Google hat ein Sicherheitsupdate für Chrome veröffentlicht und eine kritische Use-after-free-Schwachstelle im ServiceWorker mit der Kennung CVE-2025-10200 geschlossen. Parallel wurde auch CVE-2025-10201 im Mojo-Framework behoben. Für die Meldungen zahlte Google im Rahmen des Bug-Bounty-Programms 43.000 US‑Dollar an Looben Yang sowie 30.000 US‑Dollar an Sahan Fernando und einen anonymen Forscher. Kritische Chrome-Sicherheitsluecke CVE-2025-10200 im ServiceWorker Use-after-free … Weiterlesen

Ein gezielter Supply-Chain-Angriff auf die Build-Plattform NX hat eine breite Schneise im JavaScript/TypeScript-Ökosystem geschlagen. Nach Analysen von Wiz wurden 2.180 Konten beeinträchtigt und Inhalte aus 7.200 Repositories offengelegt. Besonders kritisch: Ein Teil der exfiltrierten Geheimnisse ist weiterhin gültig und kann noch missbraucht werden. Auswirkungen in drei Phasen: kompromittierte Konten, Tokens und Repositories In der ersten … Weiterlesen

Google integriert die Technologie Content Credentials nach C2PA-Standard in die Kamera-App des Pixel 10 und in Google Photos. Ziel ist ein überprüfbarer Herkunftsnachweis für Bilder, der Nutzern, Redaktionen und Plattformen hilft, zwischen authentischen Fotos und KI-generierten oder nachträglich manipulierten Inhalten zu unterscheiden. Content Credentials (C2PA): Herkunft, Bearbeitung und Integritaet auf einen Blick Content Credentials sind … Weiterlesen

Ein ehemaliger WhatsApp-Mitarbeiter, Attaullah Baig, hat Meta verklagt. Er behauptet, seine Kündigung im Februar 2025 sei erfolgt, nachdem er wiederholt auf systemische Schwachstellen in der Cybersicherheit hingewiesen hatte. Die Klage stützt sich auf den Sarbanes‑Oxley Act (SOX), der Whistleblower schützt, die potenzielle Irreführung von Aktionären oder Verstöße gegen SEC-Vorgaben melden. Kernaussagen der Klage: Zugriff, Protokollierung … Weiterlesen

Ein untergeordnetes Zertifizierungszentrum von Fina hat ohne Zustimmung von Cloudflare 12 TLS‑Zertifikate für die IP 1.1.1.1 ausgestellt – den populären öffentlichen DNS‑Resolver von Cloudflare. Die Zertifikate tragen Daten von Februar 2024 bis August 2025 und wurden über Certificate Transparency (CT)‑Logs und die Mailingliste Mozilla dev-security-policy entdeckt. Cloudflare bewertet den Vorgang eindeutig als Miss‑Issuance (Fehlausstellung). Was … Weiterlesen

Inmitten zahlreicher Schlagzeilen über eine angebliche „Massenwarnung“ an 2,5 Milliarden Gmail-Nutzer hat Google klargestellt: Es gab keinen massenhaften Passwort-Reset und kein flächendeckendes Notfall-Benachrichtigungssystem für alle Konten. Hinweise auf ein kompromittiertes Gmail-Backend wurden verneint; Berichte über eine groß angelegte Datenpanne sind unbegründet. Hintergründe der Falschmeldungen: Phishing, Drittanbieter und Fehlinterpretationen Auslöser waren vermischt dargestellte Informationen zu Phishing-Kampagnen … Weiterlesen

Google hat den Android-Sicherheitsbulletin für September 2025 veröffentlicht und dabei 120 Sicherheitslücken in System und Ökosystem-Komponenten behoben. Mindestens zwei 0‑Days – CVE-2025-38352 (Privilege Escalation im Linux-Kernel) und CVE-2025-48543 (Privilege Escalation in Android Runtime) – werden laut Google bereits in gezielten, begrenzten Angriffen ohne Nutzerinteraktion ausgenutzt. 0‑Days und kritische Schwachstellen: was genau behoben wurde CVE-2025-38352 betrifft … Weiterlesen

Mit dem August-Update 2025 für Windows (KB5063878) und darauffolgenden Patches hat Microsoft das Verhalten von User Account Control (UAC) und Windows Installer grundlegend verschärft. Auslöser ist die Schließung der Rechteausweitung CVE-2025-50173, über die sich authentifizierte Angreifer Systemrechte verschaffen konnten. Seit dem Update verlangen Reparatur- und Self‑Healing‑Routinen von MSI nun explizit Administratornachweise. UAC- und Windows-Installer-Aenderungen: MSI-Repair … Weiterlesen

Security‑Forscher von ESET haben Ende August 2025 auf VirusTotal Proben von „PromptLock“ entdeckt und bestätigt, dass es sich nicht um eine frei kursierende Kampagne, sondern um einen akademischen Prototyp der NYU Tandon handelt. Die Einordnung bleibt dennoch brisant: PromptLock gilt als erster bekannter Ransomware‑Prototyp, der die Orchestrierung und Teile der Schadlogik an eine KI (LLM) … Weiterlesen

Salesloft hat die Plattform Drift am 5. September vorübergehend deaktiviert, nachdem bei einem großangelegten Supply-Chain-Angriff OAuth‑ und Refresh‑Token von Kunden kompromittiert wurden. Das Unternehmen begründet den Schritt mit der Notwendigkeit eines umfassenden Forensik‑Audits und zusätzlicher Härtungsmaßnahmen, bevor der Dienst wieder in Betrieb geht. Was passiert ist: Drift-Integrationen als Einfallstor Betroffen ist Salesloft Drift, die Integrationsschicht … Weiterlesen