Im US-Senat hat der Satellite Cybersecurity Act of 2025 eine wichtige Ausschusshürde genommen. Die überparteiliche Initiative der Senatoren Gary Peters und John Cornyn verpflichtet das US-Handelsministerium, eine zentrale Anlaufstelle für bewährte Sicherheitspraktiken einzurichten, und verlangt eine Untersuchung des Rechnungshofs GAO zum Schutz von Satelliten vor Cyberbedrohungen. Laut Forschungsergebnissen bleibt rund die Hälfte aller kommerziellen Satellitensignale unverschlüsselt, obwohl sie sensible Daten übertragen.
Strafverfolger erzielten gleich zwei Erfolge. Das FBI-Büro Atlanta und die indonesische Nationalpolizei zerschlugen eine Phishing-as-a-Service-Plattform, über die mehr als 20 Millionen Dollar an Betrugsversuchen abgewickelt worden sein sollen. Der mutmaßliche Hauptentwickler mit dem Kürzel G.L. soll den Zugang zum W3LL-Phishing-Kit verkauft und einen Marktplatz betrieben haben, über den mehr als 25.000 Konten kompromittiert wurden. In Nordirland nahm die Polizei einen 16-Jährigen im Zusammenhang mit einem Angriff auf das Bildungssystem C2k fest, das nahezu alle Schulen der Region mit IT-Diensten versorgt. Die Education Authority bestätigte, dass an einigen wenigen Einrichtungen personenbezogene Daten betroffen waren.
Die Erpressergruppe ShinyHunters setzte zwei Organisationen unter Druck. Bei Rockstar Games will sie über Authentifizierungstokens im Cloud-Kostenüberwachungstool Anodot Daten abgegriffen und auf Snowflake-Instanzen zugegriffen haben; Rockstar bestätigte eine „begrenzte" Offenlegung unwesentlicher Informationen über einen Drittanbieter, betont aber, dass Kerngeschäft und Spielerdaten unberührt blieben. Bei McGraw Hill veröffentlichte die Gruppe nach Ausnutzung einer fehlkonfigurierten Salesforce-Umgebung Daten zu 13,5 Millionen Konten – über 100 GB mit Namen, E-Mail-Adressen, Telefonnummern und Anschriften. McGraw Hill erklärte, Kernsysteme und sensible Daten seien nicht betroffen.
Bei den Schwachstellen sticht ShowDoc hervor: Angreifer nutzen aktiv eine kritische Lücke zur Remotecodeausführung (CVE-2025-0520) in der in China verbreiteten Dokumentationsplattform aus, um Web-Shells zu platzieren. Ursache ist ein ungeprüfter Datei-Upload; ein Patch liegt mit Version 2.8.7 vor, doch tausende Instanzen sind weiterhin aus dem Internet erreichbar. In AWS Research and Engineering Studio erlauben mehrere Schwachstellen (CVE-2026-5707, CVE-2026-5708 und CVE-2026-5709) authentifizierten Nutzern Befehlsausführung und Rechteausweitung; AWS behob sie in Version 2026.03.
Google schloss in Chrome 147 insgesamt 31 Schwachstellen. Für einen kritischen Heap-Buffer-Overflow in der Grafikkomponente ANGLE (CVE-2026-6296) erhielt der Forscher „Cinzinga" eine Prämie von 90.000 Dollar. Weiter meldenswert: Meta stattet Sicherheitsforscher ab der HackerPlus-Silver-Liga mit Burp-Suite-Pro-Lizenzen von PortSwigger aus, eine neue GlassWorm-Variante verbreitet sich über eine als WakaTime getarnte OpenVSX-Erweiterung in VS-Code-basierten Entwicklungsumgebungen, und die US-Umweltbehörde EPA will ihr Budget für Informationssicherheit im Haushaltsentwurf 2027 auf 19,1 Millionen Dollar verdoppeln.