IT-News KW27/2026: Gitea-Auth-Bypass, KVM VM-Escape, Supply-Chain-Angriffe

Diese Woche trifft es die Selbstbetreiber: ein Authentifizierungs-Bypass im offiziellen Gitea-Docker-Image, der erste KVM-Ausbruch, der auf Intel und AMD gleichermaßen funktioniert, und sechs Lücken in der Signaturprüfung von U-Boot. Dazu drei Supply-Chain-Angriffe, die sich alle gegen Entwickler richten.

Deep Dive: Self-Hosting-Sicherheit unter Druck

Gitea: ein HTTP-Header genügt für Admin-Rechte

Im offiziellen Docker-Image von Gitea klafft ein kritischer Authentifizierungs-Bypass (CVE-2026-20896, CVSS 9,8). Ursache ist kein Fehler im Gitea-Code selbst, sondern die Voreinstellung von REVERSE_PROXY_TRUSTED_PROXIES im Image: Sie vertraut Authentifizierungs-Headern aus beliebigen Quell-IPs. Wer Reverse-Proxy-Authentifizierung aktiviert hat, kann von unauthentifizierten Angreifern über einen gefälschten X-WEBAUTH-USER-Header als beliebiger Benutzer imitiert werden — Administratoren eingeschlossen.

Betroffen sind Images bis einschließlich Version 1.26.2. Laut Security Affairs stehen rund 6.200 Gitea-Instanzen offen im Netz; die Ausnutzung begann nach Angaben von Sysdig bereits knapp zwei Wochen vor der Veröffentlichung. Wer einmal drin ist, liest private Repositories, exfiltriert Secrets und kann Code in CI/CD-Pipelines einschleusen.

Für alle, die Gitea oder Forgejo selbst betreiben, ist das der dringlichste Punkt der Woche: Image aktualisieren und die Trusted-Proxy-Konfiguration explizit setzen, statt sich auf die Vorgabe zu verlassen.

Januscape: 16 Jahre alter KVM-Bug erlaubt den Ausbruch aus der VM

Eine Use-after-free-Schwachstelle in der Shadow-MMU-Emulation von KVM erlaubt es, aus einer Gast-VM auf den Host auszubrechen (CVE-2026-53359, „Januscape"). Bemerkenswert ist zweierlei: Der Fehler steckte 16 Jahre im Kernel, und es ist der erste KVM-Guest-to-Host-Escape, der auf Intel- und AMD-x86-Systemen funktioniert. Voraussetzung ist Root im Gast; von dort lässt sich Code auf dem Host ausführen oder andere VMs desselben Wirts stören.

Google zahlte über sein kvmCTF-Programm die Höchstprämie von 250.000 Dollar — die Stufe, die für einen vollständigen VM-Escape reserviert ist. Der Patch ist am 19. Juni in den Mainline-Kernel eingeflossen. Für Proxmox- und KVM-Betreiber mit mehreren Mandanten auf einem Host ist das die Lücke, die man diese Woche einplant.

Zimbra: Stored XSS im Classic Web Client

Zimbra hat mit Daffodil v10.1.19 eine Stored-XSS-Lücke im Classic Web Client geschlossen (CVE-2025-66376). JavaScript in einer präparierten HTML-Mail wird beim Betrachten im Kontext der Sitzung ausgeführt. Laut BleepingComputer hat der russlandnahe Akteur TA488 (auch Void Blizzard bzw. Laundry Bear) die Lücke rund fünf Monate lang ausgenutzt, dauerhaften Zugang eingerichtet und Postfächer abgezogen. Wer Zimbra selbst hostet, patcht und prüft anschließend auf Persistenz.

U-Boot: sechs Lücken vor der Signaturprüfung

Im Bootloader U-Boot wurden sechs Schwachstellen in der FIT-Signaturprüfung gefunden (BRLY-2026-037 bis BRLY-2026-042) — zwei erlauben Codeausführung, vier einen Denial of Service. Entscheidend ist der Zeitpunkt: Alle sechs werden erreicht, während U-Boot ein noch nicht verifiziertes Image liest, also bevor die Signatur geprüft wurde. Damit hebeln sie genau den Mechanismus aus, der Verified Boot und die Root of Trust tragen soll.

Der verwundbare Code existiert größtenteils seit U-Boot 2013.07 und betrifft damit über 50 Releases sowie Hersteller, die ihn in eigene Firmware übernommen haben — vom BMC im Server über Netzwerktechnik bis zu Industrie- und IoT-Geräten.

Deep Dive: Supply-Chain-Angriffe auf Entwickler

Ghostcommit: Prompt-Injection im PNG

Forscher der University of Missouri-Kansas City haben am 11. Juli Ghostcommit vorgestellt: Schadanweisungen werden in PNG-Dateien versteckt, die mit einem Pull Request ins Repository wandern. Der blinde Fleck ist strukturell — weder menschliche noch automatisierte Reviewer öffnen die Bilddateien beim Prüfen eines PRs, der KI-Coding-Agent liest sie später aber sehr wohl und führt aus, was darin steht. Ergebnis: Secrets aus dem Repository wandern zum Angreifer.

HalluSquatting: Agenten installieren Pakete, die es nie gab

Ein Team der Universität Tel Aviv, des Technion und von Intuit hat am 8. Juli eine Angriffstechnik beschrieben, die die Halluzinationen der Modelle selbst zur Waffe macht. Der Kern: Modelle erfinden Paket-, Repository- und Skill-Namen nicht zufällig, sondern reproduzierbar — bei Repository-Anfragen bis zu 85 Prozent identische Namen, bei Skill-Installationen 100 Prozent. Wer diese Namen vorab registriert, wird zuverlässig von fremden Agenten installiert.

Dass das kein Laborproblem ist, zeigt ein Fund von Aikido Security aus dem Januar 2026: Das erfundene npm-Paket react-codeshift hatte sich über KI-generierte Anleitungen bereits in 237 Projekte verbreitet — und wurde weiterhin täglich von Agenten nachinstalliert.

Injective SDK: 18 npm-Pakete mit Wallet-Stealer

Über das Konto eines vertrauenswürdigen Entwicklers gelangte am 8. Juli eine Hintertür in das Injective-SDK auf npm. Getarnt als Analytics-Code fing sie Wallet-Recovery-Phrasen und private Schlüssel ab, sobald eine Wallet erzeugt oder geladen wurde. Ausgangspunkt war @injectivelabs/sdk-ts in Version 1.20.21; die automatische Veröffentlichung verteilte den Code binnen Minuten auf 18 weitere Pakete.

Der Schaden blieb aus: Die Pakete waren weniger als eine Stunde online und wurden 310-mal heruntergeladen, Gelder gingen keine verloren. Auffällig ist der Vorlauf — verdächtige Commits reichen bis zum 8. Juni zurück, einen vollen Monat vor der Veröffentlichung.

FakeGit: 7.600 präparierte GitHub-Repositories

Eine groß angelegte Kampagne nutzte 7.600 manipulierte GitHub-Repositories, um SmartLoader- und StealC-Malware zu verbreiten. Vor dem Klonen eines unbekannten Repositories lohnt der Blick auf Sterne, Forks und Commit-Historie — die Fälschungen sind daran meist zu erkennen.

Digest: Weitere wichtige Nachrichten

Sicherheit

ShareFile: Progress lässt Server abschalten: Progress Software wies seine Kunden am 10. Juli an, die Windows-Server ihrer ShareFile Storage Zone Controller herunterzufahren — wegen einer „glaubwürdigen externen Bedrohung". Ein Patch stand zu diesem Zeitpunkt nicht bereit.
Weltweite Angriffswelle auf CMS-Installationen: Das australische ACSC warnte am 9. Juli vor einer großflächigen Kampagne gegen WordPress, Craft CMS, MaxSite, MetInfo und Joomla JCE. Erfolgreiche Angriffe hinterlassen Webshells. Sämtliche ausgenutzten Lücken sind öffentlich und gepatcht — getroffen wird also, wer nicht aktualisiert. Das Tempo von Scan und Ausnutzung deutet nach ACSC-Einschätzung auf KI-gestütztes Angriffswerkzeug hin.
AssuranceAmerica: 6,9 Mio. Datensätze: Beim US-Kfz-Versicherer wurden Daten von 6.998.886 Personen kopiert, darunter Führerscheinnummern. Der Zugriff erfolgte bereits am 16. März über die Zugangsdaten eines Mitarbeiters. Zahlungskartendaten und Sozialversicherungsnummern waren nicht betroffen.

KI & Entwicklung

Microsofts Bug-Bounty deckt jetzt auch fremden Code: Microsoft zahlt künftig auch für kritische Lücken in seinen Online-Diensten, wenn der betroffene Code nicht von Microsoft stammt. Im vergangenen Jahr schüttete das Programm über 17 Mio. Dollar aus.

Infrastruktur & Cloud

OpenMandriva: Sabotage aus den eigenen Reihen: Am 8. Juli löschte ein Mitwirkender mit Administratorrechten Teile der GitHub-Repositories und veröffentlichte im Cooker-Zweig ein leeres Paket, das sämtliche GNOME- und COSMIC-Pakete für obsolet erklärte. Auslöser war ein Streit im Matrix-Chat des Projekts. Die Rechte stammten aus einer früheren Repository-Migration — ein Lehrstück über Zugänge, die nach Projektende bestehen bleiben.
Forg365: Phishing-Plattform gegen Microsoft 365: Die über Telegram vertriebene Phishing-as-a-Service-Plattform kombiniert Device-Code-Angriffe mit Adversary-in-the-Middle-Routing und KI-generierten Ködern. Eine Browser-Erweiterung hält den Zugang offen, ohne dass sich der Angreifer erneut anmelden muss.
Helix: Vishing mit Chef-Imitation: Die Erpressergruppe eröffnet ihre Angriffe mit Anrufen, in denen sich die Operatoren als Vorgesetzte des Opfers ausgeben — teils mit gefälschter Rufnummer — und Mitarbeiter durch ein Device-Code-Phishing lotsen. Anschließend werden SharePoint-Daten abgezogen. Überschneidungen in Vorgehen und Registrar deuten auf Verbindungen zu ShinyHunters.

Zusammengestellt am 11. Juli 2026. Quellen: The Hacker News, BleepingComputer, Security Affairs, Proofpoint, ACSC.