Security-Briefing Mai 2026: KI stärkt Angriff und Verteidigung

Akira zwingt Gemeinde zu Papier und Bleistift
Die Akira-Bande hat die Walliser Gemeinde Vétroz und mehrere Unternehmen lahmgelegt. «Le Novelliste» zitiert den Gemeindepräsidenten, man sei zu Papier, Radiergummi und Bleistift gezwungen. Die Ursache der Ausfälle war eine Attacke auf den Provider und Hoster der Gemeinde. Laut Mitteilung der Gemeinde sind die Folgen inzwischen behoben. Der Datenbestand von zwei Tagen sei verloren gegangen.
Mehr dazu

Mit Spam Teams-Nutzer narren
Google-Forscher warnen vor einer Attacke, bei der Teams-Nutzer mit Spam geflutet werden, um anschliessend eine Nachricht vom angeblichen IT-Helpdesk zu erhalten. Natürlich sind es die Hacker, die mit der Social-Engineering-Methode zum Klick auf einen bösartigen Link verführen. Der «Patch» ist in Wahrheit eine Malware namens «Snow». Diese installiert eine Browsererweiterung und weitere Komponenten im Hintergrund. Die Angreifer können so die Kontrolle über lokale Systeme und Backup-Server erlangen.
Mehr dazu

Serafe-Angriff
Serafe erstattet keine Gebühren. Das müssen sich Empfängerinnen und Empfänger von betrügerischen E-Mails vor Augen halten. Die Kantonspolizei Zürich warnt vor einer neuen Phishing-Kampagne im Namen von Serafe. Sie weist mehrere Auffälligkeiten auf: So soll die Rückerstattung nur 24 Stunden lang verfügbar sein. Zudem klingt die Begründung für die Rückerstattung seltsam.
Mehr dazu

Westschweizer Radiologie-Netzwerk angegriffen
Schon zum zweiten Mal in kurzer Zeit wurde das Réseau Radiologique Romand (Groupe 3R) Opfer eines Cyberangriffs. Dieser schränkte die Behandlungskapazitäten ein. Es kam zu Terminverschiebungen. Laut Mitteilung des Unternehmens sei die Vertraulichkeit der Patientendaten gesichert, jedoch könne es zu Betrugsversuchen kommen. Die Rechnungsstellung erfolgt jedoch stets über die Krankenkassen. Das BACS sei informiert, Strafanzeige eingereicht worden.
Mehr dazu

Spionage-Attacke auf Bundestag mittels «Signal»
Auf die Regierungen Deutschlands und der Niederlande laufen seit Monaten Spionageattacken. Prominente Mitglieder sind bereits Opfer geworden, so etwa die Bundestagspräsidentin Julia Klöckner. Der Angriff läuft über eine Phishing-Kampagne mit Absender «Signal-Support». Die Nachricht fordert zur Eingabe einer PIN und zum Aufrufen eines Links oder QR-Codes auf. Angreifer können Chats lesen und sich unter falscher Identität in Chatgruppen tummeln. Nun will der deutsche Bundestag zum Messenger «Wire» wechseln.
Mehr dazu

Linkedin soll User ausspionieren
Der deutsche Linkedin-Anwender-Verein Fairlinked beschreibt auf der Website browsergate.eu, wie das Business-Netzwerk von Microsoft Nutzerinnen und Nutzer ausspioniert. Technisch werde dazu Javascript-Code eingeschleust, ohne Wissen und Zustimmung der Nutzerinnen und Nutzer. Betroffen sind chrombasierte Browser. Mit den gewonnenen Daten kann LinkedIn persönliche Profile erstellen. Dabei handelt es sich laut dem Verein «um einen massiven Breach von sensiblen Daten und Geschäftsgeheimnissen».
Mehr dazu

Cloudflare bis 2029 quantensicher
Die Bedrohung durch Quantencomputer wird in den nächsten paar Jahren real. Darum reagiert jetzt Cloudflare und stellt früher als geplant auf eine quantensichere Authentifizierung um. Cloudflare betreibt ein globales Content-Delivery- und Sicherheitsnetzwerk, das Websites und Apps schneller macht und vor Angriffen wie DDoS sowie vor unsicherem Datenverkehr schützt.
Mehr dazu

Zero-Day-Uhr: Lücken rascher ausgenutzt
Laut dem Sicherheitsforscher Sergej Epp verleiht die KI Hackern Superkräfte. Sie können gefundene Schwachstellen in weniger als 24 Stunden ausnutzen. Noch im letzten Jahr hatten Firmen noch mindestens 23 Tage Zeit für das Schliessen der Lücke. Die «ZeroDayClock» fasst in Grafiken das Problem zusammen. Epps Tipp: Lass die KI selbst auf deinen Code los. Und lies den Leitfaden, an dem mehr als 200 CISOs mitgearbeitet haben.
Mehr dazu

Abhängigkeit von KI-Agenten steigt
Die Cybersicherheitsfirma Rubrik Zero Labs hat über 1600 IT- und Security-Verantwortliche nach dem Stand der Sicherheit von KI-Agenten gefragt. Fazit: Fast 90 Prozent der Organisationen sehen sich nicht in der Lage, Aktionen von KI-Agenten ohne Störungen rückgängig zu machen. Zudem verbringt die Mehrheit mehr Zeit mit der Kontrolle der Agenten, als sie damit einsparen. Die Studienautoren empfehlen unter anderem, für KI-Agenten eine Sandbox aufzusetzen, eine Identity Governance einzuführen, Agentenaktivitäten zu protokollieren und mit LLM-Firewalls Manipulationsversuche zu verhindern («Prompt Injection»).
Mehr dazu

Alte Excel-Lücke wird wieder ausgenutzt
Zwei Sicherheitslücken, die bereits 17 und 14 Jahre alt sind, werden wieder angegriffen. Anfällig sind End-of-Life Versionen von Office und Visual Basic for Applications, die keine Sicherheitsupdates mehr erhalten. Bei der Excel-Schwachstelle handelt es sich um EUVD-2009-0246 bzw. CVE-2009-0238. Wird eine Excel-Datei entsprechend präpariert, können Angreifer Malware einschleusen oder gar das System übernehmen. Betroffene sollten auf unterstützte Versionen umsteigen.
Mehr dazu

OAuth mit ConsentFix v3 missbrauchen
Mit einer neuen Angriffsmethode lassen sich Angriffe auf Microsoft Azure automatisieren: ConsentFix v3 ist die jüngste Entwicklung einer Methode, bei der Opfer dazu gebracht werden, einen legitimen Microsoft-Login-Prozess über Azure CLI abzuschliessen. Mittels Social Engineering fügen sie eine Localhost-URL ein, die einen OAuth-Authorization-Code enthält. Die dritte Version der Methode verbindet Automatisierung und Skalierung.
Mehr dazu

Kritische Lücke in cPanel gefährdet Websites
Die Hosting-Software cPanel und Web Host Manager (WHM) sind weit verbreitet. Laut «Risikomonitor» wurde die enthaltene Schwachstelle CVE-2026-41940 (CVSS 9.8) bereits seit Februar ausgenutzt – rund zwei Monate vor dem Patch des Herstellers. Sie erlaubt es Angreifern, auf einen Schlag in der Hostingumgebung Administratorenrechte zu erlangen. Bereits sind so Ransomware-Kampagnen gestartet worden. Laut Schätzungen der Shadowserver Foundation könnten mehr als 40000 cPanel-Installationen weltweit betroffen sein – mehrere hundert in der Schweiz. Empfohlen wird umgehendes Patchen, umfassende Analysen und der Austausch aller Zugangsdaten.
Mehr dazu

Millionen von Servern ungeschützt im Netz
Sicherheitsforscher haben untersucht, wie viele RDP- und VNC-Server weltweit für Fernwartung über das Internet erreichbar sind. Resultat: fast zwei Millionen jeweils. Die meisten stehen in China. Auf Platz 3 folgt Deutschland. Viele der Systeme sind unkritisch, manche konnten aber auch Industrien zugeordnet werden. Viele basieren auf veralteten Windows-Versionen.
Mehr dazu

Schwerer Fehler in GitHub
Durch einen rechtzeitig entdeckten Fehler in der Git-Infrastruktur von GitHub hätten Angreifer mittels eines einfachen Git-Push-Befehls Schadcode auf die Backend-Server der beliebten Entwicklerplattform einschleusen können. Millionen von GitHub-Repos waren so gefährdet. CVE-2026-3854 hat einen hohen Schweregrad erhalten. Entdeckt wurde die Lücke mit KI-Unterstützung. Auf Github.com ist die Lücke inzwischen geschlossen. Wer eigene GitHub-Server betreibt, muss den Patch selbst einspielen.
Mehr dazu

CVSS 10.0 für Entra-ID-Schwachstelle
Ein seltener Wert: Microsoft hat ihn für eine Schwachstelle im Identitäts- und Zugriffsmanagement-Dienst Entra-ID erreicht. Die mit einem Wert von 10.0 hochkritische Lücke CVE-2026-35431 ist inzwischen geschlossen. Für Admins besteht kein Handlungsbedarf. Laut Microsoft sei die Lücke nicht ausgenutzt worden. Sie hätte besonders leicht Spoofing-Angriffe ermöglicht, also Angriffe unter falscher Identität.
Mehr dazu