Laravel auth bypass führt eine Woche mit kritischen Web-Sicherheitslücken an
Der Laravel auth bypass gehört zu den dringendsten Web-Sicherheitsproblemen, die in dieser Woche offengelegt wurden. CVE-2026-114509, mit 9.2 auf dem zehnstufigen Common Vulnerability Scoring System (CVSS) bewertet, betrifft die integrierte Authentifizierungskomponente TokenGuard des Frameworks. Bei bestimmten Konfigurationen von zwei miteinander verwandten Open-Source-Datenbankservern kann ein speziell gestalteter Berechtigungsnachweis, der nicht aus gewöhnlichem Text besteht, dazu führen, dass eine Authentifizierungsabfrage einen unbeabsichtigten Benutzer auswählt, anstatt die Anfrage abzulehnen. Ein nicht authentifizierter Angreifer könnte sich dadurch als bestehender Benutzer bei einer Anwendung anmelden, ohne das application programming interface (API) token dieser Person zu kennen. Laravel hat das Problem in den Versionen 13.29.0 und 12.68.0 behoben. Website-Betreiber, die TokenGuard verwenden, sollten die Updates als Schutz vor einer Kontoübernahme und nicht als routinemäßige Wartung behandeln.
Auch für andere mit dem Internet verbundene Anwendungen wurden schwerwiegende Schwachstellen offengelegt. Mobeta berichtete, dass eine nicht authentifizierte SQL injection in GLPI 11.0.8, geführt als GHSA-753w-2942-4pxm, die vollständige Anwendungsdatenbank offenlegen kann. SQL injection bedeutet, dass bösartige Eingaben als Datenbankbefehl interpretiert werden. Abhängig von der betroffenen Version kann der Zugriff bis zur Übernahme eines Administratorkontos und zu remote code execution (RCE) führen, wodurch Befehle auf dem Server ausgeführt werden können. GLPI 11.0.9 enthält den Patch. Rapid7 entdeckte unabhängig davon drei Schwachstellen in Eptura Archibus: CVE-2026-107186 umgeht die Authentifizierung über eine veraltete API, CVE-2026-107187 ermöglicht das vollständige Auslesen der Datenbank und CVE-2026-107188 ermöglicht einen unsicheren Datei-Upload, der zu RCE als NT AUTHORITY/Local Service führen kann.
AegisSec Research legte CVE-2026-65162, auch ShadowForge genannt, in NVIDIA AIStore for Linux offen. Die mit CVSS 10.0 bewertete Schwachstelle befindet sich in einer veralteten ETL Kubernetes PodSpec initialization API. Kubernetes verwaltet Software, die in isolierte Container verpackt ist. Den Forschern zufolge ermöglicht diese Schwachstelle die Erstellung eines privilegierten Containers und anschließend die Kompromittierung des zugrunde liegenden Hosts. Entwicklersysteme sind über OpenCode unter Windows und Windows Subsystem for Linux einem weiteren Weg zur Codeausführung ausgesetzt. Pillar Security stellte fest, dass ein von einem Angreifer kontrollierter entfernter Model Context Protocol server während der entfernten OAuth-Authentifizierung ohne einen weiteren Genehmigungsschritt Code ausführen konnte. Anomaly behob diese Schwachstelle in OpenCode 1.18.33. Die Offenlegung folgte auf einen Sicherheitsvorfall bei OpenCode Console, der mit einem groß angelegten distillation attack in Verbindung gebracht wurde. Davon waren 1.4 % der Console-Benutzer betroffen, und möglicherweise wurden API keys offengelegt, die mit Modellen von Anthropic, OpenAI und Google AI verknüpft waren.
Roundcube veröffentlichte die Versionen 1.6.20 und 1.7.5, um 20 Sicherheitsprobleme zu beheben. Dazu gehören IMAP command injection, bei der präparierte Eingaben als Anweisung an das E-Mail-Protokoll gelangen, eine Umgehung des Filters für server-side request forgery (SSRF), durch die ein Server unbeabsichtigte Ziele kontaktieren kann, sowie die unsichere Verarbeitung von Anhängen. Es wurden keine Angriffe gemeldet, bei denen diese behobenen Roundcube-Schwachstellen ausgenutzt wurden. Chrome weitete außerdem standardmäßig eine Maßnahme zur Transportsicherheit auf alle Benutzer aus: Der Browser fragt nun um Erlaubnis, bevor er eine Verbindung über unverschlüsseltes HTTP herstellt. Diese Warnung galt zuvor für Personen, die Enhanced Protection in Safe Browsing verwendeten.
Eine weitere kritische Schwachstelle betrifft Signal-Anrufe unter Android, iOS und auf Desktop-Systemen. CVE-2026-113380 hat einen CVSS-Wert von 9.3 und befindet sich in RingRTC, der auf WebRTC basierenden Bibliothek für Sprach- und Videoanrufe. Dem Forscher zufolge kann ein bösartiger Anrufer die Ereigniswarteschlange des Anrufs überfluten, sodass die Auflegeanforderung des Opfers hinter den vom Angreifer erzeugten Ereignissen stecken bleibt. Audio und möglicherweise auch Video können daher aktiv bleiben, nachdem das Opfer versucht hat, den Anruf zu beenden. Die gemeldete Schwachstelle zeigt, warum das Schließen eines Oberflächenelements nicht immer dem Beenden des zugrunde liegenden Prozesses entspricht.
Der Diebstahl von Zugangsdaten und offengelegte Geheimnisse führten zu mehreren bedeutenden Sicherheitsvorfällen. Zeabur teilte mit, dass Angreifer am 14. und 15. Oktober 2026 geleakte interne Zugangsdaten nutzten, die als plain text gespeichert waren, um in einen gemeinsam genutzten Cluster, einige Dedicated Servers und interne Systeme einzudringen. Die Angreifer erreichten die Plattformdatenbank und stahlen mehr als 3.2 Millionen Datensätze mit Umgebungsvariablen sowie Informationen zu 321.810 Konten. Die Entwicklungsplattform plant, ab dem 1. Dezember den Betrieb einzustellen und den Vorgang bis zum 31. Dezember 2026 abzuschließen. Es war der zweite Sicherheitsvorfall bei Zeabur in diesem Jahr, nachdem es im August bereits einen Vorfall mit Kontoinformationen, API keys und anderen Geheimnissen gegeben hatte.
PingCAP berichtete, dass gestohlene Zugangsdaten eines service account zwischen dem 9. September und dem 7. Oktober 2026 den Zugriff auf interne Systeme ermöglichten. Die Eindringlinge kopierten Quellcode und Datensätze mit Namen, E-Mail-Adressen, Beziehungen zwischen Organisationen und Projekten, Texten und Fehlermeldungen aus dem SQL-Editor, Kundenkontakten, Vertrags- und Bestelldetails, Preisen, Zahlungsbedingungen, Abrechnungskonfigurationen und verschlüsselten Werten von API keys. PingCAP entdeckte die Aktivitäten am 7. Oktober und begann, die betroffenen Zugangsdaten zu deaktivieren. Andromeda stellte am 13. Oktober einen unbefugten Zugriff auf Zugangsdaten fest, nachdem die entsprechenden Aktivitäten nach Einschätzung des Unternehmens ungefähr am 9. Oktober begonnen hatten. Das Unternehmen deaktivierte die kompromittierten Konten, benachrichtigte die nach seiner Einschätzung betroffenen Kunden und erklärte, keine Hinweise darauf gefunden zu haben, dass auf Kundenmodelle, Datensätze oder Trainingsdaten zugegriffen wurde. Genesys meldete ebenfalls einen unbefugten Zugriff auf interne Systeme für Kundenbeziehungsmanagement und Schulungen. Geschäfts- und Kontoinformationen wurden aufgerufen oder heruntergeladen, doch nach Angaben des Unternehmens wurden die Plattformen Genesys Cloud, Genesys Engage und Genesys Engage Cloud nicht kompromittiert.
Phishing bleibt ein wirksamer Weg, um ansonsten starke Kontoschutzmaßnahmen zu umgehen. Bluesky teilte mit, dass mehr als 4.500 Konten durch Beiträge kompromittiert wurden, die für eine gefälschte staatliche Zahlung warben. Das Unternehmen sperrte die betroffenen Konten vorübergehend, während es an der Wiederherstellung des Zugriffs arbeitete. Dataminr identifizierte gefälschte Okta- und ServiceNow-Portale unter riskified-okta[.]com und shipmonk-servicenow[.]com, die Anbieter von E-Commerce-Software ins Visier nahmen. Die Seiten versuchten einen MFA downgrade: Benutzer hardwaregestützter multi-factor authentication (MFA) sollten zu schwächeren Ausweichmethoden wie Codes per Textnachricht oder E-Mail wechseln, sofern die Kontorichtlinien dies zuließen. Die Polizei von Singapur meldete außerdem seit April 2026 mindestens 62 Betrugsfälle mit Android-Schadsoftware und Verluste von S$989,000. Die Opfer wurden über Werbung in sozialen Medien dazu gebracht, eine Android Package Kit (APK)-Datei zu installieren. Anschließend versuchten Anrufer, die sich als Behördenmitarbeiter oder Bankangestellte ausgaben, an Geld, Bankdaten, persönliche Informationen oder Wertgegenstände zu gelangen.
Mit KI verbundene Entwicklungszugänge schaffen zusätzliche Risiken, wenn Berechtigungen weitreichend sind. Ein Forscher demonstrierte, dass versteckte Anweisungen in einem von einem Angreifer kontrollierten öffentlichen Repository den GitHub Connector von ChatGPT während einer Überprüfung vor der Bereitstellung manipulieren konnten. Mit der standardmäßigen Berechtigung für alle Repositories konnte der Connector einen GitHub Actions workflow in ein separates privates Repository schreiben, in dem automatisierter Code auf gespeicherte Geheimnisse zugreifen und diese übertragen konnte. Für den Angriff waren weder Zugriff auf das Repository des Opfers noch ein bösartiges hochgeladenes Dokument erforderlich.