Die schwerwiegendste neu genannte Schwachstelle betrifft Gogs. Die Lücke CVE-2026-52813 erreicht einen CVSS-Wert von 10,0 und kann laut einem Advisory aus dem Juni 2026 für Remote Code Execution über Git-Hooks ausgenutzt werden. Ursache ist, dass Gogs Organisationsnamen mit Pfad-Traversal-Sequenzen wie „../“ akzeptiert. Dadurch lassen sich Repository-Daten an beliebigen Stellen im Dateisystem speichern oder abrufen. Durch eine verschachtelte Struktur von Git-Repositories kann laut Beschreibung die Hook-Konfiguration eines anderen Repositorys überschrieben werden, was schließlich zur Codeausführung führt. Beoben wurde das Problem in Gogs 0.14.3. In derselben Version wurden auch CVE-2026-52810, ein Logikfehler zum Schreiben in schreibgeschützte Repositories, sowie GHSA-6vxv-wg6j-5qwp, eine XSS-Schwachstelle in der veralteten Komponente „jsvine/notebookjs“, geschlossen. Entdeckt und gemeldet wurden die Fehler von Aikido Security.
Ebenfalls kritisch ist eine Schwachstelle in n8n, einer Open-Source-Plattform zur Workflow-Automatisierung. CVE-2026-33696 mit einem CVSS-Wert von 9,4 erlaubt es einem authentifizierten Nutzer mit Rechten zum Erstellen oder Ändern von Workflows, eine Prototype-Pollution-Schwachstelle in den XML- und GSuiteAdmin-Knoten auszunutzen und Code auf der n8n-Instanz auszuführen. Sicherheitsforscher Simon Koeck, der die Lücke entdeckt hat, erklärte, schon die Prototype Pollution sei gravierend genug, um eine gesamte n8n-Instanz zum Absturz zu bringen. In Kombination lasse sich jedoch vollständige Codeausführung erreichen; die Angreiferbefehle laufen dann als Benutzer des n8n-Prozesses. Gepatcht wurde die Schwachstelle in den Versionen 2.14.1, 2.13.3 und 1.123.27.
Auch im npm-Paket @circleci/mcp-server-circleci wurde eine kritische Schwachstelle bekannt. Remedio zufolge kann eine speziell präparierte Anfrage zu Remote Code Execution führen. Ausgenutzt wird dabei, dass die HTTP-Header Host und Origin, die eigentlich browserbasierte Angriffe abwehren sollen, von einem netznahen Angreifer gesetzt werden können. Laut Remedio reicht eine Anfrage mit „Host: localhost“ und ohne Origin-Header aus, um die Schutzprüfung zu umgehen. Danach sei eine Kommunikation mit verbundenen Werkzeugen möglich, einschließlich des Aufrufs der Funktion zum Starten einer Pipeline mit eigener Konfiguration und eingebetteten Befehlen. CircleCI führe diese dann mit dem Token der Organisation aus. Behoben wurde der Fehler in Version 0.19.2.
Neue technische Details gibt es außerdem zu einer inzwischen geschlossenen Apple-Schwachstelle in macOS Spotlight. Die Lücke CVE-2026-43774 mit einem CVSS-Wert von 5,5 ist ein Out-of-Bounds-Read im PostScript-Plug-in von Spotlight. Laut Iru-Forscher Csaba Fitzl kann eine bösartige Anwendung über eine speziell präparierte .ps-Datei auf sensible Nutzerdaten zugreifen. Dafür müssen laut Fitzl drei Bedingungen erfüllt sein: Die Datei muss mindestens 4000 Byte groß sein, ein DSC-Kommentarschlüsselwort wie „%%Creator:“ muss innerhalb der ersten 4000 Byte vorkommen, und auf die Zeichenfolge bis Byte 4000 dürfen keine Steuerzeichen folgen. Apple hatte den Fehler bereits Ende Juli 2026 geschlossen.
Neben den Produktlücken nennt das Bulletin weitere sicherheitsrelevante Entwicklungen. Check Point hat den Microsoft-Defender-Treiber „BTR.sys“ rückentwickelt und gezeigt, dass sich der signierte Bereinigungstreiber als universelle Kernel-Operations-Engine missbrauchen lässt, um Endpunktschutz in einem „goldenen Fenster“ zwischen Systemstart und Initialisierung des Benutzermodus zu umgehen. Laut Forscher Jiří Vinopal ist signaturbasierte Blockierung wirkungslos, weil es sich um eine legitime, von Microsoft signierte Komponente handelt.
Im Bereich Malware berichtet Acronis über eine neue Grandoreiro-Kampagne, die die legitime Anwendung Duplicate Files Finder für DLL-Sideloading missbraucht. Die Aktivität konzentriert sich laut Telemetriedaten weiterhin auf Lateinamerika; Mexiko, Spanien, Peru und Argentinien stellen den größten Anteil der Infektionen. WatchGuard und eSentire beschrieben zudem ClickFix-Kampagnen von ErrTraffic, die über kompromittierte WordPress-Seiten Schadprogramme wie Cruciferra und letztlich Remus Stealer ausliefern.
Für industrielle Umgebungen meldete Clarotys Team82 insgesamt 23 Schwachstellen in Copeland-XWEB-Pro-Controllern, darunter Fehlerketten für Root-Remote-Code-Execution. Zusätzlich wurden mehrere Schwachstellen in Danfoss-AK-SM-800A-Kühlsteuerungen offengelegt, darunter ein versteckter „Code-des-Tages“-Authentifizierungsmechanismus, eine Command-Injection-Lücke für Remote Code Execution und eine Möglichkeit für authentifizierte Nutzer, beliebige Nginx-Konfigurationsdirektiven einzuschleusen. Laut Bericht haben die jeweiligen Hersteller alle identifizierten Schwachstellen behoben.