Sicherheitswarnungen · Archiv
Sicherheitswarnungen Oktober 2026
Alle Sicherheitswarnungen aus diesem Monat. Hinweise und Versionsangaben entsprechen dem Stand, als wir sie veröffentlicht haben. Die neuesten Meldungen finden Sie in der Übersicht.
Oktober 2026
Betrug per WhatsApp mit echten Buchungsdaten: Urlaubsgäste sollen Kartendaten preisgeben
Unbekannte haben Buchungsdaten aus dem Umfeld des Buchungssystems Deskline abgerufen. Gäste erhalten nun täuschend echte WhatsApp-Nachrichten zu ihrer Buchung, die auf Bezahl- und Kartendaten abzielen.
WS_FTP Server: Fremde gelangen ohne Anmeldung an Administrator-Zugangsdaten
Eine Lücke im Dateiübertragungs-Server WS_FTP von Progress erlaubt Angreifern ohne Konto, vertrauliche Daten bis hin zu Administrator-Zugangsdaten abzurufen. Updates sind verfügbar.
Synology-NAS mit veraltetem DSM: Erpresser verschlüsseln Daten über alte Lücke
Synology warnt vor Angriffen mit Erpressersoftware auf NAS-Geräte mit veraltetem DSM. Ausgenutzt wird eine kritische Lücke, die seit Dezember 2024 geschlossen ist.
Linux-Kernel: Fehler im Netzwerkteil kann Servern aus der Ferne gefährlich werden
Ein Fehler beim Aufbau von IPv4-Verbindungen im Linux-Kernel kann Angreifern über das Netz Zugriff auf den Server geben. Debian, SUSE und Oracle haben Updates, Ubuntu und Red Hat noch nicht.
GitLab: Angreifer nutzen Lücke zur Übernahme selbst betriebener Server aus
Eine Mitte Oktober geschlossene GitLab-Lücke wird inzwischen angegriffen. Ohne Anmeldung lässt sich auf ungepatchten Servern eigener Code starten. Die US-Behörde CISA führt sie seit 29. Oktober als aktiv ausgenutzt.
WordPress: Angreifer nutzen den Moment des Core-Updates zur Übernahme von Websites
Eine Lücke im Update-Vorgang von WordPress erlaubt Fremden, während eines Core-Updates eigenen Code auf dem Server auszuführen. Version 7.1.4 schließt sie, die US-Behörde CISA bestätigt laufende Angriffe.
VMware ESXi: Angreifer nutzen Protokoll-Lücke, um ihre Spuren auf Hosts zu verwischen
Eine Lücke in VMware ESXi lässt Administratoren bestimmte Aktionen ausführen, ohne dass sie protokolliert werden. Eine staatlich gesteuerte Angreifergruppe hat das ausgenutzt. Updates gibt es seit Juli.
Sophos UTM: kritische Lücke im E-Mail-Schutz erlaubt Übernahme ohne Anmeldung
In Sophos UTM steckt eine kritische Lücke im E-Mail-Schutz. Ein Angreifer kann über eingehende E-Mails ohne Anmeldung Befehle mit vollen Rechten ausführen. Das Produkt wird nicht mehr gepflegt, der Patch muss von Hand eingespielt werden.
Linux-Kernel „Fragnesia“: Angreifer machen sich nach PHP2Shell zum Root
Eine seit Mai bekannte Kernel-Lücke wird jetzt aktiv ausgenutzt: Angreifer, die über PHP2Shell auf einen Webserver gelangt sind, verschaffen sich damit volle Root-Rechte. Die CISA führt sie seit 28. Oktober als ausgenutzt.
Drupal Commerce: Fremde verändern Preise und Bestellungen in Online-Shops
Im Shop-Modul Commerce Core für Drupal fehlen bei einigen Funktionen die Zugriffsprüfungen. Ohne Anmeldung lassen sich Bestellungen und Preise manipulieren. Die Lücke wird bereits ausgenutzt.
Cisco ASA und FTD: Angreifer bringen Firewalls über den VPN-Zugang zum Absturz
Eine Lücke im SSL-VPN von Cisco-Firewalls wird bereits ausgenutzt: Ohne Anmeldung lässt sich das Gerät zum Neustart zwingen. Betroffen sind Geräte, bei denen eine zweite Anmeldestufe für den VPN-Zugang eingerichtet ist.
WatchGuard Firebox: kritische Lücken erlauben Übernahme der Firewall
WatchGuard hat 18 Sicherheitslücken im Betriebssystem seiner Firebox-Firewalls geschlossen, sieben davon kritisch. Mehrere lassen sich ohne Anmeldung ausnutzen und ermöglichen das Ausführen von Code auf der Firewall.
Veeam Backup & Replication 13: Kritische Lücke erlaubt Zugriff ohne Anmeldung
In Veeam Backup & Replication 13 können Angreifer ohne Konto Berechtigungsprüfungen eines Dienstes umgehen. Veeam hat am 27. Oktober Updates veröffentlicht. Version 12 ist laut Veeam nicht betroffen.
Magento und Adobe Commerce: Online-Shops werden über Datei-Upload übernommen
Über eine Lücke in Magento und Adobe Commerce laden Angreifer Schadcode auf Online-Shops. Die US-Behörde CISA führt sie seit 27. Oktober als aktiv ausgenutzt. Das Update von Adobe gibt es seit Juli.
Fortinet: Dringende Updates für FortiGate und Co., Details folgen erst im November
Fortinet hat am 22. Oktober Updates für seine Firewalls und Verwaltungsprodukte veröffentlicht, die kritische Lücken schließen. Welche genau, verrät der Hersteller erst am 10. November. Bis dahin sollten die Geräte aktualisiert sein.
Falscher IT-Support in Microsoft Teams: Anrufer öffnen Erpressern den Weg ins Firmennetz
Angreifer überfluten Postfächer mit Spam und melden sich danach als angeblicher IT-Support über Teams. Wer ihnen Fernzugriff gibt, riskiert Datendiebstahl und Verschlüsselung durch Erpressersoftware.
Nextcloud: Eingebauter Office-Server wird für Hintertüren auf Cloud-Servern genutzt
Über eine Lücke in der eingebauten Office-App von Nextcloud können Angreifer ohne Anmeldung Befehle auf dem Server ausführen. Die Lücke wird seit September ausgenutzt.
Einbrüche über Fortinet- und Palo-Alto-Firewalls: Zugangsdaten abgegriffen
Eine Angreifergruppe dringt über bekannte Lücken und erratene Kennwörter in Firewalls und VPN-Zugänge ein, stiehlt Zugangsdaten und bereitet so Erpressungsangriffe vor.
Node.js, Python und andere Server: Fehler beim Entpacken von Daten erlaubt Angriffe
Ein Fehler im weit verbreiteten Komprimierungsverfahren Brotli betrifft Webanwendungen auf Node.js, Python, .NET und anderen Plattformen. Angriffe laufen, die US-Behörde CISA führt die Lücke seit 27. Oktober als aktiv ausgenutzt.
HPE Aruba WLAN: Access Points und Controller lassen sich ohne Anmeldung übernehmen
HPE hat 72 Lücken in der Software seiner Aruba-WLAN-Geräte geschlossen. Mehrere davon erlauben es Angreifern im Netz, ohne Kennwort eigene Befehle auf Access Points und Controllern auszuführen.
Betrug mit angeblich günstigen Storno-Geräten: Firmen sollen vorab überweisen
Betrüger bieten Firmen per E-Mail IT-Geräte aus einer angeblich stornierten Großbestellung weit unter Marktpreis an. Bezahlt werden soll nur per Vorkasse. Die Ware kommt nie.
PHP2Shell: Kritische Lücken im PHP-Kern ermöglichen Server-Übernahme
Zwei Fehler in der Speicherverwaltung von PHP erlauben es, ungepatchte Webserver ohne Anmeldung zu übernehmen. Seit 24. Oktober sind erfolgreiche Angriffe belegt, die US-Behörde CISA führt die Lücken als aktiv ausgenutzt.
GitLab: Selbst betriebene Server lassen sich ohne Anmeldung übernehmen
Ein Fehler in der Verarbeitung regulärer Ausdrücke erlaubt es Angreifern, auf selbst betriebenen GitLab-Servern ohne Anmeldung eigenen Code auszuführen. Updates sind verfügbar.
ConnectWise Cloud Backup: Gestohlener App-Zugang öffnet Microsoft-365-Umgebungen
Angreifer haben einen Zugang der Backup-App von ConnectWise missbraucht und sich damit in Microsoft-365-Umgebungen von Kunden angemeldet. ConnectWise hat die Dienste vorerst abgeschaltet.
Über 500 FortiGate-Firewalls mit versteckter Hintertür kompromittiert
Angreifer haben mehr als 500 FortiGate-Firewalls mit einer Hintertür versehen. Sie nutzen dafür eine bekannte Lücke und zuvor erbeutete Administrator-Zugangsdaten.
E-Mail-Gateway von Cisco: Präparierte E-Mail genügt für vollständige Übernahme
Eine einzige präparierte E-Mail reicht, um ein ungepatchtes Cisco Secure Email Gateway mit Administratorrechten zu übernehmen. Die Lücke wird bereits ausgenutzt.
BeyondTrust Remote Support: Fernwartungs-Appliances seit August angegriffen
Eine Lücke in der Fernwartungslösung von BeyondTrust erlaubt Dateizugriffe ohne Anmeldung. Sie wurde bereits seit Ende August für gezielte Angriffe genutzt.
AhsayCBS: Backup-Server werden für Hintertüren und Krypto-Mining missbraucht
Zwei verkettete Lücken in der Backup-Software AhsayCBS erlauben das Ausführen von Befehlen ohne Anmeldung. Ein erstes Update im August war unvollständig.
Palo Alto Networks: Lücke in der Verwaltungsoberfläche der Firewalls wird ausgenutzt
Wer Zugang zur Verwaltungsoberfläche einer Palo-Alto-Firewall hat, kann darüber eigenen Code mit höchsten Rechten ausführen. Erste Angriffe wurden beobachtet.
Ivanti Connect Secure: VPN-Zugang lässt sich ohne Konto bis zum Root übernehmen
Angreifer verketten drei Lücken im VPN-Gateway von Ivanti und übernehmen es ohne Konto vollständig. Ende Oktober kamen neue Updates, die frühere Korrektur reicht nicht mehr.
Windows: Angreifer umgehen Warnhinweise bei Dateien aus dem Internet
Eine bereits ausgenutzte Lücke in der Windows-Shell schaltet die Schutzwarnungen für heruntergeladene Dateien aus. Das Oktober-Update von Microsoft schließt sie.
Citrix NetScaler: Nach dem September-Update ist ein weiteres Update nötig
Eine weitere Lücke in NetScaler-Geräten mit SAML-Anmeldung wird ausgenutzt. Auch wer im September bereits aktualisiert hat, muss erneut nachziehen.
Zammad: Helpdesk-System lässt sich ohne Anmeldung bis zum Administrator übernehmen
Zwei verkettete Lücken im Ticketsystem Zammad führen von einer fremden Sitzung bis zu vollen Administratorrechten auf dem Server. Sie wurden bereits für einen Einbruch genutzt.
FortiMail: Angreifer schreiben ohne Anmeldung Dateien auf das E-Mail-Gateway
Über präparierte Webanfragen lassen sich auf FortiMail-Geräten beliebige Dateien ablegen, ganz ohne Benutzerkonto. Die Lücke wurde schon vor dem Update ausgenutzt.
Unsere Warnungen fassen öffentliche Hinweise von Herstellern, CERT.at (dem österreichischen Computer-Notfallteam) und weiteren Stellen in eigenen Worten zusammen. Sie ersetzen nicht die Prüfung Ihrer Systeme. Ob Sie betroffen sind, klären wir gerne mit Ihnen. Betreuungskunden informieren wir ohnehin direkt. Mit dem RSS-Feed erhalten Sie neue Warnungen automatisch, zum Beispiel in Outlook oder einem Feed-Reader.
Passend dazu