Aktuelle Nachrichten zur Cybersicherheit, Vorfälle und Entwicklungen von SI-Modellen — beobachtet und analysiert für Betroffene und Forschende innerhalb rechtlicher White-Hat-Grenzen. Keine Anleitungen zu Eindringen oder Exploits.
Dieser Artikel wurde maschinell übersetzt.
- Cyberangriffe: Reaktionsleitfäden nach Land
Neun Länderleitfäden, lokale Sprachfassungen und nicht ausführbare BPMN-Referenzprozesse.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberangriff: Ablauf für Unternehmen in Deutschland
Cyberangriff in Deutschland: Beweise, Meldungen, Rechtsbeistand, Versicherung und Kommunikation im Überblick.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- Was man Kunden zu den Kennzeichnungen von Artikel 50 der EU AI Act sagt
Die Article-50-Seite der Commission legt Pflichten von Anbietern und Deployern für Hinweise auf Interaktion, maschinenlesbare Kennzeichnung und die Offenlegung von Deep Fakes fest (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Ein Hinweis einer Anwaltskanzlei sagt, diese Pflichten seien am 2 August 2026 anwendbar geworden und nicht zusammen mit den Hochrisiko-Regeln aufgeschoben worden (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Allgemeine Information, keine Rechtsberatung.
- Übungen zur Cybersicherheit, die Branchenabläufen folgen
24 Branchenansichten, 18 technische Oberflächen und acht Offline-Übungen, die CTF-Lernen mit Kontinuität, Reparatur und Wiederherstellung verbinden.
- AI-Video, Imitation der Stimme und Grenzen der Autorität
Eine quellenbasierte Prüfung von Tavus, von gemeldetem Missbrauch von AI und von den Grenzen der Identität, der Einwilligung und der Werkzeugautorität, die Einführende getrennt testen sollten.
- System One Coding: Code durch Entscheidungen zusammensetzen
Typisierte Blöcke, gestufte Verifikation, gemessene Vergleiche und ein registrierter kostenloser Pilot.
- Wenn Ihr Konto übernommen wurde: eine „Zeittafel“ und eine „Beweisliste“, die Sie vor der Beratung bei der Polizei erstellen (zum Kopieren und Verwenden)
Nach einer Kontoübernahme: was Sie nicht löschen, sondern behalten, mit Vorlagen für Zeittafel und Beweisliste zum Kopieren. Danach wenden Sie sich an die Polizei oder die Meldestelle für Cyberkriminalität Ihres Landes und an Ihre Bank oder Ihren Zahlungsdienst.
- Nach einem Betrug mit Krypto-Assets: So erstellen Sie die „Überweisungstabelle“, die Sie zu Polizei und Austauschdienst mitnehmen
Bei Betrug mit Krypto-Assets oder einer Anlage, bevor eine weitere Überweisung oder ein „Rückholunternehmen“ kommt, fassen Sie jede Zahlung und die Nachrichten auf 1 Blatt zusammen. Danach wenden Sie sich an die Polizei oder die Meldestelle für Cyberkriminalität Ihres Landes, an Ihre Bank oder Ihren Zahlungsdienst und an die Plattform. Diese Seite verspricht keine Wiedererlangung.
- Arbeitsblatt für eine IC3-Beschwerde: Was Sie vor dem Einreichen zusammentragen (Krypto- und Onlinebetrug)
Bereiten Sie jedes Feld vor, das das IC3 des FBI abfragt — Verluste, Transaktions-Hashes, Angaben zur Gegenseite, Kopfzeilen — und reichen Sie dann eine vollständige Beschwerde ein und bewahren Sie Ihre Kopie auf.
- Warum ein Unternehmen einen Zwilling braucht und wie Mithril ihn bereitstellt
Die Produktion ist der falsche Ort, um zu erfahren, wer ein sensibles System erreichen kann, wie eine Ablehnung aussieht oder ob der laufende Cluster dem deklarierten entspricht. Ein Zwilling behält diese Namen und wendet das Ergebnis nicht an. Mithril macht diesen Zwilling zu einem Dokument: Komponenten mit Reverse-Domain setzen sich zusammen, ein Lauf gibt die Antwort und die Entscheidung zurück, und ein Cluster wird gegen die Beobachtung geprüft, ohne gestartet zu werden.
- Kein gestohlener Schlüssel, $351 Millionen in einer Stunde — Bitgets Hot-Wallet-Einbruch und die Vertrauensgrenze des Freigabeablaufs
Bitget bestätigte am 25. September, dass etwa $351.6 Millionen aus Teilen seiner Hot- und Warm-Wallets in unautorisierten Überweisungen abflossen, die am 24. September um 18:31 UTC erkannt wurden. Seine Offline-Cold-Wallets werden als unberührt berichtet, Auszahlungen sind pausiert, und die Börse sagt, dass ihr User Protection Fund von $464 Millionen den gesamten Verlust deckt. Laut Bitget hat der Angreifer die privaten Schlüssel nicht an sich genommen, sondern ein Backend-System erreicht und Transaktionsdaten gefälscht, um den Freigabeablauf zur Freigabe von Mitteln zu lenken. Wir untersuchen die Frage der Zuschreibung an Lazarus und die Isomorphie mit dem Thema der Management- und Identitätsebene, das dieses Observatorium in den letzten Wochen behandelt hat.
- Die Woche, in der der Identitätsaussteller selbst fiel — F5 BIG-IP APM OAuth Zero-Day (CVE-2026-94127) und die Konzentration von KEV auf die Management- und Identitätsebenen
F5 hat am 22. September offengelegt, dass ein kritischer Zero-Day im OAuth-Pfad von BIG-IP APM (CVE-2026-94127, CVSS 9.8) unauthentifizierte Remote Code Execution erlaubt, und hat die Ausnutzung in the wild bestätigt. CISA hat ihn am selben Tag in den KEV-Katalog aufgenommen, mit einer bundesbehördlichen Frist am 25. September. Arista VCO und zwei Schwachstellen in Management-Servern von Check Point sind an diesem Tag ebenfalls in KEV aufgenommen worden — wir untersuchen die Konvergenz von Angriffen auf die Management- und Identitätsebenen von Boundary-Appliances.
- Die Woche, in der der Weg zu lokalem Root sich auf einmal öffnete — Linux-Kernel-LPEs treffen den KEV-Katalog von CISA, während öffentliche Exploits erscheinen
Am 18. September hat CISA drei aktiv ausgenutzte Schwachstellen im Linux-Kernel (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) in den KEV-Katalog aufgenommen, und Red Hat hat bestätigt, dass öffentlicher Exploit-Code existiert. Am selben Tag wurden funktionierende Exploits für vier Kernel-LPEs (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) unter koordinierter Offenlegung veröffentlicht. Wir untersuchen, warum Privilege Escalation auf gemeinsam genutzten Hosts den Boundary-Appliances ins Rampenlicht folgt.
- Ein Auth-Bypass maximaler Schwere trifft die Identitätsautorität selbst — Cisco ISE CVE-2026-76460 und das wiederkehrende Muster der Root-Kompromittierung von Boundary-Appliances
Der Authentication-Bypass CVE-2026-76460 (CVSS 10.0) in Cisco ISE / ISE-PIC wird aktiv ausgenutzt. CISA hat ihn am 16. September in den KEV-Katalog aufgenommen, mit einer bundesbehördlichen Frist zur Behebung am 19. September; es gibt keinen Workaround, und iACLs sind nur eine Mitigation. Wir untersuchen das Muster der Root-Kompromittierung von Boundary-Appliances — parallel zum Zero-Day des Secure Email Gateway (CVE-2026-76461), offengelegt am 14. September — und was es bedeutet, wenn die eigenen Logs einer kompromittierten Appliance aufhören, eine primäre Quelle zu sein.
- AI-Gateways werden zur Angriffsfläche — die KEV-Aufnahme von LiteLLM und der Pfad durch Schlüssel, MCP und die Cloud
Der MCP-Authentication-Bypass von BerriAI LiteLLM (CVE-2026-59822) ist im KEV-Katalog von CISA gelandet, und Microsoft berichtet, dass Angreifer LiteLLM-Gateways nutzen, um XMRig auszuliefern. Die Forschung von Wiz fand, dass etwa 1 von 10 der ~3,000 öffentlichen Instanzen den Standardschlüssel sk-1234 akzeptierte oder ohne Authentifizierung lief. Wir untersuchen, was es bedeutet, dass AI-Infrastruktur ein Tresor für Zugangsdaten ist.
- Wenn der Körper des Agenten gekapert wird — eine Erweiterung steuert AI-Assistenten über fünf Produkte
Forever Security zeigte, dass eine einzelne gewöhnliche Browser-Erweiterung die eingebaute AI von fünf Produkten steuern konnte — Chrome, Comet, Edge, Opera Neon und Claude. Gesondert berichtete Mandiant von einem Angreifer, der eine Sitzung eines AI-Coding-Assistenten kapert und den Wurm Shai-Hulud über etwa 100 Repositories verbreitet. Wir zeichnen die Vertrauensgrenzen agentischer Laufzeiten auf.
- Die „Patch-Gap“-Zero-Day-Kette — in Chromium bereits behobene, in Chrome noch nicht korrigierte Schwachstellen wurden innerhalb von 1 Woche von mehreren Spionagegruppen gemeinsam genutzt
Es wurde festgestellt, dass die Angriffskette BlueMoon, die den Ausbruch aus der V8-Sandbox von Chrome und den Missbrauch von Windows ALPC verkettet, nach der Beobachtung von Volexity zumindest von mehreren aus China stammenden Clustern gemeinsam genutzt wurde. Die Gefahr des „Patch Gap“ wird geordnet dargestellt: In Chromium war die Korrektur enthalten, in der stabilen Ausgabe von Chrome noch nicht.
- VC Brief: SYN Ventures — ein von Operatoren geführter Spezialfonds für Cybersicherheit
Ein von Operatoren geführter Fonds mit $900M AUM, aufgebaut von ehemaligen CISOs und Gründern. Wir setzen seine zwei Fonds und das Portfolio von ~40 Unternehmen zur Position von mithril.fund in Beziehung.
- Cisco Secure Email Gateway Zero-Day CVE-2026-76461 — wenn SQL Injection beim E-Mail-Parsing in Root-Ausführung endet
CVE-2026-76461 (CVSS 9.8) wird aktiv ausgenutzt und wurde in den KEV-Katalog von CISA aufgenommen. Wir legen das wiederkehrende Muster der "Root-Kompromittierung einer Boundary-Appliance" auseinander — und was es bedeutet, wenn den eigenen Logs der Appliance nicht mehr vertraut werden kann.
- Vorstellung des Blogs Security Observatory
Tägliche Beobachtung und Analyse von Nachrichten zur Cybersicherheit, Vorfällen und Entwicklungen von AI-Modellen, hier veröffentlicht.
- Ungesicherte Dateischreiben durch die Hinterklappe eines Mail-Gateways — FortiMail Zero-Day CVE-2026-104286 und die IBE-Funktion
Fortinet hat am 1. Oktober einen Path-Traversal-Zero-Day in FortiMail (CVE-2026-104286, CVSS 9.8) offengelegt, der unauthorisierte Schreiboperationen beliebiger Dateien erlaubt, und die Ausnutzung in the wild bestätigt. CISA hat ihn am selben Tag in den KEV-Katalog aufgenommen mit einer Bundesfrist vom 4. Oktober. Für keine der vier betroffenen Branches existiert ein gefestigtes Release, daher ist die IBE-Deaktivierung der vorübergehende Weg — wir stellen sie dem späten September-KEV-Anstieg gegenüber.
- Von Betrugsbetroffenen zu White Hats in Unternehmen: eine Karte der Landschaft der Cybersicherheit (2026)
Dreizehn Kategorien, von Hilfe für Betrugsbetroffene bis zu Sicherheitstests in Unternehmen, mit gemeldeten Verlusten, angekündigter Finanzierung, Marktprognosen nach Verlag und einem ehrlichen Status, wo Mithril steht.
- SAML-bedingter Memory-Overflow in NetScaler — CVE-2026-88779 in KEV (Frist: 7. Oktober)
Citrix hat einen Fehler bei der Begrenzung von Memory-Buffern in NetScaler ADC / Gateway offengelegt (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix gibt an, gezielte Angriffe auf nicht geminderte Bereitstellungen beobachtet zu haben, die zu einer Dienstverhinderung führen können. Der KEV-Eintrag der CISA belegt die Ausnutzung der Schwachstelle, und die Kurzbeschreibung sagt, der Fehler könne eine Dienstverhinderung ermöglichen. Keine der beiden Quellen bestätigt, dass betroffene Bereitstellungen tatsächlich ausgefallen sind. Die CISA hat den Eintrag am 4. Oktober hinzugefügt, Frist für Bundesbehörden ist der 7. Oktober. Zusammen mit CVE-2026-88771 und CVE-2026-88772 (beide am 27. September hinzugefügt) ist es der dritte NetScaler-KEV-Eintrag innerhalb von zwei Wochen, nicht der dritte Eintrag des Produkts insgesamt (frühere Einträge umfassen CVE-2023-4966). Global-Deny-List-Signaturen (v24 oder neuer) sind die vorübergehende Minderung, die Korrektur liegt in 14.1-73.41 / 13.1-64.28 oder neuer.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).