Blog
Eigene Analysen und Lageberichte der NEOSEC-Intel-Redaktion. Tiefer als Twitter, kürzer als ein Whitepaper.
- NEOSEC
APT28 bei NATO-Marinewerft: zwei Monate im Netz, überwiegend mit Windows-Bordmitteln
Symantec hat einen Angriff der russischen Gruppe APT28 auf einen Marineschiffbauer in einem NATO-Staat dokumentiert. Nach dem Erstzugriff per Word-Makro nutzten die Angreifer vor allem Werkzeuge, die auf Windows-Clients ohnehin vorhanden sind: Edge, curl, den OpenSSH-Client und PowerShell. Diese Schritte sind mit verbreiteter Endpoint-Telemetrie erkennbar.
APT28Threat IntelligenceRüstung - NEOSEC
php2shell (CVE-2026-109618, CVE-2026-109619): Hintergrund, Patches und Erkennung
PHP hat am 21. Oktober 2026 Sicherheitsupdates für zwei Schwachstellen mit CVSS 9.2 veröffentlicht. Betroffen sind praktisch alle PHP-Versionen, Fixes gibt es nur für die Zweige 8.2 bis 8.5. Technische Details waren bereits vor dem Release öffentlich. Unter Apache mit mod_php und unter LiteSpeed reicht das Paket-Update allein nicht; die PHP-Prozesse müssen vollständig neu gestartet werden.
PHPZero-DayRCE - Benjamin Espagné
Europol zählt die Lücken der digitalen Forensik. Die meisten davon haben Sie auch.
Die EU-Kommission und Europol haben untersucht, woran Strafverfolgungsbehörden bei digitalen Beweisen scheitern. Die Liste liest sich wie ein Audit mittelständischer IT – und sie sagt, was vor dem Vorfall zu tun ist.
DFIRDigitale ForensikEuropol - NEOSEC
Microsoft Patchday September 2026: 974 Schwachstellen, zwei aktiv ausgenutzt
Microsoft schließt im September einen Rekordzyklus. Je nach Quelle sind es 966, 970, 972, 974 oder über 1.100 Schwachstellen. Keine dieser Zahlen ist falsch, und keine beantwortet die Frage, die im Betrieb zählt.
MicrosoftPatchdaySchwachstellenmanagement - NEOSEC
StyleSmuggler (CVE-2026-75650): Patchen allein reinigt keinen Magento-Shop
Adobe hat am 7. September einen Notfall-Hotfix für eine Magento-Lücke mit CVSS 10.0 veröffentlicht. Angegriffen wurde bereits seit dem 4. September. Wer jetzt nur patcht und den Vorgang abhakt, übersieht den entscheidenden Teil.
MagentoAdobe CommerceZero-Day - NEOSEC
SAP Patchday September 2026: CVSS 10.0 im Kernel, kein Workaround
SAP schließt am 8. September 17 Schwachstellen, vier davon kritisch. Die schwerste erreicht CVSS 10.0, ist vorauthentifiziert ausnutzbar und lässt sich nicht abschalten. Der Fix verlangt einen Kernel-Austausch — und damit ein Wartungsfenster, das Wochen entfernt liegt.
SAPPatchdayNIS2 - J. Benjamin Espagné
CVSS 10.0, Priority-Score 0.00 — und trotzdem der dringendste Patch dieser Woche
N-able patcht außerplanmäßig: CVE-2026-86218 erlaubt Codeausführung auf dem N-central-Server ohne jede Anmeldung. CVSS v4 10.0 — bei einem EPSS von 0,4 Prozent und einem Priority-Score von 0.00. Warum beide Werte korrekt sind, warum die Lücke trotzdem heute geschlossen gehört, und was der Fall über die Grenzen jeder externen Priorisierung verrät.
schwachstellenmanagementrmmn-able - J. Benjamin Espagné
Die ersten 24 Stunden nach einem Agenten-Vorfall
Ein Agent mit gültigen Zugangsdaten tut etwas, das niemand autorisiert hat. Was in den nächsten 24 Stunden passiert, entscheidet über Schaden und Meldefähigkeit — und klassische Playbooks greifen daneben, weil sie den Host isolieren wollen statt die Identität zu widerrufen. Der Ablauf Stunde für Stunde, mit der zweiten Uhr, die in Deutschland parallel läuft: 24 Stunden Erstmeldung nach NIS-2, Protokollierungspflicht nach Artikel 12 der KI-Verordnung.
ai-securityincident-responseagenten - NEOSEC Intel Redaktion
OT-Fernzugriff: Warum das VPN längst zur Angriffsfläche geworden ist
Laut BeyondTrust nutzte über die Hälfte der Ransomware-Vorfälle des Jahres 2024 einen Remote-Dienst als Eintrittspunkt — eine VPN-Appliance, einen RDP-Server. In OT-Umgebungen sind es dieselben Tunnel und Jump-Hosts, die den Betrieb am Laufen halten und den Angreifern die erste Tür öffnen.
otnis2kritis - NEOSEC Intel Editorial
Mirage2FA: Das Opfer schließt die MFA korrekt ab — und der Angreifer bekommt die Sitzung
ANY.RUN dokumentiert mit Mirage2FA einen Phishing-Baukasten, der als Dienstleistung vermietet wird und die Microsoft-365-Anmeldung nicht bricht, sondern durchreicht: Das Opfer schließt die MFA korrekt ab, der Angreifer behält das Sitzungs-Cookie. Warum ein Passwort-Reset danach nichts nützt, was am Mail-Gateway mit einer Regel wegfällt — und warum der 1. September die Entscheidung ohnehin abnimmt.
phishingaitmmicrosoft-365 - NEOSEC Redaktion
Zehn Tage, acht Stunden — und Ihre Logs sind weg
Der SIRIUS-Report 2025 von Europol und Eurojust beschreibt, wie Ermittlungsbehörden an digitale Beweise kommen. Für Unternehmen steht darin mehr, als der Titel vermuten lässt: über die eigene Logaufbewahrung, über die Belastbarkeit von Strafanzeigen — und darüber, wer seit dem 18. August selbst in der Pflicht steht.
e-evidencenis2dfir - NEOSEC Threat Intel
Dysphoria: 296.000 IoT-Geräte für DDoS und Residential-Proxy missbraucht
Shadowserver meldet 296.000 kompromittierte IoT-Geräte, alle Einträge mit Schweregrad CRITICAL. Dysphoria ist von einem DDoS-Botnet zu Relay-Infrastruktur geworden — eine Variante hat die Angriffsfunktion ganz abgelegt. Warum 155 UPnP-Port-Mappings der beste Erkennungspunkt sind und was Netzbetreiber jetzt prüfen sollten.
botnetiotthreat-intel - NEOSEC Redaktion
Cybersicherheit ist Überlebensfähigkeit
Howard Solomon spricht in CSO Online aus, was die Branche denkt, aber selten so klar sagt: Wer Sicherheit weiter primär als Prävention budgetiert, kauft Theater. Sein unbequemster Punkt trifft die deutsche NIS2-Debatte direkt — Unternehmen arbeiten aktiv daran, nicht als kritisch zu gelten, weil das Etikett Pflichten und Haftung mitbringt.
nis2resilienzciso - NEOSEC Redaktion
Google-Ads als Malware-Auslieferer: der Fall MacSync Stealer
Eine Google-Anzeige, die Anthropics Claude Code imitiert, führt macOS-Nutzer auf eine Google-Sites-Seite und verteilt dort einen verschleierten Terminal-Befehl. In sechs Stufen landen Browser-Passwörter, Cloud-Tokens und, wenn vorhanden, die Seed-Phrase einer Ledger-Wallet beim Angreifer. Was der Fall für deutsche Entwickler und ihre Arbeitgeber bedeutet — und welche eine Frage nach einem Verdachtsfall zuerst zu klären ist.
malvertisingmacosstealer - NEOSEC Redaktion
Hat Iran bei China abgeschaut? Der Fall Barati und das Mabna-Institut
Ein iranischer Hacker in Montenegro festgenommen, ein acht Jahre altes US-Verfahren, mehr als 31 Terabyte erbeutete Forschungsdaten. Kim Zetter fragt, ob Teheran um 2013 begann, Wirtschaftsspionage nach chinesischem Vorbild aufzubauen — im selben Jahr, in dem Mandiant China als APT1 enttarnte. Was der Fall für deutsche Hochschulen und Forschungseinrichtungen bedeutet.
iranaptwirtschaftsspionage - NEOSEC Intel-Redaktion
22.000 Datenpannen – was sie über echte Incident-Vorbereitung verraten
Der Verizon DBIR 2026 wertet über 22.000 bestätigte Sicherheitsvorfälle aus 145 Ländern aus. Drei Befunde verändern die Spielregeln für den deutschen Mittelstand: Die Ausnutzung von Schwachstellen ist erstmals der führende Erstzugriffsweg, fast die Hälfte aller Vorfälle führt über einen Drittanbieter — und KI-gestützte Angreifer schließen die Patch-Lücke schneller als je zuvor.
incident-responseransomwaresupply-chain - J. Benjamin Espagné
Trust Issues: Wie MCP-Server Ihre KI kapern können
Jeder MCP-Server ist eine Vertrauensgrenze. Seit April hat die Spezifikation die Autorisierung repariert — Tool Poisoning und Prompt Injection löst das nicht. Neu hinzugekommen: Microsofts Nachweis, dass vergiftete Tool-Beschreibungen ein allgemeines Exfiltrationsverfahren sind, und der Befund, dass neun von elf MCP-Registries eine bösartige Einreichung ungeprüft durchwinkten.
ai-securitymcpprompt-injection - J. Benjamin Espagné
Der augmentierte Analyst — und warum ISC2 die Fachkräftelücke nicht mehr beziffert
ISC2 hat die Schätzung der Fachkräftelücke 2025 gestrichen — nicht weil sie kleiner wurde, sondern weil die Befragten Kompetenzen für dringender halten als Kopfzahlen. Das ändert die Begründung für KI im SOC. Dazu der Angriffsweg, den kaum jemand nennt: Alert-Text ist zu großen Teilen angreiferkontrolliert, und die Triage-Schicht liest per Definition alles.
ai-securitysocalert-fatigue - J. Benjamin Espagné
48.185 CVEs: Warum Priorisierung keine Fleißarbeit mehr ist
2025 wurden 48.185 CVEs veröffentlicht, im Juli 2026 fast 10.000 in einem einzigen Monat. Wichtiger als die Menge ist aber, was seit April gilt: Die NVD reichert nur noch 15 bis 20 Prozent der Meldungen an, und Mandiant beziffert die mittlere Zeit bis zur Ausnutzung auf minus sieben Tage. Warum CVSS als Priorisierungsgrundlage nicht mehr trägt — und warum der KEV-Katalog nicht misst, was viele in ihn hineinlesen.
schwachstellenmanagementcveepss - J. Benjamin Espagné
BSI C5:2026 — und wie man ein Cloud-Testat richtig liest
Der C5:2026 bringt Container Management, Confidential Computing, Post-Quantum-Kryptografie und deutlich erweiterte Lieferkettenkriterien. Wichtiger als die Neuerungen ist aber, was mit einem Testat zu tun ist: Typ 2 statt Typ 1, Abweichungen lesen, Geltungsbereich prüfen — und die Pflichten abarbeiten, die der Bericht dem Kunden zuweist. Dazu eine Korrektur: Der Verweis auf § 8a BSIG stimmt seit der NIS-2-Umsetzung nicht mehr.
nis2compliancecloud - J. Benjamin Espagné
XIEM® oder Splunk: Die Frage ist nicht das Werkzeug, sondern wer es bedient
Ein Vergleich in eigener Sache, offen gekennzeichnet. Mit einer Korrektur zum Lizenzmodell — Splunk rechnet inzwischen auch workload-basiert ab, nicht nur nach Volumen — und mit dem Abschnitt, der in der Erstfassung fehlte: wann XIEM® die falsche Wahl ist. Die entscheidende Frage lautet ohnehin nicht, welches SIEM besser ist, sondern wer es am Tag nach dem Deployment betreibt.
siemxiemsplunk - J. Benjamin Espagné
Detection Coverage: 21 Prozent — und 13 Prozent der Regeln feuern nie
Erkennungsregeln existieren in Produktivumgebungen für 21 Prozent der ATT&CK-Techniken — obwohl die vorhandene Telemetrie über 90 Prozent hergeben würde. Und 13 Prozent der bestehenden Regeln sind kaputt und feuern nie. Die zweite Zahl ist die gefährlichere: Sie sieht in jeder Heatmap wie Abdeckung aus.
detection-engineeringmitre-attacksiem - J. Benjamin Espagné
Neunzehn Tage ohne Modell: Was der Mythos-Stopp über KI-Abhängigkeit lehrt
Im April ging es um ein Modell, das autonom Schwachstellen findet. Im Juni wurden Mythos 5 und Fable 5 per US-Exportkontrolle weltweit abgeschaltet — neunzehn Tage, auf allen Plattformen gleichzeitig, für Nicht-US-Nutzer zuerst. Die eigentliche Lehre handelt deshalb nicht von Angriffsgeschwindigkeit, sondern davon, dass ein KI-Modell ein Zulieferer ist.
ai-securitylieferkettenis2 - J. Benjamin Espagné
Chefsache heißt Artikel 20: Was NIS-2 von der Geschäftsleitung persönlich verlangt
„Chefsache" ist seit NIS-2 keine Haltungsfrage mehr, sondern eine Pflichtenlage mit Fundstelle. Der entscheidende Artikel ist nicht der viel zitierte 21, sondern Artikel 20: Billigung, Überwachung — und eine Schulungspflicht, die für die Geschäftsleitung selbst gilt, nicht nur für die Belegschaft. Dazu sechs Fragen, deren Beantwortungsdauer bereits die Antwort ist.
nis2governancehaftung