Google schließt 200 Android-Schwachstellen im September-Sicherheitsupdate

Google hat das Android-Sicherheitsupdate für September 2026 veröffentlicht, das 200 Schwachstellen behebt, darunter einen kritischen Wi-Fi-bezogenen Fehler, der Remote-Code-Ausführung ohne Interaktion des Nutzers ermöglichen könnte. Das besorgniserregendste Problem ist laut Adam Boynton, Enterprise Strategy Manager bei Jamf, CVE-2026-28662, ein Speicherkorruptionsfehler in der Wi-Fi-Verarbeitung. Wenn er nicht gepatcht wird, könnte ein Angreifer ihn ausnutzen, um Code remote ohne zusätzliche Privilegien oder einen Klick des Opfers auszuführen und möglicherweise Privilegien auf dem Gerät zu erweitern. Boynton betonte, dass Organisationen das Update so schnell wie möglich auf Geräteflotten verteilen sollten.

Google kündigte außerdem einen Wechsel zu einem zweiwöchigen Rhythmus für wichtige Chrome-Meilensteine an, mit wöchentlichen Sicherheitsupdates. Das Unternehmen sagt, dies sei eine Reaktion auf die sich verändernde Cybersicherheitslandschaft im KI-Zeitalter, in der die von großen Sprachmodellen (LLM) unterstützte Entdeckung von Schwachstellen die Anzahl der Patches erhöht hat. Google weist darauf hin, dass das Finden und Beheben von mehr Fehlern kein Zeichen von Versagen ist; jeder behobene Fehler beseitigt einen Angriffspunkt für Angreifer. Der kürzere Veröffentlichungszyklus soll die Patch-Lücke verringern, die Zeit zwischen dem Bekanntwerden einer Schwachstelle und dem Erreichen eines Fixes bei Endnutzern. Google hatte Chrome 2021 auf einen vierwöchigen Zyklus umgestellt, von sechs Wochen, und andere Browserhersteller wie Microsoft, Mozilla und Brave haben ähnliche Schritte unternommen.

Ein separater Bericht von Socket beschreibt vier bösartige Browser-Erweiterungen, die Kryptowährungs-Session-Token und Wallet-Daten von Nutzern von Axiom Trade und Padre stehlen. Die Erweiterungen sind J7Tracker für Chrome, VREO für Chrome und Firefox sowie Orbit Tracker für Firefox. Socket sagt, dass das Datensammelmodul bei den ersten drei byte-identisch ist und automatisch authentifizierte Benutzerinformationen, wallet-bezogene Bundle-Daten, Firebase-Zugriffstoken und Anwendungsstatus abruft und diese Informationen an von Angreifern kontrollierte Vercel-Deployments sendet. Die vierte Erweiterung verwendet einen anderen Collector, zielt aber auf dieselben Daten ab und behält Artefakte von J7Tracker. Derselbe Chrome-Herausgeber wurde mit zwei früheren Erweiterungen in Verbindung gebracht, GhostApe und GhostApe Color, die das MockApe-Handels-Add-on nachahmten.

Der Hersteller von Hardware-Wallets für Kryptowährungen, Trezor, warnte Kunden vor Phishing-E-Mails, nachdem sein Drittanbieter-E-Mail-Anbieter Brevo eine Sicherheitsverletzung erlitten hatte, die 120 Konten betraf, darunter das von Trezor. Der Vorfall legte die Opt-in-Newsletter-Datenbank von Trezor offen, etwa 347.000 E-Mail-Adressen. Angreifer sendeten eine Phishing-E-Mail mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ vom kompromittierten Konto. Die E-Mail enthielt einen bösartigen Link, der Nutzer aufforderte, eine App herunterzuladen und ihr Wallet-Backup einzugeben. Trezor hat das Brevo-Konto gesperrt, um weiteren Missbrauch zu stoppen, und die bösartige Domain wurde inzwischen abgeschaltet.

Eine große gefälschte E-Commerce-Operation namens DoppelCart hat mehr als 119.000 Domains genutzt, um ein Netzwerk betrügerischer Shops zu betreiben, die Zahlungskartendaten stehlen. Laut Netby kopieren die Shops Produktkataloge, Beschreibungen, Branding und Bilder von echten Unternehmen und laden manchmal Assets direkt von den Servern des legitimen Unternehmens. Insgesamt imitieren die gefälschten Shops 44.182 verschiedene Marken, mit einem Median von zwei Klonen pro Marke. Jeder Klon unterbietet die Preise der echten Marke und veröffentlicht die eigene Support-Adresse der Marke erneut, sodass Opfer, denen Kosten berechnet werden, sich beim echten Unternehmen beschweren statt bei den Betrügern.

Daten der Shadowserver Foundation zeigen, dass mehr als 33.800 exponierte Plex-Server weiterhin anfällig für kürzlich offengelegte Schwachstellen sind. Diese Zahl ist von einem Höchststand von 37.467 am 5. September 2026 gesunken, hinterlässt aber immer noch eine große Angriffsfläche. Fast 20.000 dieser Instanzen befinden sich in Nordamerika. Plex ist eine Media-Server-Anwendung, und wenn sie ohne Patch direkt ins Internet exponiert wird, können Angreifer bekannte Schwachstellen erreichen.

Der DFIR Report beschreibt eine Angriffskette, die mit einem bösartigen MSI-Installer beginnt, der als Sysinternals-Tool getarnt ist. Der Installer setzt EtherRAT ab, und die Intrusion liefert später ein KI-generiertes Malware-Framework namens TukTuk und das legitime Remote-Management-Tool GoTo Resolve. TukTuk kann die Arweave-Blockchain als Dead-Drop-Resolver nutzen: Das Implantat fragt die Blockchain nach einer bestimmten Drive-Id ab und ruft dann einen verschlüsselten Konfigurationsblob ab, der Anmeldeinformationen für seine Command-and-Control-Kanäle enthält. Nachdem sich der Angreifer Zugang verschafft hatte, führte er Hands-on-Keyboard-Aktivitäten, Kerberoasting und Credential Discovery gegen Administratorkonten durch und nutzte dann kompromittierte Dienstkonto-Anmeldeinformationen, um GoTo Resolve lateral über Server und Domänencontroller zu verteilen. Die letzte Phase war Datenexfiltration zu einem Cloud-Dienst und die Bereitstellung der Ransomware The Gentlemen.

Das britische National Cyber Security Centre (NCSC) hat gewarnt, dass Mitarbeiter, die nicht genehmigte KI-Tools verwenden, sensible Unternehmensdaten preisgeben und Risiken schaffen können, die Organisationen möglicherweise schwer zu erkennen und zu managen sind. Das NCSC sagt, dass die Bereitstellung von Shadow-AI-Zugriff auf Unternehmens- oder Kundendaten wahrscheinlich das Risiko von Datenlecks, Verlust von geistigem Eigentum und regulatorischem Versagen erhöht. KI-Agenten sind komplexe Software und können kritische Sicherheitslücken haben; wenn ein Angreifer eine ausnutzt, kann er dieselben Daten, Dienste und Privilegien erlangen, die der Agent legitim hat.

Hunt.io berichtete über einen chinesischsprachigen Operator, der Anthropic Claude Code, Alibaba Qwen und DeepSeek nutzte, um Intrusionen gegen Regierungs- und Finanzsysteme in Afghanistan, Thailand, Taiwan und den Vereinigten Staaten zu automatisieren. Zu den Zielen gehörten die Kuomintang-Parteigeschichtsarchive in Taiwan, das indonesische Außenministerium, Regierungs- und Bildungssysteme in Festlandchina und industrielle Hosts in Da Nang, Vietnam. Der Angreifer verwendete SecFlow, ein KI-Orchestrierungsframework, um Kampagnenziele in Aufgaben für spezialisierte KI-Agenten umzuwandeln und Aufklärung, Ausnutzung, Sammlung und Berichterstattung unter spezialisierten Arbeitern aufzuteilen. Ausgenutzte Schwachstellen umfassten Shellshock, Spring4Shell, Ghostcat, Shiro-Deserialisierung, Log4Shell, Grafana- und Nexus-Pfadtraversierungen und einen Nacos-Authentifizierungs-Bypass. Nach der Ausnutzung setzte der Angreifer Web-Shells ab, die über eine dedizierte GLUTTON-Fähigkeit generiert wurden, und führte dann Aufklärung, Privilegienerweiterung, Credential-Diebstahl und die Bereitstellung benutzerdefinierter Implantate durch. Eine Backdoor, SecBox, ist ein Go-basiertes Remote-Access- und Netzwerk-Pivot-Framework. Details der Kampagne kamen erstmals im Juli 2026 ans Licht.

Gen Digital beschrieb eine Phantom-Deal-Betrugskampagne, bei der Angreifer sich als Führungskräfte ausgeben und Ziele in Rechtsteams dazu bringen, Gespräche auf WhatsApp und persönliche E-Mail zu verlagern. Das Ziel ist, internationale Überweisungen mit gefälschten Übernahmedokumenten als Teil eines M&A-Betrugs einzuleiten. Zu den Zielen gehörten Führungskräfte in Private Equity, Industriefinanzierung, Vertrieb, Bergbau und Energie. Die Dokumente folgten im Wesentlichen derselben Abfolge von Abschnitten und verwendeten dieselbe Rechtssprache, verhängten Vertraulichkeit, lenkten die Kommunikation auf WhatsApp und persönliche E-Mail und führten einen kurzen Zeitraum zwischen dem NDA-Datum und der angeblichen öffentlichen Ankündigung ein.

Microsoft fügt Windows 11 Alterserkennungs-APIs namens Windows Age API hinzu. Apps können feststellen, ob ein Nutzer ein Kind, Teenager oder Erwachsener ist, ohne das genaue Geburtsdatum zu erhalten. Microsoft sagt, Apps erhalten nur das altersbezogene Signal, das für die Erfahrung benötigt wird, nicht sensible persönliche Daten wie das vollständige Geburtsdatum, und dass Alterserkennung auf Plattformebene Entwicklern hilft, Schutzmaßnahmen von Anfang an zu integrieren.

Die Polizei von Singapur verhaftete zwei chinesisch-malaysische Männer im Alter von 25 und 47 Jahren, weil sie angeblich Singpass-Konten kompromittiert hatten. Die beiden arbeiteten in einem Mobilfunkgeschäft. Einer soll angeboten haben, einem Kunden beim Aktualisieren der mit seinem Singpass-Konto verknüpften Mobilfunknummer zu helfen, als dieser eine neue SIM-Karte kaufte, und dann diese Gelegenheit genutzt haben, um ohne Wissen des Kunden ein LiquidPay-Konto zu erstellen. Ermittlungen fanden über 170 Bürger und ausländische Arbeiter, deren Singpass-Konten mit dem Schema verknüpft waren, und diese Konten wurden verwendet, um mehr als 160 weitere LiquidPay-Konten zu registrieren.

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) veröffentlichte einen aktualisierten Insider Threat Mitigation Guide. Das Update hebt die wachsenden Auswirkungen von Insider-Bedrohungen auf kritische Infrastrukturen, die dynamische operative Landschaft und neue Anwendungsfälle hervor. Wichtige Aktualisierungen betreffen hybrides und Remote-Arbeiten, die Nutzung von KI für Manipulation und Täuschung, Zugriffskontrolle und Besucherüberprüfung.

James Strahler II, 37, aus Columbus, wurde in den USA zu 15 Jahren Gefängnis verurteilt, weil er echte und KI-generierte sexuell explizite Bilder verwendete und Opfer mit Gewaltdrohungen einschüchterte. Laut Justizministerium hatte Strahler mehr als 24 KI-Plattformen und mehr als 100 KI-webbasierte Modelle auf seinem Telefon installiert. Von Dezember 2024 bis Juni 2025 sandte er belästigende Nachrichten an mindestens sechs erwachsene weibliche Opfer, darunter Nacktbilder, sowohl echte als auch KI-generierte. Er veröffentlichte auch KI-generierte Obszönitäten von Kindern online. Er erstellte mehr als 700 Bilder und veröffentlichte sie auf einer Website, die dem sexuellen Missbrauch von Kindern gewidmet ist. Er wurde im Juni 2025 verhaftet.

Sergei Anatolyevich Filimonov, 36, ein russischer Staatsangehöriger und Webentwickler, wurde in die USA ausgeliefert, um sich wegen eines transnationalen Bankkonto-Übernahme-Betrugsschemas vor Gericht zu verantworten. Das Justizministerium sagt, Filimonov und Mitverschwörer verwendeten gefälschte Domains, die Websites von bundesversicherten Finanzinstituten nachahmten, kauften gesponserte Suchmaschinen-Links, um Kunden auf gefälschte Login-Seiten umzuleiten, und nutzten gestohlene Anmeldeinformationen, um auf Konten zuzugreifen und unbefugte Überweisungen einzuleiten. Filimonov wird beschuldigt, Online-Infrastruktur entwickelt und gewartet zu haben, darunter interaktive Datenbanken mit mehr als 5.000 gestohlenen Login-Daten und Software, die darauf ausgelegt ist, Authentifizierungsdaten zu sammeln und zu übertragen. Eine mit dem Schema verbundene Backend-Domain wurde im Dezember 2025 beschlagnahmt. Filimonov hat sich nicht schuldig bekannt.

Ein separater Punkt erwähnte, dass ein singapurischer Rädelsführer hinter einem Kryptowährungsdiebstahl von 245 Millionen Dollar sich schuldig bekannt hat.

Zusammengenommen zeigen die Berichte, dass viele erfolgreiche Angriffe auf schwachen Rändern, ungepatchter Software und falsch platziertem Vertrauen beruhen, nicht auf raffinierter Magie. Angreifer stochern weiter in alten Fehlern, exponierten Diensten und menschlichen Routinen. Für Website-Betreiber und IT-Teams ist die praktische Antwort dieselbe: schnell patchen, Zugriff beschränken, vor dem Klicken verifizieren und Infrastruktur aktuell halten. Für Leser, die Websites betreiben, verstärken die Geschichten der Woche, warum Patchen und sichere Hosting-Infrastruktur wichtig sind; AEU Hosting bietet managed WordPress-Hosting, das durchgängig abgesichert ist, was dazu beitragen kann, Websites weniger anfällig für gängige Web-Bedrohungen zu machen.