Zum Wochenende noch eine Zusammenfassung diverser Sicherheitsmeldungen. Hackern ist es gelungen, im Rahmen einer 35-tägigen Kampagne bereit 14.500 Dahua-Webkameras zu kompromittieren. Die US-Behörde CISA warnt vor AI-Angriffen auf Siemens S7- und andere Steuerungen. Und es gibt Warnungen, dass ältere Sicherheitslücken in Windows und anderen Software-Produkten ausgenutzt werden. So wurde eine Schwachstelle in Entra ID mit einem CVSS von 10.0 in freier Wildbahn ausgenutzt.
Hacker kompromittieren 14.500 Dahua-Webkameras
Dahua Technology (Zhejiang Dahua Technology Co., Ltd.) ist ein börsennotierter chinesischer Konzern mit Sitz in Hangzhou, der auch Webkameras anbietet. Ich habe mal geschaut, die Geräte scheinen auch in Deutschland im Einsatz zu sein. Die Webseite für DACH listet zahlreiche Sicherheitslösungen auf.
Sicherheitsspezialist hunt.io berichtet zum 18. August 2026 im Beitrag Operation CameraSwarm: Over 14,000 Dahua cameras compromised across Ukraine and Russia über einen groß angelegten Angriff auf Dahua-Kameras. Zwischen dem 17. Juni und dem 22. Juli 2026 wurden über 14.000 Kameras, die per Internet erreichbar waren, in der Ukraine und in Russland kompromittiert.
Die Angreifer nutzen Schwachstellen und Brute-Force-Angriffe aus, um sich an der Weboberfläche der Kamera anzumelden. Oder es wurden anhand der Seriennummern Offline-Wiederherstellungscodes von in der Cloud registrierten Kameras verwendet, um Zugriff auf die Geräte zu bekommen. Das bedeutet, dass Administratoren, in deren Umfeld solche Dahua-Kameras betrieben werden, vielleicht mal prüfen sollten, ob diese Geräte sicher und nicht kompromittiert sind. Die Kollegen von Bleeping Computer haben in diesem Artikel über den Sachverhalt berichtet.
Windows IKT- und weitere Schwachstellen ausgenutzt
Die Tage sind mir mehrere Warnungen untergekommen, dass derzeit verschiedene, ältere Schwachstellen, in diversen Software-Produkten ausgenutzt werden. Nachfolgender Tweet fasst das zusammen.
Bei macOS ist die Screen-Sharing-Schwachstelle CVE-2026-65400 im Fokus von Angreifern. Ein Authentifizierungsproblem ermöglichte Angreifer im Netzwerk sich möglicherweise ohne gültige Anmeldedaten bei der Bildschirmfreigabe zu authentifizieren. Die Schwachstelle wurde in macOS Sequoia 15.7.9, macOS Sonoma 14.8.9 und macOS Tahoe 26.6.1 behoben.
In Microsoft SharePoint gibt es die Schwachstelle CVE-2026-55040, die aufgrund einer unzureichenden Authentifizierung es einem unbefugten Angreifer ermöglicht, eine Sicherheitsfunktion in Microsoft Office SharePoint über ein Netzwerk zu umgehen. Microsoft hat diese Schwachstelle im Juli 2026 behoben.
Im VMware vCenter gibt die Schwachstelle CVE-2026-59310 im Syslog-Server auf, die einen Verzeichnisüberlauf ermöglicht. Ein Angreifer mit Netzwerkzugriff auf vCenter könnte diese Schwachstelle ausnutzen, um beliebigen Code auszuführen. Ich hatte Ende Juli 2026 im Beitrag VMware-Schwachstelle (u.a. in ESX) erlaubt Ausbruch aus VMs darüber berichtet und einen schnellen Patch empfohlen. Laut meinem Blog-Beitrag hier wird die Schwachstelle angegriffen.
Und dann gibt es noch die Schwachstelle CVE-2026-33824 in der Windows IKE Extension, die es einem unbefugten Angreifer ermöglicht, Code über ein Netzwerk auszuführen. Die Schwachstelle wurde bereits im April 2026 durch Microsoft adressiert – siehe meinen Blog-Beitrag Microsoft Security Update Summary (14. April 2026).
Alle diese Schwachstellen sind derzeit Angriffen ausgesetzt, die ungepatchte Systeme einem Risiko aussetzen. The Hacker News hat in diesem Artikel eine Zusammenfassung veröffentlicht.
CISA warnt vor Angriffen auf Siemens S7-Steuerungen
Siemens Simatic S7-Steuerungen werden in vielen Anlagen zur Prozesssteuerung eingesetzt. Viele Betreiber finden ein leider hipp, diese Simatic-Steuerungen direkt ins Internet zu hängen. Nach einer Serie von Cyberangriffen auf Wasserwerke in den USA warnt die US-Cybersicherheitsbehörde CISA vor dem Risiko, dass von Siemen Simatic S7-Steuerungen droht, die per Internet erreichbar sind.
Cyberangreifer nutzen Internet-Scans und KI-generierte Skripte, um programmierbare Steuerungen (SPS) der Siemens Simatic S7-Serie in kritischen Infrastrukturen anzugreifen, heißt es. Die CISA hat zum 19. August 2026 die Sicherheitswarnung Defending Against an Active Threat to Siemens S7 Series PLCs veröffentlicht. Die derzeitigen Angriffe auf SPS sind jedoch nicht auf Siemens-SPS beschränkt. Alle Besitzer und Betreiber von SPS sollten entsprechende Schutzmaßnahmen ergreifen, um das Risiko für ihre Geräte und Systeme zu verringern. Die Siemens-spezifischen Inhalte dieser Sicherheitsempfehlung sollten als Teil der umfassenderen Bedrohungslage verstanden und angewendet werden. Das Thema hat es sogar in deute Medien wie n-tv geschafft, wie ich hier gesehen habe.
Entra ID: Sicherheitslücke wurde ausgenutzt
Microsoft Entra ID (früher Azure Active Directory oder Azure AD) ist der cloudbasierte Identitäts- und Zugriffshärtungsdienst von Microsoft. Wenn es da hakt, ist "die Hütte am brennen". Daher ist es eine heikle bis absolut unschöne Geschichte: In Entra ID gab es eine kritische Sicherheitslücke CVE-2026-69836, die mit einem CVSS 3.x Score von 10.0 eingestuft wurde.
Die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Entra ID ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen, schreibt Microsoft im Sicherheitshinweis zu CVE-2026-69836. Diese Sicherheitslücke wurde von Microsoft bereits vollständig behoben, so dass Nutzer keine Maßnahmen ergreifen müssen. Der Haken: Laut Microsoft wurde diese Schwachstelle bereits ausgenutzt – wie umfangreich, geht aus dem Sicherheitshinweis nicht hervor. (via)
Windows 11 über RAM-Schwachstelle angreifbar
Die Meldung machte bereits vor einer guten Woche die Runde: Sicherheitsforschern war es gelungen, aktuelle Windows 11-Systeme über eine "Download more RAM"-Methode anzugreifen. Hintergrund ist, dass sich das EEPROM bestimmter RAM-Speicherriegel manipulieren lässt. Dadurch konnte die virtualisierungsbasierte Sicherheit (VBS) in Windows 11 umgangen werden.
Die Sicherheitsforscher der Universität von Birmingham haben den Sachverhalt zum 13. August 2026 im Beitrag Attackers can bypass Microsoft's flagship Windows security defences without physical access offen gelegt, nachdem sie den Angriff auf einer Sicherheitskonferenz gezeigt haben. Microsoft war vorher informiert und hat bereits reagiert. Die Aktivierung von Secure Boot schützt Anwender gegen diese Schwachstelle, wie heise in diesem Artikel schreibt.
Windows USB-Plug&Pwn-Übernahme
In Unternehmen werden USB-Anschlüssen an Rechnern oft mechanisch abgesichert, so dass dort keine Geräte angeschlossen werden können. Denn USB-Anschlüsse bergen die Gefahr, dass Windows über von USB-Geräten gesendete Befehle manipuliert werden kann. Eine Tastatur, eine Maus etc. kann über USB den Windows-Rechner ja steuern.
Mir ist der Golem-Beitrag Plug-and-Pwn-Angriff kapert Windows-Systeme per USB bereits vor einer Woche untergekommen. Dort wird das Problem, dass USB-Geräte beim Anschließen an eine Windows-System oft Software nachladen, beschrieben. Dieser Mechanismus ermöglicht die Windows-Übernahme durch das einfache Anschließen eines manipulierten USB-Sticks. Für informierte IT-Leute nichts neues, aber vielleicht eine Erinnerung, diesen Angriffsvektor nicht zu vernachlässigen. Wie schützt ihr eure Geräte vor diesem Szenario?
MVP: 2013 – 2016
"Download more RAM" ist interessant, da meldet der Speicherriegel doppelt so viel RAM wie er hat und außerdem muss Windows zusätzlich die Info bekommen, dass es diese RAM-Verdoppelung nicht nutzen darf, weil es sonst auf die Schnauze fallen wird. Dann kann man theoretisch mit dem zusätzlichen oberen Adressbit ungehindert auf das vorhandene RAM zugreifen. Sofern das Betriebssystem oder der Chipsatz einem erlaubt, auf jenseits von PHYSTOP zuzugreifen…
Die Sache hat aber den einen oder anderen Haken. Zum einem muss man das SPD-EEPROM auf dem RAM-Riegel manipulieren, das geht bei manchen RAMs weil das EEPROM vom Modulhersteller nicht schreibgeschützt wurde, aber für den schreibenden Zugriff auf den I²C-BUS werden lokale Adminrechte benötigt. Außerdem muss dann wohl ein Regkey gesetzt werden, der dem Betriebssystem (!!!*) besagt, dass es nur X/2 GB (also die Häfte des gemeldeten RAMs) benutzen darf.
Und spätestens wenn das System mehr als eine RAM-Bank benutzt, funktioniert es auch nicht mehr, weil die RAM-Bänke in ihren physischen Adressen hintereinander liegen müssen, da entsteht dann aber eine Lücke in die die untere Hälfte reingespieleglt wird, und das Betriebsystem (!!!*) fällt wieder auf die Schnauze, weil schon beschriebene Bereiche unkontrolliert überschrieben werden.
Und oben drauf kommt noch, dass physische RAM-Adressen im jeweiligen Betriebssystem (!!!*) nicht mal den logischen RAM-Adressen entsprechen müssen, das wird ja durch CPU-integrierte PMMUs alles für die virtuelle Speicherverwaltung umsortiert.
Den einzigen Schutz, den man neben einer konsquenten Härtung seines PCs und Betriebssyytems (!!!*) hat, ist wohl den PC mit dem maximalen Speicherausbau zu betreiben, der technisch möglich ist, denn dann geht nichts mehr zu verdoppeln, und das mit RAM-Preisen in der KI-Blase…
Vielleicht ist "Download more RAM" zu theoretisch, um in der Praxis zu funktionieren…
* Ihr habt vielleicht meine seltsammen (!!!*) bemerkt… – Wichtige Bemerkung: Auch Linux und jedes andere Betriebssystem lässt sich theoretisch mit dem Trick austricksen. Das hat nichts mit Windows zu tun !!!
Fällt mir schwer aus den Informationen raus zu lesen, was genau die Entra-Schwachstelle bewirkt hat bzw. wie der Angriffsweg war. Formulierung und Schwere lassen mich vermuten, dass sowas wie Conditional Access betroffen gewesen sein könnte. Sprich ein beliebiger Angreifer konnte ohne Anmeldung über Entra Conditional Access auf das interne Firmennetz zugreifen. Durchaus beliebt bei Firmen und absolutes Worst Case Szenario.