Microsoft berichtet, dass Angreifer unsichtbare Unicode-Tag-Zeichen nutzen, um Phishing-Erkennung zu umgehen. Die Technik ist aus dem Umfeld von KI-Prompt-Injection als ASCII Smuggling bekannt. In einer von Februar bis Juni verfolgten Kampagne wurden die Zeichen in finanzbezogene Köderbegriffe wie „funding" eingefügt; bis zu 2,37 Millionen Nachrichten pro Tag wurden so verschickt, was Filter auf Basis von maschinellem Lernen und Sprachverarbeitung stören kann.
Aktiv ausgenutzt wird derzeit CVE-2026-14894, eine kritische Schwachstelle im WordPress-Plugin Super Forms. Sie erlaubt unauthentifizierten Angreifern beliebige Datei-Uploads – etwa von PHP-Webshells, die anschließend ausgeführt werden und die vollständige Kontrolle über betroffene Seiten ermöglichen. Betreiber sollten auf Version 6.3.314 aktualisieren.
Die USA loben bis zu zehn Millionen Dollar für Hinweise aus, die zur Identifizierung oder zum Aufenthaltsort von Amir Yaryab führen. Der Funktionär des IRGC-CEC leitet dessen Cyber Operations Command. Nach Darstellung der US-Behörden haben ihm unterstellte Gruppen kritische Infrastruktur in Bereichen wie Verteidigung, Energie, Finanzdienstleistungen, Telekommunikation, Schifffahrt und Reisebranche angegriffen; verbundene Gruppen wie CyberAv3ngers setzten weltweit Schadsoftware gegen zivile Infrastruktur ein.
Das FBI warnt vor OAuth-Consent-Phishing: Angreifer geben sich als vertrauenswürdige Personen aus und leiten Ziele zu bösartigen Anwendungen, die legitim wirkende Berechtigungen anfordern. Gelingt das, erhalten sie dauerhaften Zugriff auf E-Mails, Dateien und weitere Daten, ohne Passwörter zu erbeuten. Die CISA hat unterdessen ihren Leitfaden zu Insider-Bedrohungen aktualisiert und behandelt darin auch Remote-Arbeit und Fortschritte bei künstlicher Intelligenz.
Eine Analyse von Natto Thoughts vertieft eine gemeinsame US-Warnmeldung, die die chinesische Hackergruppe QTFY mit der Nanjing Xinjiuwei Network Technology Co. (XJW) in Verbindung bringt. Herausgearbeitet werden Verbindungen zu ELEX und zur Nanjing Lexbell Information Technology: Zu ELEX’ früheren Kundenlisten zählten demnach das Ministerium für Staatssicherheit, das Ministerium für öffentliche Sicherheit sowie Einrichtungen mit Bezug zur Volksbefreiungsarmee. Lexbell wiederum biete militärisch ausgerichtete Produkte, habe eine Führung mit Armeebezug und Verträge mit der National University of Defense Technology.
In zwei Strafverfahren gab es Bewegung: Der frühere AT&T-Mitarbeiter Kenneth Carter wurde zu 16 Monaten Haft verurteilt, weil er seinen Zugang für SIM-Swaps nutzte, mit denen Kriminelle Bankkonten von Kunden übernahmen. Bei drei Opfern lag der beabsichtigte Schaden bei knapp 600.000 Dollar; Carter erhielt pro betrügerischem SIM-Tausch üblicherweise 1.000 bis 2.000 Dollar. Der russische Staatsbürger Sergei Anatoljewitsch Filimonow wurde aus Georgien in die USA ausgeliefert und wegen einer mutmaßlichen Operation zum Abgreifen von Zugangsdaten und zu Bankbetrug gegen US-Bankkunden angeklagt. Laut Anklage lotsten gefälschte Finanzseiten und bezahlte Suchtreffer Opfer auf Phishing-Seiten; die von Filimonow betriebene Infrastruktur soll über 5.000 gestohlene Zugangsdaten gespeichert und Versuche gestützt haben, Millionenbeträge zu entwenden.
Forscher haben mit InjectEave eine neue Klasse elektromagnetischer Seitenkanalangriffe vorgeführt: Ein externes Funksignal erzeugt Nichtlinearitäten in der Hardware, über die niederfrequente analoge Informationen nach außen dringen. Tests an elf handelsüblichen Geräten – darunter Kopfhörer, VoIP-Telefone, smarte Ventilatoren und Lampen – zeigten, dass sich privater Ton rekonstruieren oder Gerätezustände bestimmen lassen, ohne physischen Zugriff und ohne die Geräte zu verändern.
VulnCheck hat schließlich das Verzeichnis von Anthropics Project Glasswing überprüft. Von 26.153 gemeldeten Funden waren nach fast fünf Monaten nur 202 behoben, 245 wurden zurückgezogen. Auffällig ist die Diskrepanz bei der Einstufung: Claude bewertete 91,5 Prozent der Funde mit vorliegender Einstufung als hoch oder kritisch, die Maintainer nur 51,3 Prozent.