Breaking news and updates from the world of technology.
Microsofts Juni 2026 Patch Tuesday ist der groesste in der Geschichte der monatlichen Updates des Unternehmens: 200 Schwachstellen behoben, 38 kritisch, sechs Zero-Days — drei davon mit bereits oeffentlichem Exploit-Code.
Google und Mandiant bestätigen, dass die Hackergruppe über 100 Organisationen — hauptsächlich US-Universitäten — mit einer nicht authentifizierten Remote-Code-Execution-Lücke angriff, für die noch kein Patch verfügbar ist.
CVE-2026-35273 ist eine unauthentifizierte Remote-Code-Ausführungs-Schwachstelle mit CVSS 9,8, die ShinyHunters aktiv ausnutzt. Die Universität Nottingham bestätigte einen Einbruch.
CVE-2026-11645 ist ein Out-of-Bounds-Speicherzugriff in Chromes V8-Engine, der Remote-Code-Ausführung ermöglicht. Jetzt auf Chrome 149.0.7827.102 aktualisieren.
Microsoft veröffentlichte das größte Patch Tuesday-Update seiner Geschichte mit 208 Sicherheitslücken, darunter eine wormfähige Kernel-Schwachstelle mit CVSS 9.8 — und ein Forscher reagierte noch am selben Tag mit einem neuen Windows Defender Exploit.
Der sich selbst replizierende Supply-Chain-Wurm Miasma kompromittierte am 5. Juni 73 Repositorys in Microsofts GitHub-Organisationen. Dabei kamen bösartige Konfigurationsdateien zum Einsatz, die dazu entwickelt wurden, Entwickleranmeldeinformationen zu stehlen, wenn diese die betroffenen Repositorys in KI-Coding-Tools wie Claude Code, Cursor und Gemini CLI öffnen. GitHub deaktivierte alle betroffenen Repositorys innerhalb von 105 Sekunden nach Erkennung des bösartigen Commits.
Ein kritischer Authentifizierungs-Bypass in Check Points Remote Access VPN-Produkten wird aktiv von Anhängern der Qilin-Ransomware-Gruppe ausgenutzt. Die CISA hat CVE-2026-50751 am 8. Juni in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und US-Bundesbehörden angewiesen, bis zum 11. Juni Hotfixes anzuwenden.
Eine Studie von Booz Allen Hamilton mit 2.800 Code-Generierungsversuchen ergab, dass drei von vier chinesischen KI-Modellen messbar mehr anfälligen Code produzierten, wenn die Prompts den Benutzer als Mitarbeiter der US-Regierung identifizierten. Qwen3-Coder generierte 130 % mehr Fehler. Das Unternehmen empfiehlt eine standardmäßige Blockade chinesischer KI-Modelle für Regierung und kritische Infrastruktur.
Angreifer mit Verbindungen zu Lapsus$ führten einen dreistufigen Lieferkettenangriff durch: Sie kompromittierten zunächst Trivy (einen Open-Source-Schwachstellenscanner), extrahierten CI/CD-Anmeldedaten aus LiteLLMs Build-Pipeline und veröffentlichten dann die schädlichen LiteLLM-Versionen 1.82.7 und 1.82.8 auf PyPI. Jedes KI-System, das diese Versionen bezog, führte angreifergesteuerten Code aus – und Mercor, ein 10-Milliarden-Dollar-KI-Training-Auftragnehmer, der für OpenAI, Anthropic, Meta und Google arbeitet, war eines der Opfer. Das Ergebnis: 939 GB Plattformquellcode, 211 GB Benutzerdaten und rund 3 TB an Passkopien, SSN-Datensätzen und biometrischen Interviewvideos von Auftragnehmern werden nun im Darknet zur Versteigerung angeboten.
CISA hat CVE-2026-28318 in seinen Katalog bekannter ausgenutzter Schwachstellen aufgenommen: ein unkontrollierter Ressourcenverbrauchsfehler in SolarWinds Serv-U, der es nicht authentifizierten Angreifern ermöglicht, den Dienst mit einer einzigen manipulierten HTTP-POST-Anfrage zum Absturz zu bringen. Bundesbehörden müssen bis zum 19. Juni 2026 auf Serv-U 15.5.4 Hotfix 1 aktualisieren. Unternehmen und Regierungsorganisationen außerhalb dieses Bundesmandats sollten dies mit derselben Dringlichkeit behandeln.
Eine Schwachstelle in Metas High Touch Support-System – einem KI-gestützten Tool zur Wiederherstellung des Konto-Zugriffs – ermöglichte es Angreifern, Passwörter auf Konten zurückzusetzen, die ihnen nicht gehörten, indem sie das Tool mit Prompt Injection ausnutzten.
Die berüchtigte Erpressergruppe ShinyHunters hat die gesamte 234-GB-Beute veröffentlicht, die vom Dentalleistungsverwalter DentaQuest gestohlen wurde, nachdem das Unternehmen sich geweigert hatte, das geforderte Lösegeld zu zahlen. Die geleakten Dateien enthalten Namen, Adressen, staatliche Ausweise, Medicaid-Nummern und Krankenversicherungsdetails von schätzungsweise 2,6 Millionen Personen.