Sicherheitswarnungen · werktäglich geprüft
Sicherheitslücken, die Sie kennen sollten.
Hier finden Sie Sicherheitslücken, die Betriebe wie Ihren betreffen können. Wir erklären, worum es geht und was Sie tun sollten.
November 2026
Xen Orchestra: Angreifer umgehen die Anmeldung und übernehmen XCP-ng-Hosts
In der Verwaltungsoberfläche Xen Orchestra lässt sich die Anmeldung mit einem präparierten Cookie umgehen. Der Hersteller Vates meldet laufende Angriffe und hat Updates veröffentlicht.
SAP NetWeaver: Vier Lücken mit Höchstwertung erlauben Angriffe ohne Anmeldung
SAP hat am Patchday im November vier Lücken mit der Höchstwertung CVSS 10,0 geschlossen. Angreifer brauchen dafür weder Konto noch Mithilfe eines Benutzers.
Microsoft Outlook: Bereits ausgenutzte Lücke verrät Anmeldedaten, Patchday November
Microsoft hat am Patchday im November eine Outlook-Lücke geschlossen, die Angreifer bereits nutzen. Über eine präparierte Nachrichtendatei gelangen sie an einen Kennwort-Hash des Benutzers.
Google Chrome: Bereits ausgenutzte Lücke in der XML-Verarbeitung, Update auf Version 157
Google hat eine Lücke in Chrome geschlossen, für die laut Google bereits ein Angriffswerkzeug im Umlauf ist. Abhilfe bringt Chrome 157.0.8103.50 bzw. .51 nach einem Neustart des Browsers.
SonicWall-Firewalls: VPN-Anmeldung über SAML lässt sich samt Mehrfaktor-Schutz umgehen
Bei SonicWall-Firewalls mit SSL-VPN und SAML-Anmeldung kann ein Angreifer mit gültigen Zugangsdaten die Mehrfaktor-Abfrage umgehen. Die Lücke wird laut CISA ausgenutzt, Updates sind verfügbar.
QNAP-NAS mit Plex Media Server: Angreifer übernehmen die App ohne Anmeldung
Über eine Kette von vier Fehlern in Plex Media Server führen Angreifer ohne Zugangsdaten eigenen Code auf NAS-Geräten aus. QNAP meldet bereits übernommene Geräte bei Kunden. Abhilfe bringt Plex 1.43.3.10861.
OpenSSH auf Alpine Linux: Überlanges Passwort öffnet Konten ohne Passwort, auch root
Auf Alpine Linux und ähnlichen Systemen nimmt OpenSSH bei Konten ohne gesetztes Passwort ein sehr langes Fantasie-Passwort an. Angreifer nutzen das bereits. Abhilfe: OpenSSH 10.6p2 bzw. Paket-Update.
Zyxel-Switches GS1900: Juni-Update schützt nicht, Angreifer übernehmen Geräte ohne Anmeldung
Über die Weboberfläche der Zyxel-Switches GS1900 lassen sich ohne Anmeldung Befehle ausführen. Das Update aus dem Juni schließt diesen Weg nicht. Zyxel hat mit 2.90 Patch 3 nachgebessert.
cPGuard: Manipuliertes Update hat Linux-Webserver mit Hintertür versehen
Über den offiziellen Update-Kanal der Serverschutz-Software cPGuard wurde am 2. November ein Schadskript verteilt. Es sammelte Kennwort-Hashes und SSH-Schlüssel und richtete eine Hintertür ein.
Angriffe auf Kühlanlagen: Supermärkte in mehreren EU-Ländern betroffen, auch Deutschland
Unbekannte haben in mehreren europäischen Ländern die Steuerungen von Kühlanlagen in Supermärkten verstellt, die Ware verdarb. Betroffen waren Anlagen, deren Verwaltung direkt aus dem Internet erreichbar war.
Barracuda Email Security Gateway: Anmeldung umgehbar, Gerät bis zum Root übernehmbar
Zwei Lücken im E-Mail-Filter von Barracuda lassen sich verketten: Fremde umgehen die Anmeldung und führen danach Befehle mit vollen Rechten aus. Barracuda hat Patches veröffentlicht.
Ältere Warnungen: Oktober 2026
Unsere Warnungen fassen öffentliche Hinweise von Herstellern, CERT.at (dem österreichischen Computer-Notfallteam) und weiteren Stellen in eigenen Worten zusammen. Sie ersetzen nicht die Prüfung Ihrer Systeme. Ob Sie betroffen sind, klären wir gerne mit Ihnen. Betreuungskunden informieren wir ohnehin direkt. Mit dem RSS-Feed erhalten Sie neue Warnungen automatisch, zum Beispiel in Outlook oder einem Feed-Reader.
Passend dazu