LONDON (IT BOLTWISE) – Mehrere Sicherheitsforscher und Vendor-Advisories melden eine neue Welle kritischer Schwachstellen, die Authentifizierung umgehen oder beliebigen Code nachladen können. Besonders brisant ist ein hochbewerteter Fehler in Ivantis Xtraction, der den Zugriff auf sensible Dateien und Client-seitige Angriffe begünstigen kann. Parallel schließen Fortinet und SAP Lücken mit Potenzial für Codeausführung beziehungsweise SQL-Injection. Auch VMware Fusion und die Workflow-Automatisierungsplattform n8n sind betroffen, inklusive Privilege-Escalation- und Remote-Code-Execution-Risiken.
In den vergangenen Tagen hat sich im Unternehmens-IT-Betrieb ein Muster verfestigt: Patch-Zyklen treffen heute nicht nur einzelne Anwendungen, sondern ganze Sicherheits- und Automatisierungslandschaften. Aktuell warnen Hersteller und Security-Communities vor mehreren Schwachstellen mit sehr hohen CVSS-Werten, die unautorisierte Akteure in die Lage versetzen können, Schutzmechanismen zu umgehen und anschließend Code im Kontext der betroffenen Systeme auszuführen. Für Sicherheitsverantwortliche bedeutet das vor allem eines: Die Priorisierung von Updates muss sich an realistischen Angriffswegen orientieren – etwa daran, ob eine Ausnutzung bereits mit relativ niedrigen Rechten gelingt oder ob externe Angreifer ohne gültige Session auskommen.
Den inhaltlichen Schwerpunkt setzt Ivanti mit einem Fehler in Ivanti Xtraction (CVE-2026-8043, CVSS 9,6). Laut Advisory handelt es sich um eine Schwachstelle, die eine externe Steuerung eines Dateinamens vor einer bestimmten Versionslinie ermöglicht. Dadurch kann ein Angreifer mit bestehender (Remote-)Authentifizierung sensible Dateien auslesen und zugleich beliebige HTML-Dateien in ein Web-Verzeichnis schreiben. Technisch ist das besonders riskant, weil das Zusammenspiel aus Informationsabfluss und potenzieller Client-Seitenmanipulation die klassische Trennung zwischen Server- und Browser-Risiken aufhebt. Für Unternehmen heißt das: Neben dem Update sollten auch Web-Verzeichnisse, Integritätsprüfungen und Log-Korrelationen engmaschig kontrolliert werden.
Fortinet liefert dazu passende Ergänzungen: Für FortiAuthenticator (CVE-2026-44277 und CVE-2026-26083, jeweils CVSS 9,1) sowie FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS werden kritische Probleme adressiert, die in Richtung nicht autorisierter Codeausführung zeigen. In einem Fall wird eine fehlende Zugriffskontrolle beschrieben, die über präparierte Requests die Ausführung unzulässiger Aktionen ermöglichen kann; im anderen Fall fehlt eine Autorisierungsprüfung in der WEB-UI, sodass unautorisierte HTTP-Anfragen zwar ohne Authentifizierung auskommen, aber dennoch Code/Kommandos anstoßen können. Historisch kennen viele dieser Szenarien das gleiche Grundmuster: falsche oder unvollständige Regelketten in Authentifizierungs- und Autorisierungslogik. Im Vergleich zu isolierten RCE-Lücken ist das Zusammenspiel mit der Attack Surface der Web-Services oft der entscheidende Verstärker.
Auch im ERP- und Commerce-Umfeld verschärft sich die Lage. SAP veröffentlicht Fixes für zwei kritische Punkte: CVE-2026-34260 (SQL Injection in SAP S/4HANA, CVSS 9,6) und CVE-2026-34263 (fehlende Authentifizierungsprüfung in einer SAP-Commerce-Cloud-Konfiguration, CVSS 9,6). Während die SQL-Injection primär die Vertraulichkeit und Verfügbarkeit adressieren kann, wird für die zweite Schwachstelle eine zu permissive Sicherheitskonfiguration mit problematischer Regelreihenfolge genannt. In einem Interview-ähnlichen Branchenkontext wurde betont, dass so ein unautorisierter Akteur bösartige Konfigurationsuploads und Code-Injection auslösen kann. Expertenmeinungen ordnen die konkrete Auswirkung bei CVE-2026-34260 differenziert ein: Wenn der betroffene Pfad nur Lesezugriffe erlaubt, sinkt zwar das Risiko für Datenmanipulation, doch sensible Informationen bleiben trotzdem im Fokus.
Der Blick auf Plattform- und Entwickler-Ökosysteme zeigt, dass die Angriffsfläche auch dort wächst, wo vermeintlich „nur“ Automatisierung läuft. VMware schließt mit einem Update für VMware Fusion eine TOCTOU-Schwachstelle (CVE-2026-41702, CVSS 7,8), die während einer Operation eines SETUID-Binaries auftritt und damit eine lokale Privilege-Eskalation begünstigen kann. Dazu passt das n8n-Cluster von fünf kritischen Schwachstellen (CVSS 9,4) in der Workflow-Plattform: Mehrere Lücken drehen sich um Prototype-Pollution über eine XML-Verarbeitung (xml2js) sowie um Varianten, die über Nodes wie XML Node, HTTP Request, Git Push-Operation und weitere Parameter Angriffe ermöglichen. Entscheidend für die Priorisierung: Hier reicht häufig schon die Fähigkeit, Workflows zu erstellen oder zu verändern – also ein realer Wert innerhalb vieler Teams. Im Wettbewerb zu klassischen Enterprise-Gateways (wie Fortinet) zeigt sich damit eine Verschiebung: RCE wird zunehmend dort möglich, wo Integrationen und Automationslogik als „vertrauenswürdiger Klebstoff“ betrachtet werden.
Aus historischer Sicht sind solche Kettenangriffe nicht neu, aber ihr Tempo und ihre Breite nehmen zu. In den frühen Jahren dominierten Einzelanwendungen mit klar abgegrenztem Impact; heute sind Identitäts-, Sandbox- und Automatisierungsfunktionen eng verzahnt, wodurch sich Angriffswege schneller „durchreichen“. Ein Unternehmen, das n8n oder Commerce-Cloud-Funktionen einsetzt, hat oft bereits weitere Systeme angebunden: Repositories, CI/CD, Ticketing oder Datenplattformen. Gerade deshalb reicht ein Update allein nicht: Sicherheitsteams sollten nach dem Patchen prüfen, ob es Hinweise auf persistente Manipulation gab, etwa über Änderungen an Workflows, ungewöhnliche Git-Parameter oder Auffälligkeiten in Web-Verzeichnissen. Ergänzend sollten Sie die Segmentierung zwischen Management- und Laufzeitumgebungen stärken, um die Ausbreitung eines kompromittierten Pfads zu begrenzen.
Regulatorisch und datenschutzseitig sind die Konsequenzen hoch, weil mehrere Lücken den Zugriff auf sensible Daten oder das Auslösen von serverseitigen Aktionen ermöglichen. Beim Ivanti-Szenario ist der Informationsabfluss besonders naheliegend; bei SAP und den Auth-Konfigs steht zudem die Integrität der Prozess- und Kundeninformationen im Raum. Für viele Organisationen bedeutet das: Update- und Incident-Prozesse müssen mit Datenschutzanforderungen zusammenlaufen, insbesondere bei Systemen, die personenbezogene Daten in Workflows, Commerce-Objekten oder Exportpfaden bewegen. Zukunftsorientiert ist zudem zu erwarten, dass Vendoren zunehmend in Richtung „Secure Defaults“ und strengere Autorisierungsprüfungen in Regelengines arbeiten. Wenn Entwickler-Teams künftig Automationsplattformen wie n8n stärker in produktive Umgebungen integrieren, wird die Sicherheitsprüfung von Integrationsrechten (Wer darf Workflows verändern?) zur zentralen Stellschraube – genau dort, wo die aktuelle Welle die meisten Eintrittstore offenbart.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sicherheits-Update-Welle: Ivanti, Fortinet, SAP, VMware und n8n schließen RCE-Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sicherheits-Update-Welle: Ivanti, Fortinet, SAP, VMware und n8n schließen RCE-Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sicherheits-Update-Welle: Ivanti, Fortinet, SAP, VMware und n8n schließen RCE-Lücken« bei Google Deutschland suchen, bei Bing oder Google News!