quelle auslösen, indem er die Authentifizierung nicht innerhalb eines vorgegebenen Zeitraums abschließt.

    Ich stufe die Meldung als hoch ein. Die Quelle nennt Codeausführung mit root Rechten als mögliche Folge. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    OpenSSH
    CVSS
    8.1
    Quelle secalert@redhat.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    99,51 %
    Perzentil 99,9
    Art
    CWE-364, CWE-362
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  2. Diese Woche BSI CERT-Bund

    OpenSSH

    CVE-2025-26465 und eine weitere

    Betrifft Sie, wenn Sie OpenSSH einsetzen, die Quelle mehrere Schwachstellen zusammenfasst und keine betroffenen Fassungen nennt.

    Die Quelle fasst mehrere Schwachstellen zusammen. Für einen Befund nennt sie die aktivierte Option VerifyHostKeyDNS: Eine bösartige Maschine kann sich als berechtigter Server ausgeben. Dafür muss sie zuvor den Speicher des Clients erschöpfen.

    Das BSI nennt für die Sammelmeldung die Umgehung kryptografischer Sicherheitsvorkehrungen und einen Denial of Service Zustand. Es sagt nicht, welche einzelne Schwachstelle welche dieser Auswirkungen hat.

    Aktualisieren Sie OpenSSH. Die Quelle nennt keine behobene Fassung.

    Betroffen
    OpenSSH
    CVSS
    6.8
    Quelle secalert@redhat.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    7,72 %
    Perzentil 94,3
    Art
    CWE-390
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  3. Diese Woche BSI CERT-Bund

    BusyBox (wget)

    CVE-2025-60876

    Betrifft Sie, wenn Sie BusyBox (wget) einsetzen.

    bsi meldet: BusyBox (wget): Schwachstelle ermöglicht Umgehung von Sicherheitsvorkehrungen

    Der CVSS-Wert beträgt 6.5.

    Dieser Eintrag steht bewusst ohne Einordnung: die Quellenlage ließ keine geprüfte Beschreibung zu, und eine Meldung dieser Dringlichkeit wegzulassen wäre das größere Übel. Die Einzelheiten stehen in den verlinkten Quellen.

    Prüfen Sie die verlinkten Quellen und spielen Sie das Update ein, sobald es verfügbar ist.

    Betroffen
    BusyBox (wget)
    CVSS
    6.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,7
    Art
    CWE-284
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  4. Diese Woche Wordfence

    AF Companion

    CVE-2026-84738

    Betrifft Sie, wenn Sie AF Companion bis einschließlich 2.1.0 einsetzen und ein angemeldeter Benutzer mit Shop-Manager-Rechten oder höher Zugriff hat.

    Ich stufe die Lücke als kritische Remote-Code-Ausführung ein. Das Plugin prüft hochgeladene Dateien aus einer Importfunktion nicht ausreichend. Dadurch können angemeldete Angreifer mit Shop-Manager-Rechten oder höher beliebige Dateien einschließlich PHP-Dateien hochladen und beliebigen Code auf dem Server ausführen.

    Die Quelle nennt keine weiteren Auswirkungen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 2.2.0.

    Betroffen
    AF Companion – Starter Sites, Speed Booster & Growth Suite for Professional Publishing
    Behoben in
    2.2.0
    CVSS
    9.1
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    King Addons for Elementor

    CVE-2026-84902

    Betrifft Sie, wenn Sie King Addons for Elementor bis einschließlich 51.1.80 einsetzen und ein angemeldeter Benutzer mindestens die Contributor-Rolle hat.

    Die Erweiterung prüft beim Import von Vorlagen nicht ausreichend, ob der angemeldete Benutzer die betroffenen Inhalte ändern darf. Dadurch können beliebige Beiträge und Seiten überschrieben und JavaScript über eine Widget-Einstellung eingeschleust werden.

    Das eingeschleuste Skript wird als Stored Cross-Site Scripting ausgeführt, sobald ein Benutzer die betroffene Seite aufruft. Ich stufe die Meldung als relevant ein, weil kein anonymer Zugriff nötig ist und die Quelle auch Seiten von Administratoren nennt.

    Aktualisieren Sie auf 51.1.81; eine Überbrückung nennt die Quelle nicht.

    Betroffen
    King Addons for Elementor – 100+ Elementor Widgets, 4 000+ Elementor Templates, WooCommerce Builder, Mega Menu, Popup Builder
    Behoben in
    51.1.81
    CVSS
    6.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    All Bootstrap Blocks

    CVE-2026-88993

    Betrifft Sie, wenn Sie All Bootstrap Blocks bis einschließlich 1.3.31 einsetzen und ein angemeldeter Angreifer mindestens Contributor-Rechte hat.

    Die Erweiterung bereinigt ein Attribut nicht ausreichend, bevor es als HTML ausgegeben wird. Dadurch können angemeldete Angreifer mit Contributor-Rechten oder höher beliebige Webskripte in Seiten einschleusen.

    Die Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft. Ich stufe die Lücke als gespeichertes Cross-Site-Scripting ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    All Bootstrap Blocks
    CVSS
    6.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    All Bootstrap Blocks

    CVE-2026-88994

    Betrifft Sie, wenn Sie All Bootstrap Blocks in den Versionen 1.3.20 bis 1.3.31 einsetzen, Contributor-Zugriff haben und Lightspeed aktiviert ist.

    Ich stufe das als Local File Inclusion ein. Angemeldete Angreifer mit Contributor-Zugriff oder höher können lokale Dateien einbinden und ihren Inhalt offenlegen. Die Quelle nennt außerdem die Ausführung von PHP-Code, wenn eine erreichbare lokale Datei solchen Code enthält.

    Die Quelle nennt als weitere mögliche Folgen das Umgehen von Zugriffskontrollen und den Zugriff auf sensible Daten. Sie sagt, dass das Lightspeed-Subsystem dafür aktiviert sein muss, und bezeichnet diese Einstellung als nicht standardmäßig aktiviert. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    All Bootstrap Blocks
    CVSS
    6.6
    Quelle contact@wpscan.com
    Anmeldung nötig
    ja, Administrator
    Art
    CWE-98
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Breeze Cache

    CVE-2026-79713

    Betrifft Sie, wenn Sie Breeze Cache vor 2.5.15 einsetzen und Seiten aus dem Cache an Besucher ausliefern, die ohne Anmeldung vergiftet werden können.

    Ich stufe die Lücke als Cache Poisoning ein. Breeze Cache berücksichtigt bestimmte Tracking-Parameter nicht beim Cache-Schlüssel, speichert angeforderte Seiten aber trotzdem. Dadurch kann ein nicht angemeldeter Angreifer eine unter seinem Anfragekontext gerenderte Seite unter dem Cache-Eintrag der sauberen URL speichern und an nachfolgende Besucher ausliefern.

    Die Quelle beschreibt die Lücke in allen Fassungen bis einschließlich 2.5.14. Sie nennt als Wirkung vergiftete Cache-Antworten und deren Auslieferung an nachfolgende Besucher. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie Breeze Cache auf 2.5.15.

    Betroffen
    Breeze Cache
    Behoben in
    2.5.15
    CVSS
    6.5
    Quelle contact@wpscan.com
    Anmeldung nötig
    nein
    Art
    CWE-444
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    RestroPress

    CVE-2026-85009

    Betrifft Sie, wenn Sie RestroPress bis einschließlich 3.4.7 einsetzen. Die Quelle beschreibt eine Lücke, die keine Anmeldung voraussetzt.

    Ich stufe das als unberechtigten Objektzugriff durch eine fehlende Prüfung einer benutzergesteuerten Kennung ein. Die NVD-Quelle beschreibt den Zahlungswiederherstellungsablauf: Fremde können feststellen, welche Bestellungen sich in einem wiederherstellbaren Zustand befinden, und Notizen zu einer Bestellung eines anderen Kunden schreiben.

    Die Wordfence-Quelle spricht von einer unberechtigten Aktion ohne Anmeldung. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    RestroPress – Online Food Ordering System
    CVSS
    6.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Geo Mashup

    CVE-2026-78294

    Betrifft Sie, wenn Sie Geo Mashup bis einschließlich 1.13.21 einsetzen und ein angemeldetes Konto ab der Contributor-Rolle Seiten mit Skripten versehen kann.

    Ich stufe diese Lücke als gespeichertes Cross-Site-Scripting ein. Laut Quelle beruht sie auf unzureichender Eingabebereinigung und Ausgabe-Escaping.

    Angemeldete Angreifer ab der Contributor-Rolle können beliebige Webskripte in Seiten einfügen. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft. Die Lücke steht nicht im KEV-Katalog der CISA.

    Aktualisieren Sie Geo Mashup auf 1.13.22.

    Betroffen
    Geo Mashup
    Behoben in
    1.13.22
    CVSS
    6.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Benutzerkonto
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    16.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

171 geprüft und verworfen, mit Begründung
  • 137 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 22 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 14 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 11 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 11 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 9 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 6 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 6 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • CVE-2018-1000204Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-1933Samba ist ein Dateifreigabedienst für Windows-Netzwerke, auf einem reinen Webserver mit WordPress läuft er üblicherweise nicht.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49202Linux-Kernel, Fehler im Bluetooth-Treiber hci_uart für spezielle Bluetooth-Hardware mit möglichem Denial of Service, diese hardwareabhängige lokale Kernel-Störung trägt keinen Eintrag für das allgemeine Serverlagebild.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2025-40178Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-71102Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-33845GnuTLS, Lücke im DTLS-Handshake, DTLS wird auf typischen Webservern mit WordPress nicht verwendet.
  • CVE-2022-30789Linux-Kernel, lokale Rechteausweitung in NTFS-3G. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, EPSS 0,004 und nicht auf der KEV-Liste.
  • CVE-2026-74734Linux-Kernel, Fehler im Firewire-Treiber beim Entladen nach fehlgeschlagener Initialisierung. Erfordert spezielle Firewire-Hardware und einen bereits laufenden Prozess, aus der Ferne nicht auslösbar.
  • CVE-2026-80758Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2026-77860Unbound ist ein eigener DNS-Auflösedienst und gehört nicht zum typischen Webserverbetrieb; die Schwachstellen setzen einen betriebenen Unbound-Dienst mit entsprechender DNS-Konfiguration voraus.
  • CVE-2026-96744MongoDB-Treiber und die Laravel-Integration gehören zu einer MongoDB-Anwendungsumgebung, nicht zum üblichen WordPress-Stack mit MariaDB oder MySQL; die beschriebene Schwachstelle erfordert zudem einen authentifizierten Nutzer.
  • CVE-2026-87775Tz Weekly Radio Schedule, identische Produkt-, Versions- und Angriffsdaten liegen bereits unter CVE-2026-87774 vor, daher handelt es sich um eine Doppelung.
  • CVE-2026-92541Import and export users and customers beschreibt dieselbe fehlerhafte Berechtigungsprüfung und denselben Fix wie CVE-2026-92540, daher wäre ein eigener Eintrag eine Doppelung.
  • CVE-2026-16542Die SSRF in der WP-Erweiterung Import and export users and customers erfordert ein bereits privilegiertes Administratorkonto und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2026-76559Die SSRF in WP Import Export Lite erfordert eine Import-Berechtigung, die regelmäßig ein bereits privilegiertes Administratorkonto voraussetzt, und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2024-36476Linux-Kernel, NULL-Zeiger-Dereferenz im speziellen RDMA-Treiber, benötigt lokalen Zugriff und die RDMA-Funktion und verursacht dabei nur einen Denial-of-Service.
  • CVE-2025-5994Unbound ist ein eigener DNS-Auflöser und nur betroffen, wenn er mit ECS-Unterstützung gebaut und entsprechend konfiguriert ist, was auf gewöhnlichen Webservern selten vorkommt.
  • CVE-2025-9230OpenSSL, Fehler in CMS mit Passwortverschlüsselung. Betrifft nur Anwendungen mit selten genutzter PWRI, nicht den TLS-Betrieb.
  • CVE-2026-29111systemd, lokale Schwachstelle über unprivilegierten IPC-Aufruf. Erfordert bereits Zugriff auf die Maschine, keine Fernauslösung ohne Konto.
  • CVE-2026-64566Linux-Kernel, Speicherkorruption im XFRM-IPTFS-Pfad. Erfordert lokalen Zugriff oder spezielle Netzwerkkonfiguration, nicht ohne Konto von außen auslösbar.
  • CVE-2026-68480Linux-Kernel, lokale Schwachstelle zur Offenlegung von Informationen, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-68081Linux-Kernel, Denial of Service in der KVM-Virtualisierung. Erfordert bereits ein Konto oder laufenden Prozess auf der Maschine, und die Reichweite ist mit einem EPSS von 0,002 zu gering für einen Eintrag.