CISA setzt Frist: US-Stellen müssen MikroTik patchen
CISA listet zwei MikroTik-RouterOS-Lücken als ausgenutzt. Zivile US-Bundesstellen müssen bis zum 13. September patchen.
Autorenprofil
Benedikt Langer
Benedikt Langer ist Redakteur bei SecurityToday. Seine Schwerpunkte sind Cloud Security, Zero Trust und NIS2-Compliance. Er steuert die thematische Ausrichtung und sorgt für redaktionelle Qualität.
Beiträge von Benedikt Langer
160 Beiträge 
Cisco bestätigt FMC-Root ohne Anmeldung
Talos ordnet die Angriffe drei Gruppen zu, eine mit Sandworm-Werkzeugen. Der Hotfix stoppt neue Root-Zugänge, übernommene Konsolen bleiben kompromittiert.
Adobe-Hotfix: Magento-Shops bleiben kompromittiert
CISA nimmt CVE-2026-75650 in den KEV-Katalog. APSB26-138 vom 8. September ersetzt den Notfall-Hotfix VULN-39341 nicht.
ExploitGym: OpenAI-Agenten bauten sich einen Geheimkanal
Rund 1.200 Agenten nutzten in einer OpenAI-Evaluation denselben Paketcache als Kanal, 7 Prozent der Transkripte trugen gefälschte Werkzeugaufrufe.
CRA-Meldepflicht startet: Frühwarnung binnen 24 Stunden
Ab 11. September 2026 müssen Hersteller ausgenutzte Schwachstellen und schwere Vorfälle einmal über die ENISA-Plattform an CSIRT und ENISA melden.
Microsoft Teams: Android-Pfad lässt Angreifer-Code durch
Microsoft Teams for Android erlaubt Path Traversal. Die NVD nimmt CVE-2026-65768 am 11. August 2026 auf. Microsoft bewertet 8,8, die NVD 9,8.
Cisco ASA: SSL-VPN-DoS steht jetzt in KEV
Cisco bestätigt aktive Ausnutzung von CVE-2026-20349. Ein HTTP-Request am SSL-VPN lädt ASA- und FTD-Geräte neu.
it-sa 2026: Einkauf vor Ticket und Stand
CISO-Einkaufsbrief 90 Tage vor it-sa: Budget, PoC-Exit, SLA und NIS2-/CRA-Nachweise vor dem Messetermin.
Drohnen über KRITIS: Perimeter wird Cyber-OT
BSI-Papier und KRITIS-Dachgesetz: Drohnenschutz als gemeinsame Steuerung von Werkschutz, OT und Aufsichtsnachweisen.
Liechtenstein: 31.000 Registerdatensätze abgegriffen
Unbekannte kopierten in der Nacht auf den 30. Juli Daten von rund 31.000 Rechtsträgern aus Liechtensteins Verzeichnis wirtschaftlich Berechtigter.
Seed mit 40 Bit: warum 4.585 Adressen angreifbar wurden
Schwache Seed-Entropie bei Coldcard: Abflüsse, Firmware-Historie und Maßnahmen. Kein Bitcoin-Protokoll-Hack, Schätzung Galaxy Research Stand 01.08.2026.
Codex Security: Offener Client füttert OpenAI
Codex Security CLI: Client-Code unter Apache-2.0 offen, Scanning-Backend in limitierter Beta gegen OpenAI.
CERT-Bund zieht Zabbix-Warnung nach 24 Stunden zurück
Zabbix-Advisory mit Score 9,6: CERT-Bund nahm den Hinweis nach 24 Stunden zurück. Was das für Tickets, CSAF-Status und Fehlalarm-Kosten bedeutet.
Windows-Lücken: Patch-Reihenfolge für kritische Assets
Windows Patch Management nach Risiko: CERT-Bund-Warnungen staffeln kritische Assets über Ring-Rollout und parallele Detection.
ServiceNow-RCE: sechs Checks vor dem Ticket
Pre-Auth-Sandbox-Escape CVE-2026-6875: sechs operative Checks für Self-Hosted und Hosted.
Cyberresilienz: APIs und Patch-Fenster steuern
Gezieltere Angriffe brauchen klare Prioritäten: APIs härten, Patches steuern und den Wiederanlauf üben.
SASE sieht HTTPS zum LLM – nicht den Intent
AI-Agents mit MCP umgehen klassische SASE-Annahmen. Wer nur Domains filtert, verpasst den Tool-Kanal.
Shadow AI entsteht oft durch Governance selbst
Shadow AI: 40 % wichen schon aus, weil Freigaben unbrauchbar sind. Patricia Leppert (TeamViewer) im Interview zu Risiken, Fake-AI und CISO-Maßnahmen.
Vault-Duell: Bitwarden Business gegen 1Password
Bitwarden Business gegen 1Password: Hosting, SSO, SCIM und Recovery entscheiden den Vault-Einkauf im Mittelstand.
NIS2-Patchwork: Vier Staaten vor dem EuGH
Die EU-Kommission verklagt Irland, Spanien, Frankreich und die Niederlande wegen unvollständiger NIS2-Umsetzung. Was das für deutsche CISOs bedeutet.
622 CVEs: Priorisieren statt Panic-Patchen
Rekord-Patch-Tuesday mit 622 CVEs. AD FS und SharePoint zuerst, dann Exposure, dann Breite - so steuert man das Change-Fenster.
