heise Security News
Microsoft erinnert an Ende von Windows Server 2022 und Windows 11 24H2
In 60 Tagen endet der (Mainstream-)Support für Windows Server 2022, Windows 11 24H2 und Windows 10 LTSB 2016, mahnt Microsoft.
„Download more RAM“: Windows-Sicherheit durch RAM-EEPROM geknackt
IT-Forscher zeigen Angriff „Download more RAM“ auf Windows-Sicherheitsmechanismen, der auf Manipulation des RAM-EEPROMs basiert.
Zahlreiche Crash-Lücken in Wireshark geschlossen
In der aktuellen Wireshark-Version haben sich die Entwickler um mehrere Sicherheitslücken gekümmert.
Android 17 QPR2 Beta 3: Google bringt neue Anpassungsoptionen und Sicherheit
Google hat die dritte Beta von Android 17 QPR2 veröffentlicht. Das Update bringt neue Anpassungsoptionen, eine App-Sperre und neue Sicherheits-Features.
Angriffe auf SAP-Commerce-Cloud-Lücke beobachtet
SAP hat in der vergangenen Woche eine kritische Lücke in Commerce Cloud geschlossen. Seit dem Wochenende wird sie angegriffen.
Kommentar: Schummelnde KI – einfach nur peinlich
OpenAIs KI hackt Hugging Face – um zu schummeln. Dann rühmt sich Anthropic mit ähnlichen Vorfällen. Philipp Steevens findet das vor allem peinlich.
Energie- und Medizintechnikkonzerne wohl Opfer massiven Datendiebstahls
Russische Cyberkriminelle wollen Daten von Shell, Philips, GE und weiteren Firmen erbeutet haben. Die ausgenutzten Sicherheitslücken wurden im Juli bekannt.
Zweiteiliges Webinar von heise security: Deep-Dive in Kubernetes-Sicherheit
Kubernetes ist aus modernen IT-Infrastrukturen nicht wegzudenken. Unser zweiteiliges Webinar hilft bei der Absicherung der Containerumgebung.
Lücke in Online-Banking: BKA deckt Millionenschäden auf
Eine Gruppe Krimineller soll Bankkunden um Millionen betrogen haben. Ermittler aus Deutschland und Brasilien nahmen nach Durchsuchungen Verdächtige fest.
Seitenkanal erlaubt Zugriff auf RAM des AMD-Sicherheitscontrollers PSP
Bei alten AMD-Prozessoren lässt sich die in Hardware verankerte RAM-Adressverwaltung manipulieren, um auf vermeintlich geschützte Bereiche zuzugreifen.
Apple verschickt Warnungen: Mercenary-Spyware in 110 Ländern
Apple hat Nutzer, bei denen das Unternehmen Angriffe mit bösartigen Datenschädlingen durch Regierungs- und Spionage-Kreise erwartet, explizit gewarnt.
Studie zum Umgang mit Passkeys: Nutzer wissen zu wenig Bescheid
Passkeys sollen Passwörter ablösen, sie gelten als viel sicherer. In der Praxis fehlt vielen Nutzern noch Wissen, haben US-Forscher herausgefunden.
Neue Version des Open-Weight-Modells: GLM 5.3 verbessert Sicherheitsfähigkeiten
Derzeit haben nur zahlende Kunden Zugriff auf das neueste Modell der chinesischen Firma. Eine Downloadmöglichkeit gibt es erst später – aus Sicherheitsgründen.
Europol-Neuregelung: „Können Grundrechte nicht für Sicherheitszwecke opfern“
Der Europäische Datenschutzbeauftragte warnt vor Befugniserweiterungen bei Europol: Daten Unbescholtener könnten künftig regelmäßig verarbeitet werden.
Fortinet FortiWeb: Angreifer können sich mit beliebigen Zugangsdaten einloggen
Sicherheitsupdates schließen mehrere Lücken in Software von Fortinet.
Hunderte irreführende VPN-Erweiterungen im Chrome Store
Über 500 betrügerische Browsererweiterungen hat ein Sicherheitsunternehmen im Chrome Web Store gefunden. Google lasse die Herausgeber unbehelligt weitermachen.
Digitale Kaperbriefe: US-Regierung erlaubt Unternehmen offensive Cyberangriffe
Im Kampf gegen transnationale kriminelle Akteure will die US-Regierung verstärkt auf die Privatwirtschaft setzen. Unternehmen sollen selbst angreifen dürfen.
Taiwan bestätigt KI-gestützten Cyberangriff auf Behörden
Taiwan entdeckte im Juli einen ungewöhnlichen Angriff. Nun bestätigt das Land, dass Hacker dabei autonome KI-Agenten einsetzten, um Netzwerke zu infiltrieren.
Hilfestellung: BSI gibt technische Richtlinie zum Cyber Resilience Act frei
Die „Allgemeinen Anforderungen“ sollen Orientierung für Hersteller vernetzter Produkte schaffen. Auf Anfrage erhalten Unternehmen weitere Handreichungen.
Ivanti EPM: Update stopft drei hochriskante Sicherheitslecks
Im Endpoint Manager von Ivanti können Angreifer an drei Schwachstellen ansetzen und dabei etwa Zugangsdaten abgreifen.