Threat Advisories

Cybersecurity-Forscher haben eine neue Welle von Supply-Chain-Angriffen aufgedeckt, die nordkoreanischen, staatlich orientierten Bedrohungsakteuren zugeschrieben werden. Dabei wurden 26 bösartige npm-Pakete veröffentlicht, die sich als legitime Entwickler-Tools ausgeben. Die als "StegaBin" bezeichnete Kampagne nutzt Pastebin-basierte Steganografie, um Command-and-Control (C2)-Endpunkte zu verbergen und schließlich Credential Stealer und einen plattformübergreifenden Remote Access Trojan (RAT) einzusetzen. Die Infrastruktur, die diese Operationen unterstützt, erstreckt sich über 31 Vercel-Installationen, was eine ausgeklügelte und sich weiterentwickelnde Bedrohung für die globale Software-Lieferkette aufzeigt.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat eine neu entdeckte Sicherheitslücke in VMware Aria Operations (CVE-2026-22719) in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, nachdem eine aktive Ausnutzung in freier Wildbahn bestätigt wurde. Bei der Schwachstelle handelt es sich um eine Befehlsinjektionsschwachstelle, die unter bestimmten Bedingungen eine unautorisierte Remotecodeausführung (RCE) ermöglicht. VMware (Broadcom) hat am 24. Februar 2026 Patches veröffentlicht, doch Berichten zufolge nutzen Angreifer die Schwachstelle nun gegen ungepatchte Systeme aus. Zivile Bundesbehörden wurden angewiesen, die Sicherheitslücke bis zum 24. März 2026 zu beheben.

Die globale geopolitische und Cybersicherheitslandschaft hat sich nach dem Start der Operation "Epic Fury" am 28. Februar 2026 durch die Vereinigten Staaten und der parallelen israelischen Kampagne Operation "Roaring Lion" gegen den Iran dramatisch verändert. Durch die koordinierten Militärschläge wurden wichtige iranische Führungspersönlichkeiten, darunter der Oberste Führer Ayatollah Ali Khamenei, erfolgreich ausgeschaltet und die konventionelle militärische und nukleare Infrastruktur des Irans stark geschwächt.

Cisco Catalyst SD-WAN-Plattformen sind in Unternehmen, Behörden und Service Providern weit verbreitet und dienen oft als Kerninfrastruktur, die Außenstellen, Rechenzentren und Cloud-Umgebungen miteinander verbindet. Da diese Controller häufig von externen Netzwerken aus erreichbar sind, um verteilte Operationen zu unterstützen, stellen sie ein sehr sichtbares und attraktives Ziel für Bedrohungsakteure dar.

CVE-2026-2329 ist eine kritische stapelbasierte Pufferüberlaufschwachstelle, die die VoIP-Tischtelefone der Grandstream GXP1600-Serie betrifft. Die Schwachstelle befindet sich im webbasierten API-Endpunkt des Geräts und kann aus der Ferne ohne jegliche Authentifizierung ausgenutzt werden. Bei erfolgreicher Ausnutzung kann ein Angreifer eine vollständige Remote-Codeausführung mit Root-Rechten auf dem Telefon erlangen.

Übersicht

CVE-2026-2649 ist eine schwerwiegende Integer-Überlaufschwachstelle in der von Google Chrome verwendeten V8 JavaScript-Engine. Das Problem betrifft Chrome-Versionen vor 145.0.7632.109. Wenn ein Benutzer eine speziell gestaltete HTML-Seite öffnet, kann die Schwachstelle zu einer Heap Corruption innerhalb des Browsers führen.
Da V8 für die Ausführung von JavaScript zuständig ist, können Schwachstellen in dieser Komponente weitreichende Auswirkungen auf das normale Browsing und auf Prozesse in Sandboxen haben.

Der beliebte Open-Source-Txt-Editor Notepad++ ist Ziel eines ausgeklügelten Angriffs auf die Lieferkette durch einen mutmaßlich staatlich unterstützten Bedrohungsakteur.

Ivanti hat zwei kritische Sicherheitsschwachstellen in Ivanti Endpoint Manager Mobile (EPMM) bekannt gegeben und gepatcht, die aktiv in Zero-Day-Angriffen ausgenutzt wurden. Die Schwachstellen mit den Bezeichnungen CVE-2026-1281 und CVE-2026-1340 ermöglichen die unautorisierte Remotecodeausführung und gehören mit einem CVSS-Score von 9,8 zu den schwerwiegendsten Schwachstellen. Eine der Schwachstellen wurde in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen, was die Dringlichkeit von Abhilfemaßnahmen, insbesondere in US-Bundesbehörden, deutlich erhöht.

Microsoft hat einen Notfall-Patch veröffentlicht, der eine aktiv ausgenutzte Microsoft Office-Zero-Day-Schwachstelle mit der Bezeichnung CVE202621509 behebt. Bei der Schwachstelle handelt es sich um eine Umgehung von Sicherheitsfunktionen, die es Angreifern ermöglicht, zentrale COM/OLE-basierte Schutzmaßnahmen in Microsoft 365 und Microsoft Office zu umgehen.

Eine kritische Sicherheitslücke zur Umgehung der Authentifizierung (CVE-2026-24061, CVSS 9.8) wurde im GNU InetUtils telnetd Dienst entdeckt. Betroffen sind alle Versionen von 1.9.3 bis 2.7. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, sich auf den betroffenen Systemen sofort Root-Zugriff zu verschaffen, indem sie die unsachgemäße Handhabung der Umgebungsvariable USER ausnutzen. Das Problem blieb fast 11 Jahre lang unentdeckt und wird nun aktiv von böswilligen Akteuren untersucht.