Im Linux-Kernel zeigt sich mit Copy Fail eine deterministische Privilege Escalation, die nahezu alle großen Distributionen seit 2017 betrifft. Parallel läuft eine Massenausnutzung einer Authentifizierungsumgehung in cPanel und WHM, begleitet von einer Sorry-Ransomware-Welle gegen Hosting-Server. Hinzu kommen ein PAN-OS-Vorfall mit aktiver Ausnutzung pre-Patch sowie mehrere Supply-Chain-Kompromittierungen in npm und PyPI.
Active Exploitation
Copy Fail im Linux-Kernel wurde am 29. April 2026 als CVE-2026-31431 offengelegt. Die Lücke sitzt im algif_aead-Modul der AF_ALG-Schnittstelle und erlaubt einem lokalen Nutzer ohne Privilegien das Erlangen von Root durch Manipulation des Page Cache privilegierter Binaries. Betroffen sind Kernel von 4.14 bis 6.19.12, Fixes liegen in 6.18.22, 6.19.12 und 7.0 vor. Die CISA nahm die Schwachstelle am 1. Mai 2026 in den KEV-Katalog auf.
cPanel und WHM Authentication Bypass wird unter CVE-2026-41940 aktiv ausgenutzt. Die Sorry-Ransomwaregruppe setzt einen Go-basierten Linux-Encryptor ein, der Dateien mit ChaCha20 verschlüsselt und die Erweiterung .sorry anhängt. Laut heise berichten Sicherheitsforscher von weltweit mehr als 44.000 erfolgreichen Attacken, davon mehr als 4.000 in Deutschland. Auch in unserer Lagebeobachtung tauchten kompromittierte Hosts mit dem typischen Datei-Marker auf, was die Mass-Exploitation-Hypothese stützt.
PAN-OS Captive Portal ist über CVE-2026-0300 für unauthentisierte Code-Ausführung mit Root-Rechten anfällig. Palo Alto Networks beschreibt im PSIRT-Advisory einen Buffer Overflow im User-ID Authentication Portal von PA- und VM-Serien-Firewalls und beobachtet limitierte Ausnutzung pre-Patch. Die ersten Fixes sind für den 13. Mai 2026 angesetzt, eine zweite Welle für den 28. Mai 2026. Bis dahin empfiehlt der Vendor das Deaktivieren des Captive Portals oder das Beschränken auf vertrauenswürdige Zonen.
Weaver E-cology RCE wird laut The Hacker News seit dem 17. März 2026 ausgenutzt, fünf Tage nach dem Patch des Vendors. CVE-2026-22679 erlaubt unauthentisiertes Remote Code Execution über den /papi/esearch/data/devops/dubboApi/debug/method-Endpoint. Das Vega Research Team beobachtete bei einer Intrusion eine RCE-Verifikation mit anschließenden Payload-Drops und einem MSI-Installer namens fanwei0324.msi. Betroffen ist E-cology 10.0 vor Build 20260312.
MetInfo CMS Code Injection wird laut VulnCheck-Analyse seit dem 25. April 2026 gegen Honeypots in den USA und Singapur eingesetzt, mit deutlichem Anstieg am 1. Mai aus chinesischen und Hongkonger IP-Bereichen. CVE-2026-29014 betrifft die Versionen 7.9, 8.0 und 8.1 und liegt im Skript weixinreply.class.php bei unzureichender Eingabevalidierung der WeChat-API-Verarbeitung. Patches stehen seit dem 7. April 2026 bereit, rund 2.000 Instanzen sind weiterhin im Internet erreichbar.
Windows Shell Spoofing wurde mit CVE-2026-32202 in den KEV-Katalog aufgenommen. Akamai bezeichnet die Lücke als unvollständigen Patch zu CVE-2026-21510 und beschreibt einen Zero-Click-Pfad zur Anmeldedaten-Erfassung über automatisch geparste LNK-Dateien. CERT-UA dokumentiert frühere Ausnutzung von CVE-2026-21510 durch APT28 gegen Ziele in der Ukraine und der EU im Dezember 2025. CISA setzte FCEB-Behörden eine Patch-Frist bis zum 12. Mai 2026.
LiteLLM SQL Injection nach CVE-2026-42208 wurde laut Sysdig rund 36 Stunden nach Indexierung im GitHub-Advisory aktiv ausgenutzt. Die Injection sitzt im Pfad der API-Key-Verifikation vor der Authentifizierung und erlaubt das Auslesen sensibler Datenbanktabellen mit Anmeldedaten und Provider-Credentials. Version 1.83.7 schließt die Lücke durch korrektes Parameter-Binding.
Critical Vulnerabilities
GitHub Push-Pipeline RCE unter CVE-2026-3854 ermöglichte laut GitHub Security das Einschleusen von Feldern in interne Server-Metadaten über speziell präparierte git push-Operationen. Wiz reproduzierte die Lücke und meldete sie am 4. März 2026, GitHub.com erhielt den Fix binnen weniger Stunden. Patches für GHES liegen in 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7 und 3.19.4 vor, der Anbieter weist auf nicht aktualisierte Self-Hosted-Instanzen als verbleibendes Risiko hin.
Gemini CLI Workspace Trust trägt einen GHSA-Eintrag mit CVSS 10.0 und betrifft @google/gemini-cli vor 0.39.1 sowie die GitHub-Action run-gemini-cli vor 0.1.22. Der Headless-Modus lud Konfigurationen aus dem Workspace ohne Sandbox-Prüfung, was Code-Ausführung auf dem Host vor Sandbox-Initialisierung erlaubte. Google adressiert das Verhalten durch erzwungenes Folder-Trust und empfiehlt das Setzen von GEMINI_TRUST_WORKSPACE nur für vertrauenswürdige Inputs.
Apache HTTP Server Double Free über CVE-2026-23918 betrifft mod_http2 in Version 2.4.66 und ist in 2.4.67 behoben. Laut Apache Advisory tritt der Double Free im Stream-Cleanup-Pfad in h2_mplx.c auf, wenn ein HTTP/2 HEADERS-Frame unmittelbar von einem RST_STREAM mit nicht-null Error Code gefolgt wird. Die Forscher beschreiben einen trivialen DoS und einen funktionierenden RCE-PoC auf x86_64 unter APR mit mmap-Allocator.
EnOcean SmartServer ist laut Claroty über CVE-2026-22885 und CVE-2026-20761 remote angreifbar. CVE-2026-22885 erlaubt das Auslesen von Programmspeicher über speziell konstruierte IP-852 LON-Management-Messages, CVE-2026-20761 ermöglicht im selben Pfad eine OS Command Injection mit Code-Ausführung auf dem Gerät. Die Verkettung beider Schwachstellen führt laut Claroty zu einer vollständigen Übernahme des Linux-basierten Geräts mit Root-Rechten. EnOcean hat den Patch in SmartServer 4.6 Update 2 (4.60.023) bereitgestellt, ältere i.LON-Geräte sind ebenfalls betroffen.
Android Patch Level 2026-05-01 schließt mit CVE-2026-0073 eine als kritisch eingestufte Remote-Code-Execution-Lücke im Debugging-Modul adbd. Laut Android Security Bulletin sind Android 14, 15, 16 und 16qpr2 betroffen. Hinweise auf aktive Ausnutzung liegen nicht vor.
WhatsApp Attachment Spoofing und URL-Scheme sind durch CVE-2026-23863 und CVE-2026-23866 dokumentiert. Laut WhatsApp Security Advisories ermöglicht NUL-Byte-Manipulation im Dateinamen das Tarnen ausführbarer Anhänge auf Windows; die zweite Lücke triggert in iOS- und Android-Builds OS-Custom-Scheme-Handler über AI-Rich-Response-Verarbeitung. Eine Ausnutzung in freier Wildbahn ist nicht belegt.
SonicOS Management-Interface-Zugriff wird laut SonicWall PSIRT über CVE-2026-0204, CVE-2026-0205 und CVE-2026-0206 beschrieben. Die Kette deckt schwache Authentifizierung im Management-Interface, eine Path Traversal für angemeldete Nutzer und einen Stack Buffer Overflow mit DoS-Wirkung ab. Fixes liegen in 6.5.5.2-28n, 7.3.2-7010 und 8.2.0-8009 vor; CrowdStrike hat alle drei Lücken gemeldet.
Supply Chain
DAEMON Tools Trojanisierung wird seit dem 8. April 2026 verteilt und betrifft laut BleepingComputer die offiziellen Installer in den Versionen 12.5.0.2421 bis 12.5.0.2434. Manipuliert wurden die Binaries DTHelper.exe, DiscSoftBusServiceLite.exe sowie DTShellHlp.exe. Kaspersky beobachtete tausende Infektionen in mehr als 100 Ländern, jedoch nur ein Dutzend Fälle mit Second-Stage-Payloads, darunter ein als QUIC RAT bezeichneter Backdoor. Der Anbieter wertet die Strings im First Stage als Hinweis auf einen chinesisch-sprachigen Operator.
Mini Shai-Hulud gegen SAP-NPM kompromittierte am 29. April 2026 laut The Hacker News mehrere Pakete des SAP-Ökosystems, darunter mbt@1.2.48, @cap-js/db-service@2.10.1, @cap-js/postgres@2.2.2 sowie @cap-js/sqlite@2.2.2. Ein Preinstall-Hook lädt eine Bun-Runtime aus GitHub Releases und führt einen Credential-Stealer aus, der GitHub-, npm-, AWS-, Azure-, GCP- und Kubernetes-Secrets erfasst. Die Exfiltration erfolgt verschlüsselt mit AES-256-GCM und RSA-4096 in vom Opfer angelegte GitHub-Repositories.
PyTorch Lightning auf PyPI wurde am 30. April 2026 in den Versionen 2.6.2 und 2.6.3 mit demselben Mini-Shai-Hulud-Toolkit kompromittiert. Laut The Hacker News startet die Kette aus einem versteckten _runtime-Verzeichnis ein start.py, das Bun nachlädt und ein 11 MB obfuskiertes router_runtime.js ausführt. Erbeutete GitHub-Tokens werden zur Verbreitung worm-artiger Commits in bis zu 50 Branches missbraucht. PyPI hat das Projekt unter Quarantäne gestellt; die saubere Vorgängerversion 2.6.1 ist die empfohlene Rückfallebene.
Quick Page/Post Redirect Backdoor betrifft laut BleepingComputer rund 70.000 WordPress-Installationen. Die Plugin-Versionen 5.2.1 und 5.2.2 enthielten ein Self-Update gegen w.anadnet.com, das in einem 5.2.3-Build einen passiven Backdoor nachschob. Der Hook in the_content aktiviert die Logik nur für ausgeloggte Besucher und blieb seit 2021 dormant, da die Steuerdomain derzeit nicht auflöst. WordPress.org hat das Plugin temporär entfernt.
PromptMink in npm beschreibt ReversingLabs als zweistufige Abhängigkeitskette aus mit generativer KI erstellten Paketen wie @validate-sdk/v2 und @solana-launchpad/sdk, in der erst die zweite Schicht den Credential-Diebstahl in Krypto-Wallets durchführt. Ein konkreter Commit in openpaw-graveyard wurde gemeinsam mit Anthropics Claude Opus als Co-Author signiert. Das erste Paket dieser Kampagne erschien im September 2025 unter @hash-validator/v2.
Threat Actors & Campaigns
ScarCruft mit BirdCall für Android kompromittierte laut ESET-Analyse die Spieleplattform sqgame.net und lieferte über trojanisierte APKs eine neue Android-Variante des bislang Windows-fokussierten Backdoors. Die Kampagne richtet sich gegen ethnische Koreaner in der Region Yanbian. ESET identifizierte sieben Versionen des Android-Implants, das Kontakte, SMS, Standort, Mediendateien und private Schlüssel exfiltriert sowie zwischen 19 und 22 Uhr Ortszeit Mikrofonaufnahmen anfertigt. Die Zuschreibung an APT37 stammt aus dem ESET-Bericht.
Karakurt-Verurteilung traf laut The Record den lettischen Verhandler Deniss Zolotarjovs mit acht Jahren Haft, im BleepingComputer-Bericht mit 8,5 Jahren beziffert. Die US-Anklage ordnete die Aktivität von Juni 2021 bis März 2023 zu, mit einem Gesamtschaden von 56 Millionen US-Dollar über mehr als 53 Opfer. Die Gruppe firmierte unter Marken wie Conti, Karakurt, Royal, TommyLeaks, SchoolBoys und Akira.
BlackCat-Insider-Verurteilung in den USA traf laut SecurityWeek Ryan Goldberg und Kevin Martin mit jeweils vier Jahren Haft. Die beiden waren in der Cybersicherheits-Branche tätig und führten eigene Erpressungsangriffe mit der BlackCat-/Alphv-Ransomware durch. Sie zahlten 20 Prozent des Lösegelds an die Operation und erbeuteten in einem Fall 1,2 Millionen US-Dollar von einem einzelnen Opfer.
Harvester mit GoGra für Linux hat laut Symantec-Analyse einen Linux-Port seines Backdoors GoGra entwickelt, der die Microsoft-Graph-API und Outlook-Postfächer als Command-and-Control-Kanal nutzt. Hartcodierte Azure-AD-Anmeldedaten rufen im Zwei-Sekunden-Takt einen Mailbox-Ordner ab und verarbeiten verschlüsselte Befehle. Erste VirusTotal-Einreichungen stammen aus Indien und Afghanistan, was den südasiatischen Fokus der Gruppe stützt.
Silver Fox mit ABCDoor richtet laut The Hacker News tax-themed Phishing gegen Organisationen in Indien und Russland. Eine Welle von über 1.600 Mails zwischen Anfang Januar und Anfang Februar lieferte einen modifizierten Rust-Loader auf Basis von RustSL, der den ValleyRAT-Backdoor sowie das neue Python-Backdoor ABCDoor nachlädt. Die Geofencing-Liste der Loader-Variante umfasst Indien, Indonesien, Südafrika, Russland und Kambodscha. Eine weitere Variante setzt eine als Phantom Persistence beschriebene Methode ein, die Shutdown-Signale abfängt und einen Reboot zur Persistenz erzwingt.
Microsoft Code-of-Conduct-Phishing traf laut Microsoft Defender Research zwischen dem 14. und 16. April 2026 mehr als 35.000 Nutzer in 13.000 Organisationen über 26 Länder. 92 Prozent der Ziele lagen in den USA und verteilten sich über alle Branchen, mit Schwerpunkten auf Healthcare and life sciences (19 Prozent), Financial services (18 Prozent) sowie Professional services und Technology and software (jeweils 11 Prozent). Die Kette nutzt CAPTCHA-gestaffelte Zwischenseiten und endet in einem AiTM-Sign-in, das nicht-phishing-resistente MFA umgeht.
VENOMOUS#HELPER mit RMM-Missbrauch richtete sich laut Securonix seit April 2025 gegen über 80 Organisationen, überwiegend in den USA. Die Phishing-Mails imitieren die US Social Security Administration und liefern eine als SSA-Statement getarnte JWrapper-Executable, die SimpleHelp 5.0.1 als Windows-Service mit Safe-Mode-Persistenz installiert. Anschließend wird ConnectWise ScreenConnect als Fallback-Kanal nachinstalliert.
Tools & Techniques
DEEP#DOOR Python-Backdoor wird laut Securonix über ein Batch-Skript install_obf.bat installiert, das eine eingebettete Python-Implementierung extrahiert und Persistenz über Startup-Ordner, Registry-Run-Keys, Scheduled Tasks und WMI-Subscriptions setzt. Die Kommunikation läuft über den Tunneling-Dienst bore.pub, ein Rust-basiertes Reverse-Tunnel-Werkzeug. Funktional deckt das Implant Reverse Shell, Keylogging, Browser-Credential-Diebstahl, SSH-Key-Extraktion und Webcam-Zugriff ab.
ConsentFix v3 gegen Azure wird laut BleepingComputer in Hackerforen als automatisierte Variante der OAuth-Phishing-Methode beworben. Die Technik missbraucht den OAuth2-Authorization-Code-Flow gegen vor-konsentierte Microsoft-Apps und prüft vorab Tenant-IDs auf Existenz. Anschließend werden Konten bei Outlook, Tutanota, Cloudflare, DocSend, Hunter.io und Pipedream automatisiert für Phishing-Hosting und Datensammlung angelegt.
VNC- und RDP-Exposition umfasst laut Forescout rund 1,8 Millionen RDP- und 1,6 Millionen VNC-Server im offenen Internet. 91.000 RDP- und 29.000 VNC-Systeme lassen sich konkreten Branchen zuordnen, darunter Healthcare, Bildung und Manufacturing. Forescout meldet 670 VNC-Server mit direktem ICS/OT-Zugriff ohne Authentifizierung sowie etwa 19.000 RDP-Server, die für die ältere BlueKeep-Schwachstelle anfällig sind.
AWS Cognito Multi-SSO User Pools beschreibt Doyensec in einem Tidbit-Blog als wiederkehrende Fehlerquelle in SaaS-Mandantenmodellen. Wenn ein Pool mehrere externe IdPs gleichzeitig hostet und die Trust-Relation nicht pro Tenant strikt isoliert ist, lassen sich über die CreateIdentityProvider-API Cross-Tenant-Login-Pfade öffnen. Der Beitrag liefert IaC-Labs zur Reproduktion.
Patches & Advisories
Oracle Monthly CSPU startet laut SecurityWeek am 28. Mai 2026 mit der ersten monatlichen Kritisch-Patch-Veröffentlichung, ergänzt um eine zweite am 16. Juni und eine dritte am 18. August. Die quartalsweise CPU im Juli bündelt anschließend neue Fixes mit den vorherigen monatlichen Patches. Oracle begründet den Schritt mit dem Einsatz frontaler KI-Modelle in der internen Schwachstellenanalyse.
cPanel Notfall-Update liefert laut cPanel-Advisory die Versionen 11.86.0.41, 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.130.0.19, 11.132.0.29, 11.134.0.20 und 11.136.0.5 sowie WP Squared 136.1.7 als Behebung von CVE-2026-41940. cPanel stellt zusätzlich ein Skript zur Erkennung kompromittierter Instanzen bereit. Alle Versionen nach 11.40 gelten als verwundbar.
Apache HTTP Server 2.4.67 behebt mehrere Schwachstellen, darunter CVE-2026-23918 in mod_http2 sowie CVE-2026-28780, einen Buffer Overflow in ajp_msg_check_header in Versionen bis 2.4.66. Das Apache-Security-Bulletin empfiehlt das umgehende Upgrade.
GitHub Enterprise Server Updates für CVE-2026-3854 liegen laut GitHub Security Blog in 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.7, 3.19.4 sowie 3.20.0 oder neuer vor. Die GitHub.com-Telemetrie zeigte keine Ausnutzung außerhalb des Wiz-Tests, ein hoher Anteil der erreichbaren GHES-Instanzen blieb zum Zeitpunkt der Veröffentlichung jedoch ungepatcht.
Reports & Research
Instructure-Datenleck betrifft laut BleepingComputer nach Angaben des angeblichen Täters 280 Millionen Datensätze aus 8.809 Schulen, Hochschulen und Bildungsplattformen, die das Canvas-LMS einsetzen. Der Akteur ShinyHunters reklamiert die Tat und gibt an, die Daten über Canvas-Exportfunktionen wie DAP-Queries, Provisioning Reports und User-APIs erfasst zu haben. Mehrere Universitäten haben eigene Stellungnahmen zur möglichen Betroffenheit veröffentlicht.
Microsoft Phishing-Lagebild Q1 2026 dokumentiert laut Microsoft etwa 8,3 Milliarden e-mail-basierte Phishing-Angriffe zwischen Januar und März 2026. Rund 80 Prozent waren link-basiert, QR-Code-Phishing zeigte das stärkste Wachstum, Malware-Auslieferung sank auf fünf bis sechs Prozent. Die Tycoon-2FA-Operatoren wechselten nach der Disruption im März 2026 weg von Cloudflare zu alternativen Hosting-Anbietern.
Policy & Regulation
EU-Brief zu Mythos und Glasswing wurde laut BankInfoSecurity von Abgeordneten des Europäischen Parlaments an Kommissionsvizepräsidentin Henna Virkkunen gerichtet. Die Unterzeichner fordern Zugang zum Anthropic-Programm Project Glasswing, beschleunigte Adoption von Zero-Trust-Architekturen und assume-breach-Prinzipien sowie eine Reform der Vulnerability-Disclosure-Frameworks. Die Kommission bestätigte, bislang keinen Zugang zu Mythos zu haben.
CISA-KEV-Erweiterungen umfassten in diesem Zeitraum CVE-2026-31431 (Linux Copy Fail), CVE-2026-41940 (cPanel), CVE-2026-32202 (Windows Shell) sowie CVE-2024-1708 in ConnectWise ScreenConnect. Die CISA-KEV-Liste setzt FCEB-Behörden gestaffelte Patch-Fristen unter BOD 22-01 mit Endpunkten bis 12. Mai 2026.
Take-Aways
Copy Fail erzwingt eine Re-Priorisierung des Linux-Patch-Plans, da die Lücke deterministisch, mit einem 732-Byte-PoC ausnutzbar und über AF_ALG auch aus Containern erreichbar ist. Die cPanel-Welle zeigt, wie schnell ein Hosting-Authentifizierungs-Bypass in eine Ransomware-Operation umschlägt, sodass exponierte Management-Oberflächen nach dem Patch eine forensische Nachprüfung mit dem Vendor-Skript benötigen. PAN-OS-Betreiber sollten das Captive Portal bis zur Verfügbarkeit der gestaffelten Patches deaktivieren oder strikt auf Trusted Zones beschränken. Die parallele Mini-Shai-Hulud-Welle gegen SAP-NPM und PyTorch Lightning erfordert die Rotation aller in Build-Pipelines verfügbaren Tokens, da der Stealer GitHub-, npm- und Cloud-Secrets gleichermaßen erfasst. Die Aufnahme von CVE-2026-32202 in den KEV-Katalog macht zudem deutlich, dass unvollständige Patches einer früheren RCE als eigene Risikoquelle behandelt werden müssen.