Sicherheitsforscher haben aktive Angriffe auf schwerwiegende Schwachstellen in weit verbreiteten Unternehmensanwendungen entdeckt. Besonders betroffen sind die KI-Plattform von ServiceNow sowie das Content-Management-System WordPress – beide Lücken werden derzeit von Angreifern ausgenutzt.
ServiceNow: Sandbox-Ausbruch ermöglicht Code-Ausführung
Am 19. Juli bestätigten Cybersicherheitsfirmen, dass eine kritische Sicherheitslücke in der ServiceNow AI-Plattform aktiv angegriffen wird. Die als CVE-2026-6875 registrierte Schwachstelle erlaubt es Angreifern, ohne Authentifizierung Schadcode auszuführen, indem sie die Sicherheitssandbox der Plattform umgehen.
Entdeckt wurde die Lücke ursprünglich von Searchlight Cyber und am 1. April an ServiceNow gemeldet. Obwohl der Hersteller bereits am 13. Juli Patches veröffentlichte, beobachteten Experten von Defused kurz darauf erste Angriffsversuche. Die Angreifer zielen demnach auf den Endpunkt /assessment_thanks.do mit präparierten HTTP-Anfragen ab. Ein öffentlicher Proof-of-Concept (PoC) wurde zwar veröffentlicht, doch die aktuellen Attacken nutzen einen anderen Weg als den öffentlich dokumentierten.
ServiceNow hat verschiedene regionale Versionen aktualisiert, darunter die Releases für Brasilien, Australien, Zürich und Yokohama. Das Unternehmen empfiehlt Administratoren selbst betriebener Instanzen, die Patches umgehend einzuspielen. Gehostete Instanzen wurden bereits vom Anbieter aktualisiert.
WordPress-WP2Shell-Kette: Unautorisierte Code-Ausführung
Eine neue Exploit-Kette namens WP2Shell wird ebenfalls aktiv ausgenutzt. Die Angriffskombination verbindet eine SQL-Injection-Lücke (CVE-2026-60137) mit einer REST-API-Routen-Verwechslung (CVE-2026-63030) und ermöglicht so unbefugte Code-Ausführung.
Betroffen sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Sicherheitsfirmen wie Patchstack, Hexastrike und WatchTowr bestätigten, dass Angreifer diese Lücken nutzen, um Schadcode auf betroffenen Seiten auszuführen. Die Entwickler reagierten mit Patches in den Versionen 6.9.5 und 7.0.2. Zur Risikominimierung wurden für viele Nutzer erzwungene Auto-Updates aktiviert. Cloudflare hat zudem spezielle Web Application Firewall (WAF)-Regeln bereitgestellt, um bekannte Exploit-Muster zu blockieren.
SonicWall und NGINX: Weitere Sicherheitsrisiken
Die aktuelle Welle von Angriffen auf Plattformen wie ServiceNow zeigt, wie rasant sich neue Bedrohungen durch den Einsatz von KI entwickeln. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre Infrastruktur abzusichern. EU AI Act und neue Cyberrisiken verstehen
Neben den plattformspezifischen Angriffen haben Forscher eine langanhaltende Zero-Day-Kampagne gegen SonicWall SMA 1000-Serie VPN-Geräte aufgedeckt. Ein als UTA0533 identifizierter Angreifer nutzt seit dem 22. Juni zwei Schwachstellen (CVE-2026-15409 und CVE-2026-15410) aus.
Die Angriffskette ermöglicht unbefugten Root-Zugriff auf die Geräte. Nach dem Einbruch installierten die Angreifer mehrere Schadprogramme, darunter ROOTRUN, KNUCKLEBALL und ORANGETAIL. Diese Werkzeuge dienen dem dauerhaften Zugriff und dem Abfangen von Zugangsdaten über Hilfsprogramme wie tcpdump. Obwohl Patches im Juli veröffentlicht wurden, zeigt die Kampagne die anhaltende Bedrohung von Perimeter-Sicherheitsgeräten.
Parallel dazu wurde eine kritische Heap-Buffer-Overflow-Lücke in NGINX bekannt. Die als CVE-2026-42533 mit einem CVSS-Score von 9,2 eingestufte Schwachstelle betrifft NGINX-Versionen 0.9.6 bis 1.31.2. Sie kann durch eine präparierte HTTP-Anfrage ausgelöst werden, wenn eine Regex-Map-Konfiguration aktiv ist – mit möglichen Folgen wie einem Worker-Absturz oder Code-Ausführung. Obwohl die Lücke bis zum 16. Juli nicht im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) geführt wurde, erwarten Experten eine baldige Ausnutzung.
Weitere Bedrohungen im Überblick
Angesichts der zunehmenden Professionalisierung von Cyberkriminellen reicht reaktives Handeln oft nicht mehr aus, um Firmendaten wirksam zu schützen. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
In der zweiten Julihälfte wurden insgesamt 2.757 neue Sicherheitslücken gemeldet. Neben den großen Plattformen betrifft dies auch spezialisierte Software:
- OpenSSL: Die als HollowByte bekannte Schwachstelle erlaubt einem entfernten Angreifer, mit einer 11-Byte-Nutzlast einen Denial-of-Service (DoS)-Zustand durch Speichererschöpfung auszulösen.
- Kimai: Ein Fehler im Docker-Image von Kimai (CVE-2026-52824) enthielt einen Standard-Secret-Key, der in Versionen vor 2.58.0 Cookie-Fälschung und Kontoübernahme ermöglichte.
- KI-Frameworks: Pfad-Traversal- und Deserialisierungs-Schwachstellen wurden in IBM Langflow, Jupyter Enterprise Gateway und Keras gemeldet – ein Zeichen für das wachsende Interesse von Forschern an der Sicherheit von KI-Entwicklungswerkzeugen.
Sicherheitsorganisationen drängen angesichts der bestätigten aktiven Ausnutzung auf eine sofortige Aktualisierung der ServiceNow- und WordPress-Installationen.
