Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Nextcloud: Angreifer legen Webshells über die eingebaute Collabora-App ab
Angreifer nutzen eine Lücke in der optionalen Nextcloud-App „Collabora Online – Built-in CODE Server“ aus, um Webshells auf Nextcloud-Servern abzulegen. Drei Administratoren haben Angriffe auf GitHub gemeldet, der erste stammt vom 10. September. Über die Lücke CVE-2026-110447 kann eine Anfrage ohne Anmeldung Befehle mit den Rechten des Webservers ausführen. Das klappt nur, solange der eingebaute Dokumentenserver nicht läuft, etwa bei einem Neustart, einem Update oder nach einem Absturz. Collabora hat den Fehler am 11. September in Version 26.4.303 behoben und am 14. Oktober den Sicherheitshinweis veröffentlicht. Nicht betroffen ist, wer Nextcloud Office mit einem eigenständigen Collabora-Server betreibt, etwa in Docker oder beim Hoster.
- Priorität: Sofort handeln (Angriffe laufen seit September)
- Datum: 14.10.2026
- CVE: CVE-2026-110447
- Für wen relevant: Unternehmen, die Nextcloud selbst betreiben und Dokumente über die eingebaute Collabora-App (richdocumentscode) bearbeiten. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die App auf 26.4.303 oder neuer aktualisieren oder entfernen. Abschalten reicht laut Collabora nicht. Danach den Nextcloud-Ordner auf unbekannte PHP-Dateien prüfen.
- Quelle: The Hacker News · Nextcloud-Forum
Next.js: Zwei kritische Lücken erlauben Codeausführung ohne Anmeldung
Vercel hat am 14. Oktober Next.js 15.5.28 und 16.4.1 veröffentlicht. Sie schließen zwei kritische Lücken, über die Angreifer ohne Anmeldung Code auf dem Server ausführen können. Die erste, CVE-2026-96889, steckt in der Bildoptimierung und betrifft Seiten, die SVG-Dateien verwenden, und zwar alle Versionen ab 10.0.0. Die zweite betrifft nur Next.js 16: Funktionen mit „use cache“, die typisierte Arrays zurückgeben. Eine dritte Lücke in Server Actions erlaubt Denial-of-Service-Angriffe.
- Priorität: Hoch (zwei Lücken kritisch)
- Datum: 14.10.2026
- CVE: CVE-2026-96889
- Für wen relevant: Unternehmen und Agenturen, deren Website oder Webanwendung mit Next.js läuft. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf 15.5.28 oder 16.4.1 aktualisieren, die Seite neu bauen und ausliefern.
- Quelle: GitHub Security Advisory · BSI CERT-Bund
Exchange Server: Ausfälle ein Tag nach den Oktober-Updates
Seit dem 15. Oktober häufen sich Berichte, dass Exchange Server 24 bis 30 Stunden nach der Installation der Oktober-Updates den Dienst einstellen. Datenbankdienste bleiben stehen, OWA hängt, Mails gehen nicht mehr raus. Das meldet Günter Born unter Berufung auf Leser und Beiträge in Microsofts Techcommunity. Betroffen ist vor allem die Exchange Server Subscription Edition. Inzwischen stehen auch die kumulativen Windows-Server-Updates vom Oktober im Verdacht, die Ausfälle mit zu verursachen.
- Priorität: Hoch (Berichte über Ausfälle nach dem Update)
- Datum: 15.10.2026
- Für wen relevant: Unternehmen mit eigenem Exchange Server. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Born rät, die Installation vorerst zurückzustellen. Wer schon installiert hat, sollte Exchange-Dienste und Postfachdatenbanken in den nächsten Tagen genau beobachten. Die Updates schließen aber auch Sicherheitslücken, den Aufschub also nur so lange halten, bis Microsoft eine Lösung nennt.
- Quelle: Borns IT- und Windows-Blog · Microsoft Techcommunity
AhsayCBS: Hotfix schließt die angegriffenen Backup-Lücken, alte Patches reichten nicht
Für die angegriffenen Lücken in der Backup-Verwaltung AhsayCBS gibt es jetzt einen wirksamen Hotfix. Ahsay hat bestätigt, dass die Updates 9.15.2.59 und 10.3.4.0 vom August die Lücken CVE-2026-105133 und CVE-2026-105134 nicht vollständig geschlossen haben. Über die Kombination führen Angreifer seit Anfang Oktober ohne Anmeldung Befehle aus und installieren Webshells und Krypto-Miner. Laut Huntress schließt der Hotfix 10.3.4.45 den Einstiegspunkt der Angriffskette. CISA hat beide Lücken in den Katalog ausgenutzter Schwachstellen aufgenommen.
- Priorität: Hoch (Angriffe laufen, Hotfix verfügbar)
- Datum: 15.10.2026
- CVE: CVE-2026-105133, CVE-2026-105134
- Für wen relevant: IT-Dienstleister und Systemhäuser, die Kunden-Backups über AhsayCBS verwalten. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Den Hotfix einspielen und den Server danach neu starten, wie Ahsay es verlangt. Server, die vorher aus dem Internet erreichbar waren, auf Webshells und fremde Prozesse prüfen.
- Quelle: Ahsay · The Hacker News
Windows 11: Oktober-Update blockiert Remotedesktop für Benutzer ohne Adminrechte
Nach dem Oktober-Update KB5127648 für Windows 11 24H2 bis 26H2 können Benutzer ohne Administratorrechte keine Remotedesktop-Verbindungen mehr aufbauen, der Versuch endet mit dem Fehler 0xC000000D. Betroffen sind Rechner mit aktiviertem Administratorschutz (Administrator Protection). Den schalten die Microsoft-Sicherheitsbaselines für Windows 11 24H2, 25H2 und 26H2 standardmäßig ein. Der Fehler kam schon mit dem optionalen Vorschau-Update KB5124010 vom 22. September, mit dem regulären Patchday trifft er nun alle aktualisierten Geräte. Microsoft hat das Problem im Release-Health-Dashboard bestätigt.
- Priorität: Erhöht (von Microsoft bestätigt)
- Datum: 14.10.2026
- Für wen relevant: Unternehmen, deren Mitarbeiter oder Dienstleister per Remotedesktop auf Windows-11-Rechner zugreifen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die von Microsoft im Release-Health-Dashboard genannte Abhilfe prüfen, bevor das Update auf alle Rechner geht. Das Update selbst nicht einfach zurückhalten, es schließt auch die bereits angegriffene Windows-Shell-Lücke.
- Quelle: Borns IT- und Windows-Blog · Microsoft
Notebooksbilliger.de: Angreifer erbeuten Kundendaten, teils mit IBAN
Der Elektronikversender Notebooksbilliger.de ist Ziel eines Cyberangriffs geworden, dabei sind Kundendaten abgeflossen. Das Unternehmen hat betroffene Kunden am Abend des 14. Oktober informiert. Betroffen sind E-Mail-Adressen, möglicherweise auch Name und Anschrift sowie Bankverbindungen (IBAN), wenn diese als Zahlungsweg hinterlegt waren. Wann der Angriff stattfand und wie viele Kunden betroffen sind, hat Notebooksbilliger nicht mitgeteilt.
- Priorität: Erhöht (Kunden informiert)
- Datum: 14.10.2026
- Für wen relevant: Firmen und Mitarbeiter, die bei Notebooksbilliger.de IT-Hardware bestellen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Mit Phishing-Mails rechnen, die sich auf echte Bestellungen beziehen, und Lastschriften vom Firmenkonto in den nächsten Wochen kontrollieren. Unberechtigte SEPA-Lastschriften lassen sich bei der Bank zurückgeben.
- Quelle: Borns IT- und Windows-Blog · Golem
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
