Sicherheitsforscher haben auf der Black-Hat-Konferenz 2026 schwerwiegende Schwachstellen in Enterprise-Java-Middleware sowie eine massive Lieferketten-Infektion im npm-Ökosystem aufgedeckt. Die Angriffsvektoren betreffen Authentifizierungsmechanismen und zeigen die wachsende Komplexität von Supply-Chain-Angriffen.
„BadBonita“ und „SSOnOf(a)biz“: Angriffe auf Java-Plattformen
Auf der Konferenz wurden insgesamt 12 Schwachstellen in vier Enterprise-Java-Plattformen vorgestellt. Besonders kritisch: Remote-Code-Execution-Lücken (RCE) in Bonita BPM und Apache OFBiz, die Angreifern die Ausführung von Code ohne vorherige Authentifizierung ermöglichen.
In Bonita BPM Version 10.4.3 sorgt ein als „BadBonita“ bezeichneter Fehler für inkonsistentes URL-Parsing. Dadurch wird die Server-API über Routing-Fehler zugänglich – ein Einfallstor für XStream-Deserialisierungsangriffe. Bei Apache OFBiz Version 24.09.05 (CVE-2026-31986) liegt das Problem in einem hartcodierten JWT-Schlüssel und fehlerhafter Groovy-Ausdrucksauswertung. Das ermöglicht die Fälschung von Single-Sign-on-Tokens und unbefugten Systemzugriff.
„NatJack“: Neue Angriffsklasse trifft alle getesteten Produkte
Eine neuartige Angriffstechnik namens „NatJack“ manipuliert die Connection-Tracking-Mechanismen von Network Address Translation (NAT). Bei Tests mit 32 verschiedenen Produkten erwiesen sich alle als verwundbar – darunter TCP-Hijacking und DNS-Poisoning. Die Schwachstellen sind als CVE-2026-63913 (Linux) und CVE-2026-56181 (Windows) registriert.
CHAINDROP: Wurm kompromittiert hunderte npm-Pakete
Bereits Anfang der Woche wurde ein Vorfall bekannt, der die Lieferketten-Sicherheit in neuem Licht erscheinen lässt: Der Wurm „CHAINDROP“ hat mehr als 400 npm-Pakete infiziert. Ausgangspunkt war die Kompromittierung eines Maintainers des weit verbreiteten Pakets „Keyv“ um den 4. August 2026.
Angesichts immer komplexerer Bedrohungen durch Wurm-Infektionen und Lieferketten-Angriffe wird ein proaktiver Schutz für Firmen zur Pflicht. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt kostenlos analysieren
Der Wurm nutzt Preinstall-Hooks, um Zugangsdaten für Cloud-Dienste, GitHub, SSH und Kubernetes zu stehlen. Die betroffenen Pakete verzeichnen zusammen rund 600 Millionen Downloads pro Monat – ein erhebliches Gefahrenpotenzial. Zur Steuerung setzt CHAINDROP einen Ethereum-Smart-Contract als Command-and-Control-Kanal ein, mit GitHub als Fallback-Mechanismus.
Sicherheitsanbieter haben bereits Patches veröffentlicht, darunter Updates für Keyv 5.6.0, Flat-Cache 6.1.23 und File-Entry-Cache 11.1.5.
Weitere Schwachstellen und regulatorische Entwicklungen
Die Enthüllungen reihen sich in eine Serie weiterer Sicherheitswarnungen ein:
- Apache CXF hat CVE-2026-63687 behoben – einen PKCE-Bypass im JwtRequestCodeFilter mit einem CVSS-Score von 9,1.
- Traefik Kubernetes Ingress (Versionen 3.7.0 bis 3.7.7) wies eine Path-Traversal- und Authentifizierungs-Bypass-Lücke auf (CVE-2026-67309), die in Version 3.7.8 geschlossen wurde.
- Ende Juli ergänzte die US-Behörde CISA Schwachstellen in Arista VeloCloud Orchestrator und FortiOS um ihren Katalog bekannter ausgenutzter Schwachstellen (KEV). Die Arista-Lücke (CVE-2026-16812) erreicht mit einem CVSS-Score von 10,0 die höchste Schweregradstufe und erlaubt unbefugte Command-Injection. Fortinet kündigte einen Fix für die FortiOS-Schwachstelle bis zum 10. August 2026 an.
Die zunehmende Zahl kritischer Sicherheitslücken zeigt, wie wichtig eine fundierte Awareness-Strategie für die gesamte IT-Infrastruktur ist. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenlose Checkliste zur Cyber-Security herunterladen
Investitionen und Regulierung: Branche reagiert
Neben den technischen Details gab es auch wirtschaftliche und regulatorische Bewegung: Das israelische Unternehmen A Security verließ diese Woche den Stealth-Modus und präsentierte sich mit 37 Millionen Euro Finanzierung. Die von Yossi Torati, Yuval Itzchakov und Omer Gull gegründete Firma spezialisiert sich auf die Identifikation von Exploit-Pfaden in KI-integrierten Systemen.
In China schloss der Nationale Standardisierungskomitee für Cybersicherheit am 7. August 2026 eine öffentliche Konsultation zu neuen Richtlinien für Netzwerkdaten-Sicherheitsrisikobewertungen ab. Die Entwicklungen zeigen: Die Bedrohungslandschaft wird komplexer, und die Branche reagiert mit neuen Sicherheitskonzepten – doch die Angriffsflächen wachsen ebenso schnell wie die Abwehrmechanismen.
