Schwachstellen in den IT-Sicherheitsappliances FortiSandbox von Fortinet dienen Angreifern aus dem Netz derzeit als Angriffsziel. Aktualisierungen, um die Sicherheitslücken zu schließen, stehen schon etwas länger bereit.

Auf X meldet DefusedCyber die beobachteten Angriffe. Gleich drei Schwachstellen in FortiSandbox werden demnach attackiert. Die erste Lücke ermöglicht bösartigen Akteuren, an einer Path-Traversal-Schwachstelle in der JRPC-API von FortiSandbox anzusetzen, um mit sorgsam präparierten HTTP-Anfragen die Authentifizierung zu umgehen (CVE-2026-39813, CVSS 9.1, Risiko „kritisch“). Bereits Mitte April hat Fortinet FortiSandbox 4.4.9 und 5.0.6 veröffentlicht, die das ausbessern.

Ebenfalls unter Beschuss steht eine unzureichende Filterung von Elementen, die in einem Befehl ans Betriebssystem von FortiSandbox verwendet werden, die Angreifern ohne Authentifizierung das Ausführen von nicht autorisiertem Code oder Befehlen mittels manipulierter HTTP-Anfragen ermöglichen (CVE-2026-39808, CVSS 9.1, Risiko „kritisch“). DefusedCyber sieht auch Angriffe auf eine jüngere Sicherheitslücke, die das unbefugte Einschleusen von Befehlen ohne vorherige Authentifizierung mittels manipulierter HTTP-Anfragen ermöglichen, die ans Betriebssystem durchgereicht und dort ausgeführt werden (CVE-2026-25089, CVSS 9.1, Risiko „kritisch“). Die Schwachstelle hat Fortinet in der vergangenen Woche gemeldet, die Versionen mit den Fehlerkorrekturen sind jedoch die gleichen wie aus dem April.

Ausmaß der Angriffe unklar

DefusedCyber bleibt sehr schmallippig und erwähnt lediglich, dass die IT-Forscher nach eigenen Angaben seit dem 14. Juni Angriffe auf diese Schwachstellen beobachten. Ein Screenshot zeigt eine Anfrage auf einen jsonrpc-Endpunkt. Die Fortinet-Advisories bestätigen die Angriffe derzeit noch nicht, sie weisen zum Meldungszeitpunkt „Known Exploited: No“ aus.

Zu den Angriffen auf die jüngere Schwachstelle CVE-2026-25089 schreiben die Autoren noch kurz, dass der Exploit mutmaßlich mittels Vibe Coding entstanden ist, also mit KI-Unterstützung. Er sei deshalb wahrscheinlich fehlerhaft. Einen funktionierenden Exploit für die Lücke hat DefusedCyber demzufolge noch nicht gesehen, es sei noch keiner veröffentlicht worden.

(dmk)

Bundespräsident Frank-Walter Steinmeier werde am 27. August den Gamescom Congress 2026 eröffnen, teilten die Veranstalter von der Koelnmesse und dem Branchenverband game mit. Steinmeier soll zur Eröffnung des Kongresses eine Rede halten und anschließend an einer Podiumsdiskussion über die Rolle von Games in der Demokratie teilnehmen.

Danach steht ein Rundgang über das Gelände an. Dabei wolle sich Steinmeier am ersten Publikumstag im direkten Austausch mit Spieleentwicklern und der Community einen Überblick über die Möglichkeiten von Games für Kultur und Gesellschaft verschaffen, heißt es in der Mitteilung. Es sei das erste Mal, dass ein Bundespräsident die Gamescom besuche, schreibt das Branchenmagazin Gameswirtschaft.

Gamescom Congress

Der Gamescom Congress findet im Rahmen der Messe statt und richtet sich an ein Publikum aus Kultur, Bildung, Politik, Wissenschaft, Medien und Wirtschaft. Die Veranstalter wollen dort zeigen, wie andere Branchen von der Innovationskraft der Games-Branche profitieren können.

In diesem Jahr stehen die beiden Programmschwerpunkte „Spielfeld Demokratie“ und „Der Games-Effekt“ im Vordergrund. Der erste Schwerpunkt befasst sich mit dem Einfluss von Computer- und Videospielen auf die Demokratiebildung, der zweite soll Games als Innovationsmotor beleuchten. Die offizielle Eröffnung der Gamescom übernehmen am 26. August Vizekanzler Lars Klingbeil, NRW-Ministerpräsident Hendrik Wüst und Forschungsministerin Dorothee Bär. Die Gamescom 2026 läuft vom 26. bis 30. August auf dem Gelände der Koelnmesse.

Zum Programm gehört in diesem Jahr auch das Speedrunning-Event Games Done Quick, das erstmals zur Gamescom kommt. Die Veranstaltung passt außerdem ins Konzept der Gamescom, verstärkt Community-Events in den Mittelpunkt der Messe zu rücken. „Speedrunning begeistert weltweit Millionen von Menschen“, sagt Tim Endres, Director der gamescom. „Dieses Event unterstreicht die Bedeutung der Gamescom in ihrer führenden Rolle für die Games-Branche und Community, aber auch als Plattform für soziales Engagement.“

(dahe)

Apples Beats-Ohrhörer der Variante Studio Buds, erschienen im Jahr 2021, enthielten eine gefährliche Sicherheitslücke. Laut Angaben von Apple selbst war es möglich, dass sich ein Angreifer in Bluetooth-Reichweite mit den Stöpseln verbinden konnte, um dann über das integrierte Mikrofon mitzulauschen. Es blieb zunächst unklar, ob dies auch in der Praxis geschah, also ein Exploit kursierte, oder es sich zunächst nur um ein theoretisches Problem handelte. Der Fehler steckte in einem Drittanbieter-SDK, das Apple für die Geräte genutzt hat. Damit die Lücke ausnutzbar wurde, mussten einige Voraussetzungen erfüllt sein – darunter die Tatsache, dass es noch kein Pairing der Stöpsel gegeben hatte und aktiv nach Pairing-Requests gesucht wurde. Es handelt sich also um eine typische „Aus der Verpackung genommen“-Situation.

Lücke steckt in quelloffenem SDK

Apple hat in der Nacht zum Mittwoch eine neue Firmware verteilt, die die Lücke schließen soll. Der Hersteller nennt in einem Security-Dokument lediglich die Studio Buds als betroffen; diese sind zum günstigen Preis von rund 80 Euro derzeit auch noch im Handel. Es gibt seit 2023 auch ein verbessertes Nachfolgemodell namens Studio Buds +, das Apple nicht erwähnt. Die neue, abgedichtete Firmware hört auf die Versionsnummer 1B211. Der Bug trägt die CVE-ID 2025-20701 und steckt im Airoha-Bluetooth-Audio-SDK, das mit bestimmten Chipsätzen des Herstellers läuft – Apple bezeichnet es in seinem Sicherheitsdokument als „quelloffen“.

Die Lücke steckt noch in diversen weiteren Stöpseln und Kopfhörern, die nicht von Beats stammen; sie ist schon seit Mitte 2025 bekannt. Warum Apple jetzt erst reagiert, bleibt unklar. Laut Airoha fehlt im Rahmen der Bluetooth-Verbindungsherstellung ein Authentifizierungsschritt (GATT), der eigentlich vorhanden sein müsste. Entdeckt wurde der Fehler von Dennis Heinze und Frieder Steinmetz von der deutschen Sicherheitsfirma ERNW GmbH aus Heidelberg. Airoha selbst ist eine Tochter des Chipherstellers MediaTek aus Taiwan.

Wie man an die neue Firmware kommt

Apples Firmware-Update für Audiogeräte lässt sich leider nach wie vor nicht erzwingen. Um auf die Firmware 1B211 zu kommen, müssen daher einige Schritte durchlaufen werden. Die automatische Aktualisierung läuft nur an, wenn die Studio Buds mit einem iPhone, iPad oder Mac verbunden sind und in der geschlossenen Hülle stecken.

Sie sollten am besten mit einem Ladegerät verbunden sein. Danach sollte man etwas warten. Die Firmware-Version lässt sich über die Systemeinstellungen überprüfen – jeweils im Bereich Bluetooth. Neben dem jeweiligen Gerät befindet sich ein Info-Knopf.

(bsc)