Android und Chrome: Die September-Updates für Android schließen 200 Schwachstellen. Besonders hervorgehoben wird CVE-2026-28662, ein kritischer WLAN-Fehler mit Speicherkorruption. Adam Boynton, Enterprise Strategy Manager bei Jamf, nennt ihn den beunruhigendsten Eintrag der Liste: Ungepatcht erlaube er Codeausführung aus der Ferne ohne zusätzliche Rechte oder Nutzerinteraktion und damit möglicherweise eine Rechteausweitung. Google begründet den neuen Chrome-Takt damit, dass die Zeitspanne zwischen der Veröffentlichung eines Fixes im öffentlichen Code und dessen Auslieferung schrumpfen müsse. Ein Anstieg gefundener Fehler sei „kein Zeichen des Scheiterns" – jeder behobene Fehler nehme Angreifern einen Ansatzpunkt. 2021 war Chrome von sechs auf vier Wochen umgestellt worden; Microsoft, Mozilla und Brave gingen ähnliche Wege.
Betrug im großen Maßstab: Die von Netby beschriebene Operation DoppelCart betreibt über 119.000 Domains mit gefälschten Onlineshops, die Zahlungskartendaten abgreifen. Sie kopieren Produktkataloge, Texte, Bilder und Markenauftritte von insgesamt 44.182 Marken – teils werden Inhalte direkt von den Servern der echten Firmen geladen. Auch die Support-Adresse der Marke werde übernommen, sodass sich Geschädigte beim Hersteller beschweren, nicht beim Shop.
Phishing wird schwerer greifbar: Barracuda beschreibt eine DocuSign-Kampagne, bei der die Phishing-Seite per Blob-URL im Browser des Opfers erzeugt wird. Da sie nur in der jeweiligen Sitzung existiert, gibt es keine dauerhafte URL, die Sicherheitswerkzeuge analysieren oder sperren könnten; der sichtbare Weg führt über legitime Microsoft-Dienste. KnowBe4 Threat Lab dokumentierte eine Kampagne, die sechs Google-Dienste – Meet, Suche, DoubleClick, Programmable Search Engine, Bildersuche und Tag Manager – in einer mehrstufigen Weiterleitungskette missbraucht. Zudem verzeichnete KnowBe4 von April bis Juli 2026 einen Anstieg der Phishing-Seiten unter der Vanuatu-Domain .vu um 159 Prozent, mit 1.660 Domains und über 28.000 bösartigen Mails. CloudSEK wiederum verschaffte sich Adminzugang zum Panel von BigBear 2.0, einem Evilginx2-basierten Phishing-Dienst gegen Microsoft 365: 5.137 gestohlene Datensätze, darunter 474 vollständig MFA-umgehende Anmeldungen, 1.032 Klartextpasswörter und 4.148 Sitzungscookies, betreffen 3.331 Opfer-IPs in über 40 Ländern.
Krypto im Visier: Socket fand vier bösartige Chrome- und Firefox-Erweiterungen – J7Tracker, VREO und Orbit Tracker –, die Sitzungstoken und Wallet-Daten von Nutzern der Dienste Axiom Trade und Padre an Vercel-Deployments der Angreifer senden. InstallSafe entdeckte 13 bösartige Wallet-Pakete im npm-Register; GitHub warnt, betroffene Rechner seien als vollständig kompromittiert zu betrachten. Trezor warnte nach dem Einbruch beim E-Mail-Dienstleister Brevo – betroffen waren 120 Brevo-Konten – vor einer Phishing-Mail mit dem Betreff „Kritische Sicherheitswarnung: STM32-Entropie-Schwachstelle"; der Newsletter-Verteiler mit rund 347.000 Adressen war betroffen.
KI als Werkzeug beider Seiten: Laut Hunt.io automatisierte ein chinesischsprachiger Akteur mit Claude Code, Alibaba Qwen und DeepSeek Einbrüche in Regierungs- und Finanzsysteme in Afghanistan, Thailand, Taiwan und den USA; das Orchestrierungs-Framework SecFlow verteilte Aufklärung, Ausnutzung, Sammlung und Berichterstattung auf spezialisierte Agenten. Ausgenutzt wurden unter anderem Shellshock, Spring4Shell, Ghostcat, Log4Shell und ein Nacos-Authentifizierungs-Bypass. Das britische NCSC warnte zugleich, nicht freigegebene KI-Werkzeuge erhöhten das Risiko von Datenabfluss und Verlust geistigen Eigentums.
Strafverfolgung: Malone Lam bekannte sich in den USA als Rädelsführer einer Kryptobetrugs-Verschwörung mit über 245 Millionen US-Dollar Beute schuldig. Der Russe Sergei Filimonov wurde wegen Bank-Kontoübernahmen ausgeliefert und plädiert auf nicht schuldig. In Singapur nahm die Polizei zwei Mitarbeiter eines Handyladens fest, die über 170 Singpass-Konten missbraucht haben sollen.
Die Shadowserver Foundation zählt weiterhin über 33.800 exponierte Plex-Server mit den kürzlich offengelegten Schwachstellen, nach einem Höchststand von 37.467 am 5. September 2026; knapp 20.000 stehen in Nordamerika.