Sicherheitsforscher warnen aktuell vor einer Eskalation bei Cyberangriffen auf kritische IT-Infrastrukturen und Entwicklungsplattformen. Im Fokus stehen dabei insbesondere eine kritische Schwachstelle in der Git-Verwaltungssoftware Gitea sowie eine umfangreiche Kampagne zum Diebstahl von Zugangsdaten, die Zehntausende von Fortinet-Firewalls betrifft. Die US-Cybersicherheitsbehörde CISA hat zudem kurzfristig neue Anweisungen für Bundesbehörden erlassen, um weitere Einfallstore in Unternehmensnetzwerken zu schließen.
Kritische Gitea-Lücke ermöglicht vollständige Übernahme
Sicherheitsforscher identifizierten eine schwerwiegende Schwachstelle in Gitea, die unter der Kennung CVE-2026-20896 geführt wird. Die mit einem CVSS-Score von 9.8 als kritisch eingestufte Lücke betrifft insbesondere Docker-Images der Software. Ursächlich für die Sicherheitsanfälligkeit sei eine Standardeinstellung, bei der die Konfiguration für vertrauenswürdige Proxies auf einen Platzhalter gesetzt ist, der alle Verbindungen akzeptiert.
Durch die Manipulation des HTTP-Headers X-WEBAUTH-USER ist es Angreifern möglich, sich ohne vorherige Authentifizierung Administratorrechte zu verschaffen. Laut Berichten von Sicherheitsforschern wurde die Schwachstelle bereits 13 Tage nach ihrer ursprünglichen Offenlegung aktiv für Angriffe genutzt. Ein erster dokumentierter Exploit-Versuch konnte dabei einer IP-Adresse des Anbieters ProtonVPN zugeordnet werden.
Die aktuelle Eskalation bei Cyberangriffen zeigt, wie verwundbar moderne IT-Infrastrukturen ohne proaktive Schutzmaßnahmen sind. In diesem kostenlosen E-Book erfahren Sie, wie Sie Sicherheitslücken schließen und Ihr Unternehmen langfristig vor neuen Bedrohungen schützen. IT-Sicherheits-Ratgeber jetzt kostenlos herunterladen
Nach Einschätzung von Experten sind weltweit etwa 6.200 über das Internet erreichbare Gitea-Instanzen durch diese Lücke gefährdet. Die Schwachstelle, die von Ali Mustafa entdeckt wurde, ermöglicht Unbefugten den vollständigen Lese- und Schreibzugriff auf Code-Repositories. Betreibern wird dringend empfohlen, auf die Version 1.26.3 zu aktualisieren, in welcher der Fehler behoben wurde.
Massive Kompromittierung von Fortinet-Systemen
Parallel dazu berichten Sicherheitsforscher von einer weitreichenden Kampagne unter dem Namen FortiBleed. Dabei seien bereits im Juni 2026 rund 75.000 Fortinet-Firewalls kompromittiert worden. Ziel der Angreifer war der massive Diebstahl von Anmeldedaten. Die Forscher stellten fest, dass dabei Zugangsdaten von Mitarbeitern internationaler Großkonzerne wie Samsung, Comcast und Accenture entwendet wurden. Betroffene Systeme finden sich in insgesamt 194 Ländern.
Die Angreifer gingen dabei mit hoher technologischer Schlagkraft vor und setzten GPU-Cluster ein, um die SSL-VPN-Authentifizierung der Geräte zu knacken. Insgesamt wurden 1,16 Milliarden Versuche zur Erlangung von Anmeldedaten gegen FortiGate-Ziele registriert. Die Urheber dieser Kampagne werden einer russischsprachigen Gruppe zugerechnet.
Ob VPN-Exploits oder gezieltes Phishing – Angreifer nutzen oft psychologische und technische Schwachstellen aus, um an sensible Unternehmensdaten zu gelangen. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt Ihnen, wie Sie die Abwehr in Ihrem Unternehmen stärken. Kostenloses Anti-Phishing-Paket anfordern
CISA ordnet Sofortmaßnahmen für Behörden an
Angesichts der dynamischen Bedrohungslage hat die US-Behörde CISA reagiert und zwei weitere Schwachstellen in ihren Katalog der bekanntlich ausgenutzten Sicherheitslücken (KEV) aufgenommen. Dabei handelt es sich um CVE-2026-50522 in Microsoft SharePoint mit einem CVSS-Wert von 9.8 sowie CVE-2026-16232 in der Check Point SmartConsole mit einem CVSS-Wert von 9.3.
Für US-Bundesbehörden wurde eine verbindliche Anweisung erlassen, diese Schwachstellen bis zum 25. Juli 2026 zu patchen. Check Point hat für die betroffene SmartConsole bereits einen sogenannten Jumbo-Hotfix bereitgestellt, um die Ausnutzung der Schwachstelle zu verhindern. Die Behörden betonen die Dringlichkeit dieser Maßnahmen, da beide Lücken bereits aktiv von Akteuren für Angriffe auf Netzwerkinfrastrukturen genutzt werden.
