Der Verizon 2026 DBIR zeigt: Schwachstellen-Exploits haben Credential-Missbrauch als häufigsten initialen Angriffsvektor abgelöst. Patching ist jetzt ein Kapazitätsproblem, kein Disziplinproblem.
Anthropics Claude Mythos Preview fand über 10.000 Zero-Days in einem Monat. Nur 97 wurden gepatcht. Das 90-Tage-Disclosure-Fenster hat aufgehört, Sinn zu ergeben.
Eine dreitägige KI-Pipeline fand über 300 WordPress-Plugin-Zero-Days für je 20 $. Die Disclosure-Infrastruktur ist nicht vorbereitet – und Angreifer nutzen dieselbe Methode bereits.
TeamPCP exfiltrierte 3.800 interne GitHub-Repos über eine manipulierte Nx Console Extension, die 18 Minuten aktiv war. Der eigentliche Kern: Wie Platform-Teams Developer-Tooling-Risiken einpreisen.
Eine kritische Schwachstelle in Drupal Core, CVE-2026-9082, ermöglicht anonymen Angreifern SQL-Injection auf PostgreSQL-basierten Sites, die bis zur Remote-Code-Ausführung eskalieren kann.
Ein Spoofing-Zero-Day in Exchange OWA wird aktiv ausgenutzt, CISA hat ihn im KEV, und Microsoft nennt keinen Patch-Termin. Die langweiligen Lücken gewinnen immer noch.
CVE-2026-44578 verwandelt den Next.js WebSocket-Upgrade-Pfad in einen Angreifer-Proxy. Selbst gehostete Apps sind betroffen, Vercel-Deployments nicht. Sofort patchen.