IT‑Sicherheits‑Digest (2026-09-25)

Aktuelle Security‑News

heise security

  • Jetzt updaten! Attacken auf Roundcube-Webmail-Instanzen beobachtet (2026-09-25 07:31 UTC)
    • Kurz: Angreifer nutzen derzeit eine Sicherheitslücke in Roundcube Webmail aus. Dafür müssen aber die Voraussetzungen stimmen.
    • Quelle: Link
  • Video-Tool VLC: Version 3.0.24 stopft über 130 Sicherheitslecks (2026-09-25 07:02 UTC)
    • Kurz: Der Videoplayer VLC ist in Version 3.0.24 erschienen. Mehr als 130 Sicherheitslücken soll das Release schließen.
    • Quelle: Link
  • DSGVO-Falle Smart Glasses: Datenschützer warnen Träger vor Rechtsverstößen (2026-09-24 13:58 UTC)
    • Kurz: Die Datenschutzkonferenz (DSK) stellt klar: Beim Filmen Dritter haften Nutzer. Eine LED reicht als Information nicht aus. Die DSK sieht die Politik gefordert.
    • Quelle: Link

BleepingComputer

  • MacSync malware uses public iCloud calendars to deliver new payloads (2026-09-24 20:53 UTC)
    • Kurz: A new variant of the MacSync malware targeting macOS systems now uses public iCloud calendar events to deliver new native payloads. […]
    • Quelle: Link
  • New Carbonato malware uses AI agents to hijack exposed Docker hosts (2026-09-24 20:10 UTC)
    • Kurz: A new botnet malware called Carbonato is targeting insecure hosts running Docker daemons to install the Hermes Agent AI framework and take control. […]
    • Quelle: Link
  • Exposed GitLab project email addresses let attackers push code (2026-09-24 17:47 UTC)
    • Kurz: Private GitLab email addresses that allow developers to push issues or tasks to a project are being deliberately exposed in READMEs, contributing guides, and support pages used to collect bug reports. […]
    • Quelle: Link

The Hacker News

  • Cloudflare Fixes Flaw That Let One Container Read Another Customer’s Leftover Disk Data (2026-09-25 04:49 UTC)
    • Kurz: A flaw in Cloudflare Containers let a paying customer read data that other customers’ containers had left behind on the same server, Cloudflare and the researchers who found it said on Thursday. The data came from disk space that earlier co…
    • Quelle: Link
  • WSO2 and Adobe Commerce Flaws Exploited in Attacks, Added to CISA KEV (2026-09-25 04:46 UTC)
    • Kurz: The U.S. Cybersecurity and Infrastructure Security Agency (CISA), on Thursday, added two critical security flaws impacting WSO2 and Adobe Commerce and Magento to its Known Exploited Vulnerabilities (KEV) catalog, based on evidence of active…
    • Quelle: Link
  • Unpatched OnePlus Flaws Let Installed Android Apps Gain Root Without Permissions (2026-09-24 18:10 UTC)
    • Kurz: A OnePlus 15 running the latest OxygenOS can be rooted by a malicious app the owner installs, one that asks for no special permissions. A researcher, Rasmus Moorats, chained two flaws in OnePlus’s own software to gain root access, the highe…
    • Quelle: Link

Neue CVEs (letzte 24h, NVD‑Abgleich)

Fortinet FortiGate (7.4.x)

  • Keine neuen Treffer in den erfolgreich abgefragten NVD‑Daten der letzten 24h.

Atlassian (Jira/Confluence)

  • Keine neuen Treffer in den erfolgreich abgefragten NVD‑Daten der letzten 24h.

HPE/Aruba Switches

  • Keine neuen Treffer in den erfolgreich abgefragten NVD‑Daten der letzten 24h.

VMware ESXi/vCenter (7.x)

  • Keine neuen Treffer in den erfolgreich abgefragten NVD‑Daten der letzten 24h.

Hinweis

  • CVE‑Treffer sind ein Frühwarn‑Check (NVD) und müssen für eure exakten Versionen/Deployments gegengeprüft werden (Vendor Advisory/Patches).
  • News-Auswahl: nur frische Meldungen aus den letzten 36 Stunden; Dubletten aus dem Vortags-Digest werden ausgeblendet.