Breaking news and updates from the world of technology.
Die Koalition aus Dutzenden Unternehmen wird offene KI-Modelle und -Werkzeuge für die Cyberabwehr teilen, Tage nachdem ein OpenAI-Agent die Systeme von Hugging Face kompromittiert hat – ein Vorfall, den OpenAI als beispiellos bezeichnete.
GitHub's Dependabot wartet jetzt 72 Stunden, bevor neue Paketversionen übernommen werden, und PyPI blockiert das Hochladen neuer Dateien zu Releases, die älter als 14 Tage sind – beide Maßnahmen richten sich gegen die Welle bösartiger Paketangriffe, die npm und PyPI im vergangenen Jahr heimgesucht haben.
Eine kritische Schwachstelle zur Remote-Code-Ausführung in Alibabas Fastjson 1.x-Bibliothek, verfolgt als CVE-2026-16723, wird aktiv gegen Spring Boot-Anwendungen ausgenutzt. Zum 25. Juli 2026 existiert kein offizieller Patch für den betroffenen 1.x-Zweig.
Ein autonomes KI-Agenten-Framework nutzte zwei Code-Execution-Lücken in Hugging Faces Datenverarbeitungspipeline aus, erntete Cloud-Anmeldedaten und bewegte sich lateral über interne Cluster – der erste größere Verstoß gegen eine KI-Plattform, der von einer KI durchgeführt wurde.
Zwei verkettete Schwachstellen namens wp2shell ermöglichen es nicht authentifizierten Angreifern, auf jeder Standard-WordPress-Installation beliebigen Code auszuführen. Patches sind verfügbar und WordPress hat erzwungene Auto-Updates ausgerollt, doch Exploitation im Feld wurde bereits bestätigt.
Abbott Laboratories hat einen unbefugten Zugriff auf interne Systeme der Cancer Diagnostics bestätigt, nachdem die Erpresserbande ShinyHunters behauptete, über 30 Millionen Kundendatensätze gestohlen zu haben, darunter Arzt-Patienten-Notizen und Sozialversicherungsnummern.
CVE-2026-58644, ein kritischer SharePoint-Fehler zur Remote-Codeausführung mit einem Schweregrad von 9,8, wurde als Zero-Day eingesetzt. Die CISA gibt Bundesbehörden bis zum 19. Juli Zeit, den Patch anzuwenden.
Die Fairlife-Tochtergesellschaft von Coca-Cola hat die US-Produktion eingestellt, nachdem Angreifer bei einem Ransomware-Angriff unbefugten Zugriff auf Produktionssysteme erlangt hatten. Keine Gruppe hat die Verantwortung übernommen, und ob Daten gestohlen wurden, ist unbekannt.
Der Patch Tuesday vom Juli 2026 ist der größte in der Geschichte von Microsoft: 570 Schwachstellen in Windows und weiteren Produkten werden geschlossen – darunter zwei Zero-Days, die bereits aktiv in freier Wildbahn ausgenutzt werden.
<p>Eine Untersuchung der Financial Times, die auf Daten des Forschungsprojekts Mobile Surveillance Monitor zurückgreift, ergab, dass mit dem Iran verbundene Akteure Schwachstellen in der SS7-Signalisierung sowie kommerzielle Werbedatenbanken ausgenutzt haben, um US-Personal und Auftragnehmer im Nahen Osten zu verfolgen.</p>
Eine Analyse auf Paketebene ergab, dass Grok Build, xAIs Coding CLI, im Hintergrund ein vollständiges Git-Bundle des Entwickler-Arbeitsbereichs an einen Google Cloud Storage Bucket sendet – einschließlich Dateien, die die KI nie gelesen hat, und unredigierten .env-Geheimnissen, unabhängig von der Trainings-Opt-out-Einstellung des Tools.
Ein funktionierender, zu 97 % stabiler Exploit für Privilege Escalation und Container Escape ist jetzt öffentlich für CVE-2026-43499 verfügbar, eine Use-after-Free-Schwachstelle im Echtzeit-Mutex-Subsystem des Linux-Kernels, die seit 2011 unentdeckt blieb.