Cyber Resilience Act: Neue Meldefristen ab 11. September
Veröffentlicht am: 07.09.2026 um 14:07 Uhr | Redaktion boerse-global.de
Aktuelle Sicherheitsberichte verdeutlichen am 7. September 2026 die anhaltende Bedrohungslage für die digitale Infrastruktur. Fortlaufende Schwachstellenmeldungen in weit verbreiteten Software-Plugins und Systemen zwingen Unternehmen zu kontinuierlichen Sicherheitsupdates und strengen Compliance-Prüfungen. Insbesondere Content-Management-Systeme und Kommunikationsplattformen stehen derzeit im Fokus von Sicherheitsforschern und Angreifern.
Massive Schwachstellen in WordPress- und Joomla-Umgebungen
Die Sicherheitslage bei populären CMS-Erweiterungen bleibt angespannt. Für das weit verbreitete WordPress-Plugin „Smart Post“ wurden in den Versionen bis 4.0.7 zwei kritische Schwachstellen gemeldet: CVE-2026-78150 ermöglicht einen Authorization Bypass, während CVE-2026-78149 den unbefugten Zugriff auf Informationen (Information Disclosure) erlaubt.
In beiden Fällen sind Angriffe aus der Ferne möglich, wobei derzeit noch keine öffentlichen Exploits vorliegen. Ein umgehendes Upgrade wird dringend empfohlen.
Besonders kritisch wird die Situation beim Plugin „Elementor Pro“ eingestuft. Die Schwachstelle CVE-2026-32475 weist einen CVSS-Wert von 9.8 auf und ermöglicht den beliebigen Datei-Upload über eine Formularfunktion. Berichten zufolge wird diese Lücke bereits aktiv für Angriffe ausgenutzt.
Auch für Nutzer von Joomla wurden Warnungen ausgesprochen. Sowohl das CMS-Framework selbst (CVE-2026-73373) als auch spezifische Extensions (CVE-2026-73337) sind von kritischen Lücken betroffen, die unter anderem den uneingeschränkten Upload von SHTML-Dateien erlauben.
Zusätzlich identifizierten Sicherheitsforscher am 4. September 2026 eine Zero-Day-Lücke namens „StyleSmuggler“ in Magento und Adobe Commerce. Diese ermöglicht eine unauthentifizierte Codeausführung in allen Versionen. Da Adobe bisher keinen Patch bereitgestellt hat, wird als vorläufiger Workaround die Deaktivierung von GraphQL empfohlen.
Exchange-Server und Cloud-Infrastruktur im Visier
Ein erhebliches Risiko besteht weiterhin für Microsoft-Exchange-Umgebungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte bereits am 29. August 2026 vor der Schwachstelle CVE-2026-62911, die rund 85 Prozent der On-Premises-Instanzen in Deutschland betreffen soll.
Obwohl bereits seit dem 11. August 2026 ein Patch verfügbar ist, waren Anfang September erst verschwindend geringe Bestände an Servern abgesichert. Angesichts eines öffentlichen Exploits auf GitHub steigt die Gefahr für die betroffenen Versionen Exchange 2016 und 2019 massiv an.
Wer sich mit der Absicherung kritischer IT-Infrastrukturen befasst, muss heute schneller reagieren als je zuvor. Dieses kostenlose E-Book liefert wertvolle Einblicke in aktuelle Bedrohungsszenarien und zeigt, wie Sie Sicherheitslücken proaktiv schließen können. IT-Sicherheits-Leitfaden jetzt kostenlos herunterladen
Auch Cloud-Speicherdienste wie OwnCloud (CVE-2023-49105) verzeichnen weiterhin aktive Ausnutzungsversuche. Hier wird ein Upgrade auf die Version 10.13.1 empfohlen, um unauthentifizierte Zugriffe über WebDAV zu verhindern.
Broadcom reagierte zudem mit Patches für VMware Workstation und Fusion auf die Schwachstellen CVE-2026-59346 und CVE-2026-59347, die Angreifern mit Administratorrechten innerhalb einer virtuellen Maschine weitreichende Befugnisse einräumen könnten.
Verschärfte Compliance-Regeln durch den Cyber Resilience Act
Die zunehmende Geschwindigkeit, mit der KI-Modelle nach der Veröffentlichung von Patches funktionierende Exploits generieren, verkürzt das Zeitfenster für Unternehmen drastisch. Branchenanalysten weisen darauf hin, dass oft nur noch Stunden statt Wochen für die Reaktion bleiben.
Vor diesem Hintergrund gewinnen regulatorische Anforderungen an Bedeutung. Wie Branchenexperten betonen, wird ein systematisches Update-Management durch den EU Cyber Resilience Act (CRA) und die NIS-2-Richtlinie zur Pflicht für Hersteller.
Die neuen gesetzlichen Anforderungen an die IT-Sicherheit und den Einsatz von KI stellen viele Unternehmen vor große Herausforderungen. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report sichern
Ab dem 11. September 2026 greifen gestaffelte Meldefristen für aktiv ausgenutzte Schwachstellen: Eine Frühwarnung muss binnen 24 Stunden, eine formelle Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach 14 Tagen erfolgen.
Ab Dezember 2027 verschärfen sich die Regeln weiter durch die Pflicht zur CE-Kennzeichnung und die Garantie für kostenlose Sicherheitsupdates über einen Zeitraum von fünf Jahren.
Bei Verstößen drohen empfindliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Unternehmen sind daher angehalten, automatisierte Rollouts und ein lückenloses Inventar ihrer Software-Abhängigkeiten (Dependency Inventory) zu etablieren.
