Security-Warnungen
Aktuelle Sicherheitslücken, die ihr kennen solltet. Neueste zuerst.
-
CVE-2026-123158 Hoch CVSS 8,1 OpenSSH mit musl ohne PAM: Passwort-Umgehung bei Konten mit „*“
sshd vor OpenSSH 10.6p2 akzeptiert auf Linux-Systemen mit musl libc ohne PAM bei Konten mit „*“ im Passwortfeld überlange Passwörter (über 256 Zeichen). Betroffen ist vor allem Alpine Linux; behoben in OpenSSH 10.6p2 und aktualisierten Alpine-Paketen.
-
CVE-2026-109618 Kritisch CVSS 9,2 PHP: Codeausführung über Speicherkorruption bei Out-of-Memory
Bricht PHP eine Anfrage wegen Speichermangels ab, kann das Aufräumen halb initialisierte Daten als gültig behandeln; Angreifer können so ohne Anmeldung Code ausführen. Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, laut CISA aktiv ausgenutzt.
-
CVE-2026-109619 Kritisch CVSS 9,2 PHP: Codeausführung über veralteten Request-Zustand im Worker
Interner Zustand einer Anfrage kann nach Freigabe des Speichers bestehen bleiben und von einer späteren Anfrage im selben Worker genutzt werden, etwa über Session Upload Progress. Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, laut CISA aktiv ausgenutzt.
-
CVE-2026-98432 Kritisch CVSS 9,8 Linux-Kernel: Use-after-free im IPv4-TCP-Verbindungsaufbau
SYN-Pakete mit IPv4-Optionen können aus der Ferne einen Use-after-free im Kernel auslösen, ohne Anmeldung oder Nutzerinteraktion. Betroffen sind Kernel ab 4.4, behoben unter anderem in 6.12.113, 6.18.56 und 7.2.10.
-
CVE-2026-110447 Kritisch CVSS 9,2 Collabora Built-in CODE Server für Nextcloud: Command-Injection
Unauthentifizierte OS-Command-Injection in proxy.php der Nextcloud-App richdocumentscode vor 26.4.303, ausnutzbar, solange der eingebaute CODE-Server nicht läuft. Seit September aktiv ausgenutzt; Deaktivieren der App schützt nicht.
-
CVE-2026-83844 Hoch CVSS 8,1 Windows Paint (Store-App): Codeausführung durch Out-of-bounds Read
Lesezugriff außerhalb der Speichergrenzen in Microsoft Paint ab Version 11.0 erlaubt laut Microsoft Codeausführung über das Netz. Behoben in Paint 11.2609.401.0, das nur über den Microsoft Store verteilt wird.
-
CVE-2026-96656 Hoch CVSS 8,6 Plex Media Server: Dateien schreiben über Transcoder-Optionen
Ein Admin-Nutzer kann über die Einstellung TranscoderH264Options beliebige Dateien schreiben; .so-Dateien im Codecs-Ordner lädt Plex ohne Signaturprüfung und führt sie aus. Behoben in 1.43.3.10861, laut CISA aktiv ausgenutzt.
-
CVE-2026-96652 Mittel CVSS 5,3 Plex Media Server: SSRF über /player/timeline mit beliebigem Token
Über den Parameter „protocol“ des Endpunkts /player/timeline lässt sich der Server mit einem beliebigen X-Plex-Token dazu bringen, POST-Anfragen an frei gewählte Ziele zu senden, auch an sich selbst. Erstes Glied der Plex2Shell-Kette; behoben in 1.43.3.10861, laut CISA aktiv ausgenutzt.
-
CVE-2026-96654 Mittel CVSS 6,9 Plex Media Server: URL-Injection in searchOne erlaubt Plugin-Aufrufe
Plex Media Server neutralisiert URL-Werte in „searchOne“ nicht korrekt, Angreifer können so Funktionen anderer Plugins mit eigenen Parametern aufrufen. Behoben in 1.43.3.10861, laut CISA aktiv ausgenutzt.
-
CVE-2026-96655 Mittel CVSS 5,3 Plex Media Server: SSRF über den Transcoder-Endpunkt
Laut CVE-Eintrag können angemeldete Nutzer über den Pfad-Parameter von /video/:/transcode/universal beliebige interne oder externe Adressen abfragen; Plex beschreibt die Lücke als Offenlegung des Admin-Tokens des Server-Besitzers. Behoben in 1.43.3.10861, laut CISA aktiv ausgenutzt.