Seit dem 10. Juli 2026 haben wir in mehreren Artikeln insgesamt 47 Sicherheitslücken (CVEs) dokumentiert und gegen Primärquellen wie die National Vulnerability Database (NVD), Hersteller-Advisories und den CISA-KEV-Katalog geprüft. Jede einzelne davon hatte bereits ihren eigenen Artikel oder Absatz, mit Einordnung für Geschäftsführung und Technik. Was bisher fehlte: der Überblick über alle 47 an einem Ort, sortiert nicht nach Veröffentlichungsdatum, sondern nach dem, was tatsächlich zählt, dem Risiko.
Dieser Artikel ist genau das: eine Bestandsaufnahme, keine Neuauflage. Wo eine Lücke bereits ausführlich behandelt wurde, verweisen wir kurz und verlinken auf den Originalartikel, dort steht die vollständige technische Tiefe. Ganz unten finden Sie außerdem den Link zu unserer durchsuchbaren, filterbaren CVE-Datenbank mit allen Details zu jedem einzelnen Eintrag.
Die drei aktiv ausgenutzten Lücken zuerst
Von 47 dokumentierten CVEs stehen drei nachweislich im Katalog aktiv ausgenutzter Schwachstellen (CISA-KEV). Bei diesen dreien ist die Frage nicht „ob“, sondern „wann“ ein Angreifer es versucht, wenn die betroffene Software im Einsatz ist.
- CVE-2026-15409 & CVE-2026-15410, SonicWall SMA1000 Series (Remote-Access-Gateway). SSRF (CVSS 10.0, unauthentifiziert) plus Command-Injection (CVSS 7.2, post-authentifiziert), in Kombination eine vollständige Fernübernahme des Geräts ohne Zugangsdaten. Fix: 12.4.3-03453 / 12.5.0-02835. Ausführlich mit Angriffskette und CVSS-Vektor erklärt in unserem Einzelartikel zu SonicWall SMA1000.
- CVE-2026-41940, cPanel & WHM (Hosting-Panel). CRLF-Injection im Login-Prozess, CVSS 9.8, erlaubt Admin-Zugriff auf den ganzen Hosting-Server ohne Zugangsdaten. Fix: aktuellster cPanel-TSR. Details zur Angriffsmethode im Abschnitt „cPanel/WHM“ unseres Artikels zur Webserver-CVE-Flut.
GF-Klartext: Setzen Sie eines dieser Systeme ein, ist das keine Lücke für die nächste Wartungsrunde, sondern für heute. Beide stehen im CISA-KEV-Katalog, das heißt: reale, dokumentierte Angriffe, keine theoretische Bewertung. Prüfen Sie beim jeweiligen Hoster beziehungsweise IT-Dienstleister aktiv nach, ob der Patch bereits eingespielt ist, verlassen Sie sich nicht auf automatische Updates allein.
Kritisch (CVSS 9.0 und höher)
Neun der 47 Lücken erreichen einen kritischen CVSS-Wert. Zwei davon zählen bereits zu den aktiv ausgenutzten oben, die übrigen sieben sind nach heutigem Kenntnisstand nicht als aktiv ausgenutzt bekannt, aber mit voller oder nahezu voller Punktzahl bewertet.
Netzwerk-Infrastruktur (Firewall, WLAN-Controller, Self-Hosting)
- CVE-2026-50746, Ubiquiti UniFi Connect Application, CVSS 10.0. Fehlerhafte Zugriffskontrolle erlaubt unauthentifizierte Befehlseinschleusung über das Netzwerk. Fix: 3.4.20.
- CVE-2026-57155, OPNsense (Community & Business), CVSS 9.9. Ein stark eingeschränktes Firewall-Alias-Konto kann über eine unsichere GeoIP-Datenbank-Verarbeitung volle Root-Kontrolle erlangen. Fix: 26.1.11 / 26.4.1.
- CVE-2026-34038, Coolify (Self-Hosting-Plattform), CVSS 9.9. Command Injection über Deployment-Parameter, volle Codeausführung samt Auslesen von Zugangsdaten aus Logs. Fix: 4.0.0-beta.469.
Alle drei ausführlich mit Angriffsweg und Härtungsempfehlung in unserem Roundup zu Firewall, WLAN-Controller und Self-Hosting-Plattform.
WordPress-Plugins und -Themes
- CVE-2026-57811, Realtyna Organic IDX, CVSS 10.0. Unauthentifizierte Remote Code Inclusion, kein Account nötig. Fix: 5.3.0.
- CVE-2026-57724, Kirki (Theme-Baukasten), CVSS 9.8. PHP Object Injection durch unsichere Deserialisierung. Fix: 6.0.13.
- CVE-2026-57744, RT-Theme 18 | Extensions, CVSS 9.8. Gleiches Muster wie Kirki, Fixed-Version bislang nicht dokumentiert.
Details und Rechtestufen-Einordnung im KW30-Roundup WordPress-Plugins und -Themes.
Webserver/Middleware
- CVE-2026-42530, NGINX Open Source/Plus, ngx_http_v3_module (HTTP/3), CVSS 9.2 (v4), Use-after-free. Reicht von Absturz des Worker-Prozesses bis zu theoretischer Codeausführung. Fix: 1.31.2+. Eingeordnet im Abschnitt „NGINX“ unseres CVE-Flut-Artikels.
Techniker-Klartext: Bei allen neun kritischen Lücken gilt dieselbe Faustregel: sofort patchen, nicht bis zum nächsten Wartungsfenster warten. Bei RT-Theme 18 Extensions und Coolify (nur unterhalb der genannten Fixed-Version) gibt es entweder noch keine dokumentierte Fixed-Version oder die Lücke sitzt in einer selten aktualisierten Komponente, hier hilft ein Blick in den jeweils verlinkten Artikel für die konkrete Übergangs-Härtung.
Hoch (CVSS 7.0 bis 8.9)
17 der 47 Lücken liegen im hohen Bereich, kein Grund zur Panik, aber ebenfalls kein Fall für „irgendwann“. Eine der 17, die SonicWall-Command-Injection (CVE-2026-15410), steht bereits oben bei den aktiv ausgenutzten; die übrigen 16 verteilen sich wie folgt:
WordPress-Plugins (7 Funde, alle aus dem KW30-Roundup)
| CVE-ID | Produkt | CVSS | Kurz-Einordnung | Fix |
|---|---|---|---|---|
| CVE-2026-13353 | WP Ultimate CSV Importer | 8.8 | Subscriber kann eigenen PHP-Code über eval() ausführen (fehlender Capability-Check) | nicht dokumentiert |
| CVE-2026-14158 | Widget Logic Visual | 8.8 | identisches Muster wie CSV Importer | nicht dokumentiert |
| CVE-2026-14495 | DoLogin Security | 8.8 | schwacher Zufallsgenerator bei passwortlosen Login-Links, Account Takeover | nicht dokumentiert |
| CVE-2026-11855 | Simple Membership | 8.8 | fehlende Stripe-Webhook-Signaturprüfung, XSS im Admin-Kontext | 4.7.5 |
| CVE-2026-27060 | ARMember Premium (aus KW29) | 8.8 | PHP Object Injection durch Deserialisierung | nicht dokumentiert |
| CVE-2026-6101 | AMP for WP | 7.5 | unsichere ZIP-Extraktion, beliebiger Datei-Schreibzugriff | nicht dokumentiert |
| CVE-2026-15288 | SureForms | 7.5 | fehlende Preisvalidierung bei Stripe-Zahlungsformularen | 2.2.2 |
WordPress-Themes, unauthentifiziertes XSS (4 Funde, alle aus KW29)
- CVE-2026-27402 (Kids Life | Children School), CVE-2025-69156 (Kids Zone), CVE-2025-69155 (Fitness Zone), alle drei von Designthemes, CVSS je 7.1, identischer Angriffsvektor: ein Opfer muss einen präparierten Link anklicken.
- CVE-2025-69152 (Artale | Wedding Photography, ThemeGoods), CVSS 7.1, gleiches Muster.
Webserver/Middleware (5 Funde, alle aus dem CVE-Flut-Artikel)
- CVE-2026-50645, Apache CXF, CVSS 7.5, Denial of Service durch unbegrenzte Attachment-Header.
- CVE-2026-33846, CVE-2026-33845, CVE-2026-42009, CVE-2026-42010, GnuTLS, schweregrad hoch (kein offizieller CVSS-Wert zum Artikelstand), Heap-Lücken und eine Authentifizierungsumgehung bei RSA-PSK in der DTLS-Verarbeitung. Fix jeweils: 3.8.13.
GF-Klartext: In dieser Gruppe stecken viele Angriffe, die entweder eine Nutzerinteraktion (Klick auf einen Link) oder ein bereits vorhandenes, wenn auch niedrig privilegiertes Konto voraussetzen. Das senkt das Risiko gegenüber der kritischen Gruppe, hebt es aber nicht auf, gerade Redaktionsteams mit mehreren Konten und öffentlich erreichbare Kontaktformulare sind ein realistisches Einfallstor.
Mittel (CVSS 4.0 bis 6.9)
Acht Lücken liegen im mittleren Bereich, überwiegend Konfigurations- und Zugriffskontroll-Probleme statt direkter Serverübernahme.
- CVE-2026-14449, u5CMS, CVSS 6.4, reflektiertes XSS über den Parameter „thanks“. Fix: 12.8.9. (KW29)
- CVE-2026-34478, Apache log4j, Rfc5424Layout, CVSS 6.9, Log-Injection durch stillschweigend umbenanntes Escaping-Attribut. Fix: 2.25.4.
- CVE-2026-55956, CVE-2026-43512, CVE-2026-43515, Apache Tomcat, jeweils ohne offiziellen CVSS-Wert, Umgehung von Zugriffsbeschränkungen beziehungsweise fehlerhafte Digest-Authentifizierung. Fix: 11.0.22/11.0.23.
- CVE-2026-42011, CVE-2026-42012, CVE-2026-42013, GnuTLS, Schwächen bei der Zertifikatsvalidierung (Name-Constraints, CN-Fallback). Fix: 3.8.13.
(log4j und Tomcat aus dem CVE-Flut-Artikel, GnuTLS ebenda.)
Niedrig und offen: 13 Funde ohne akuten Handlungsdruck
Die restlichen 13 Einträge sind entweder als niedrig eingestuft oder ihr CVSS-Wert stand zum jeweiligen Artikelstand noch aus (Kennzeichnung „offen“ in unserer Datenbank, kein Sicherheitsurteil, sondern fehlende NVD-Anreicherung).
| CVE-ID | Produkt | Schweregrad | Kurz-Einordnung |
|---|---|---|---|
| CVE-2026-55276 | Apache Tomcat | niedrig | reines Logging-Problem, Laufzeit-Rechte unberührt |
| CVE-2026-55955 | Apache Tomcat (EncryptInterceptor) | niedrig | fehlender Replay-Schutz |
| CVE-2026-12988 | WP 2FA | offen | Account Takeover trotz 2FA durch fehlende E-Mail-Verifikation, Fix 3.1.1.2 |
| CVE-2026-42055 | NGINX (Proxy-v2/gRPC) | offen | Pufferüberlauf, Fix 1.31.2 |
| CVE-2026-9256 | NGINX (rewrite-Modul) | offen | Pufferüberlauf, Fix 1.31.1 |
| CVE-2026-42945, CVE-2026-42946 | NGINX | offen | weitere Puffer-/HTTP-3-Probleme, Fix 1.31.0+ |
| CVE-2026-40460 | NGINX (HTTP/3) | offen | Adressspoofing, Fix 1.31.0+ |
| CVE-2026-48142 | NGINX (charset-Modul) | offen | Buffer-Overread, Fix 1.31.2+ |
| CVE-2026-34480 | Apache log4j (XmlLayout) | offen | stiller Log-Verlust, Fix 2.25.4 |
| CVE-2026-34479 | Apache log4j (1.2-api-Brücke) | offen | analoges Konfigurationsproblem, Fix 2.25.4 |
| CVE-2026-12746 | Dancer2::Plugin::Auth::OAuth::Provider | offen | fehlender CSRF-Schutz (state-Parameter), Fix 0.23 |
| CVE-2026-12194 | phpIPAM | offen | authentifizierte Local File Inclusion über die API, API standardmäßig deaktiviert |
Alle Details, inklusive der jeweiligen Primärquelle, im CVE-Flut-Artikel (NGINX, log4j, Tomcat, Dancer2, phpIPAM) beziehungsweise im KW30-Roundup (WP 2FA).
Techniker-Klartext: „Offen“ heißt nicht „harmlos“, sondern „NVD hat noch keinen eigenen CVSS-Wert vergeben“. Bei log4j und NGINX empfiehlt sich trotzdem das reguläre Update im nächsten Wartungsfenster, weil beide Komponenten oft zentral im Stack sitzen und ein späterer, höher bewerteter Fund in derselben Versionsreihe keine Seltenheit ist.
Fazit: Priorität vor Vollständigkeit
Bei 47 offenen Punkten hilft keine Liste, die alles gleich behandelt. Unsere Reihenfolge für die nächsten Wochen:
- Die drei aktiv ausgenutzten Lücken (SonicWall SMA1000, cPanel/WHM) sofort prüfen, wenn im Einsatz.
- Die neun kritischen Lücken im laufenden Wartungsfenster patchen, priorisiert nach Erreichbarkeit von außen (Firewall/Netzwerk vor internem Tool).
- Die 17 hohen Lücken im Rahmen des nächsten regulären Updates, mit besonderem Blick auf Plugins mit Zahlungs- oder Kontofunktion.
- Mittel, niedrig und offen: in die reguläre Update-Routine einplanen, keine Sonderaktion nötig.
Ein einzelner Blogartikel ersetzt keinen laufenden Scan der eigenen Systeme. Wer wissen will, ob eine der 47 Lücken die eigene Infrastruktur tatsächlich betrifft, findet alle Einträge mit vollständigen Metadaten, Filterfunktion nach Hersteller, Plattform und Schweregrad in unserer durchsuchbaren CVE-Datenbank.
Quellen
- Eigene, primärquellen-geprüfte Artikel (Details und Einzelnachweise dort verlinkt):
- SonicWall SMA1000: Kritische Zero-Day-Lücken, 16.07.2026
- CVE-Flut 2026: Webserver-Sicherheitslücken, 10.07.2026
- Sicherheitslücken der Woche: Firewall, WLAN-Controller, Self-Hosting, 14.07.2026
- Sicherheitslücken der Woche: WordPress-Plugins und -Themes (KW30), 14.07.2026
- Sicherheitslücken der Woche: WordPress-Plugins und -Themes (KW29), 13.07.2026
- Vollständige, filterbare Datenbank: expertomundi.de/wissen/cve-datenbank/