Die auffälligste Meldung der Woche betrifft N-able: Der Hersteller hat Hotfixes für die N-central-Schwachstellen CVE-2026-86206 und CVE-2026-86207 bereitgestellt. Beide erlauben es Unbefugten, die Authentifizierungskontrollen zu umgehen und vollen Zugriff auf die Plattform zu erlangen. Zusätzlich wurde CVE-2026-86218 geschlossen – eine Lücke mit dem maximalen CVSS-Wert von 10.0, die eine Codeausführung auf dem N-central-Server ohne vorherige Authentifizierung ermöglicht.
“Derzeit haben wir keine Bestätigung dafür, dass diese Schwachstellen in Produktionsumgebungen ausgenutzt wurden, ungepatchte Systeme bleiben aber gefährdet”, teilte N-able mit. Huntress kommt zu einem anderen Bild: Das Unternehmen beobachtete Anzeichen dafür, dass Angreifer CVE-2026-86206 und/oder CVE-2026-86207 wahrscheinlich ausnutzen. Ausgelöst wurde die Untersuchung am 4. September durch die Kompromittierung einer vollständig gepatchten N-central-Produktionsumgebung eines Kunden.
Eine eindeutige Zuordnung bleibt allerdings offen. “Aufgrund der begrenzten historischen Protokollierung, die direkt auf der Appliance verfügbar ist, können wir nicht endgültig bestätigen, welchen konkreten Exploit der Angreifer für die Kompromittierung genutzt hat, und wir können auch die Nutzung anderer Schwachstellen nicht ausschließen”, so Huntress. Genau darin liegt die Lehre, die der Rückblick zieht: “Vollständig gepatcht” sagt nur, welche Korrekturen installiert sind – es beweist nicht, dass niemand hineingelangt ist. Protokolldaten für die Ermittlungsarbeit sind daher ebenso wichtig wie das Einspielen der Updates.
Ein zweites Thema der Woche zeigt, wie begrenzt Schutzmaßnahmen greifen können, auf die sich Anwender verlassen. Das Abschalten von Bildern in E-Mails sollte eigentlich verhindern, dass Grafiken angezeigt werden. Angreifer umgehen das mit einem scanbaren QR-Code, der aus Textzeichen aufgebaut ist – er erscheint auch dann, wenn Bilder blockiert sind. Hinzu kommen ein Fall, in dem eine als vertrauenswürdig eingestufte Softwarequelle Code auslieferte, der Zugangsdaten abgriff, sowie ein Protokoll, das eigentlich der sicheren Netzwerkverwaltung dient und Außenstehenden bereits vor der Anmeldung verwertbare Hinweise lieferte. Ergänzt wird das Bild durch laufende Angriffe auf Browser, Router und Online-Shops.
Die wöchentliche Schwachstellenliste fällt umfangreich aus. Als besonders relevant markiert sind unter anderem CVE-2026-13086 (WatchGuard), CVE-2026-80047 (Hugging Face Transformers), CVE-2026-9585 bis CVE-2026-9588 (Sangoma Switchvox SMB), CVE-2026-6881 (Ellucian Advance Web und Legacy Advance), CVE-2026-13380 und CVE-2026-13381 (VSee Clinic), CVE-2026-58400 (GeoNetwork) sowie CVE-2026-84235 (Rockwell Automation) und CVE-2026-84115 (Cleo Harmony).
Bei den Browsern betrifft es zehn Einträge von CVE-2026-84117 bis CVE-2026-84126 in Mozilla Firefox sowie CVE-2026-84352, CVE-2026-84353 und CVE-2026-85046 in Google Chrome. Weiter genannt werden acht Cisco-Schwachstellen (CVE-2026-20212 sowie CVE-2026-20274 bis CVE-2026-20280), CVE-2026-19949 (All-in-One WP Migration and Backup), CVE-2026-15630 (Casdoor), CVE-2026-73749 (HPE ArubaOS-CX), CVE-2026-67394 (Plesk), CVE-2026-38577 (Tenda), das als PostGREShell bezeichnete CVE-2026-6471 (PostgreSQL), CVE-2026-42038 (Axios), CVE-2026-64532 und CVE-2026-64533 (Linux-Kernel), CVE-2026-58048 (cPanel und WHM), CVE-2026-14540 (Google mcp-toolbox), zahlreiche Jenkins-Lücken, fünf FreeRDP-Advisories, CVE-2026-59346 und CVE-2026-59347 (Broadcom VMware Workstation und Fusion), sechs Einträge zu MikroTik RouterOS sowie sieben Schwachstellen in Telerik UI for ASP.NET AJAX.