Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
PHP: Notfall-Update schließt zwei kritische Lücken, sofort aktualisieren
Das PHP-Projekt hat am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619 (CVSS 9.2), über die Angreifer ohne Anmeldung Code auf dem Server ausführen können. Laut PHP ist jede Installation gefährdet, die Webanfragen beantwortet, ob mit PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am höchsten schätzt das PHP-Team das Risiko bei mod_php ein: Dort reicht eine Anfrage ohne Anmeldung, noch bevor Anwendungscode läuft. Details waren am 20. Oktober vorzeitig durchgesickert, Forscher nennen die Lücken „PHP2Shell“. Patchstack meldet Angriffe, Cloudflare hat Filterregeln aktiviert. Gefährdet ist damit jede Website auf PHP, also auch WordPress, Drupal, Magento, Joomla oder Laravel.
- Priorität: Sofort handeln (Update verfügbar, Angriffe gemeldet)
- Datum: 21.10.2026
- CVE: CVE-2026-109618, CVE-2026-109619
- Für wen relevant: Alle Unternehmen mit eigener Website, Shop oder Webanwendung auf PHP, ob auf eigenem Server oder beim Hoster. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Sofort auf die neue Version der eigenen Reihe aktualisieren. Die Linux-Distributionen haben die Korrekturen vorab erhalten, die Pakete kommen über die normale Paketverwaltung. Bei Webhosting beim Anbieter nachfragen, ob das Update eingespielt ist. PHP 8.1 und älter bekommt vom PHP-Projekt keine Updates mehr, für 7.4 bis 8.1 gibt es nur Quellcode-Korrekturen zum Selbstbauen. Laut PHP schützt keine Einstellung vollständig, nur das Update.
- Quelle: PHP · heise online · Patchstack
AOMEI Backupper: Update-Server lieferten mehrfach kurzzeitig eine Hintertür aus
Angreifer haben im Frühjahr und Sommer 2026 mehrfach die Dateien manipuliert, die die Windows-Backup-Software AOMEI Backupper von den Servern des Herstellers abruft. Jeweils fünf bis zehn Minuten lang lieferten die Server statt der echten Inhalte einen Downloader namens CrossRoad und die Hintertür ShinyRoad aus, danach war wieder alles normal. Getroffen wurde jede Installation, die genau in einem dieser Fenster nach Updates suchte. Eine Schwachstelle wurde dafür nicht ausgenutzt: Backupper prüft seine Update-Konfiguration nicht kryptografisch. Aufgedeckt haben das Googles Threat-Intelligence-Team, Mandiant und das Analyse-Labor von ManageEngine. AOMEI hat die Server nach eigenen Angaben bereinigt. Auf bereits infizierten Rechnern bleibt die Hintertür aber bestehen.
- Priorität: Hoch (Lieferkettenangriff, Hintertür)
- Datum: 20.10.2026
- Für wen relevant: Unternehmen und Selbstständige, die AOMEI Backupper unter Windows nutzen, auch die kostenlose Version. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Rechner mit AOMEI Backupper auf die von ManageEngine genannten Spuren prüfen: eine nicht signierte Datei upgrade-now.exe im Programmordner unter html\upgrade-now, die Produktbezeichnung „AOMEI Update Compent“ mit Tippfehler und eine geplante Aufgabe namens RadminComponentRuntime. Wer fündig wird, behandelt den Rechner als kompromittiert und wechselt die Zugangsdaten, die darauf gespeichert waren.
- Quelle: ManageEngine · SecurityWeek
Chrome 156 und Firefox 158.0.1: Große Browser-Updates, Firefox sperrt kompromittierte Zertifikate
Google hat am 20. Oktober Chrome 156 veröffentlicht, Version 156.0.8078.47/.48 für Windows und Mac und 156.0.8078.47 für Linux. Das Update schließt 353 Sicherheitslücken, davon sechs kritische und 61 hohe. Angriffe meldet Google nicht. Mozilla hat am selben Tag Firefox 158.0.1, Firefox ESR 153.5.1 und 115.43.1 sowie Thunderbird 158.0.1 und 153.5.1 veröffentlicht. Darin steckt auch die aktualisierte Sperrliste für die Zertifizierungsstelle eMudhra, deren private Schlüssel kompromittiert wurden. Mozilla, Google und Apple blockieren die betroffenen Zwischenzertifikate.
- Priorität: Hoch (Chrome: 6 Lücken kritisch)
- Datum: 20.10.2026
- Für wen relevant: Alle, die Chrome, Firefox oder Thunderbird nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Browser und Mailprogramm neu starten, damit die Updates greifen. In verwalteten Umgebungen prüfen, ob die Verteilung angestoßen ist.
- Quelle: Google · Mozilla
Roundcube Webmail: Versionen 1.6.20 und 1.7.5 schließen eine lange Reihe von Lücken
Roundcube hat am 19. Oktober die Versionen 1.6.20 (LTS) und 1.7.5 veröffentlicht. Sie schließen eine lange Liste gemeldeter Lücken. Darunter sind zwei Wege, über die Angreifer eigene IMAP-Befehle einschleusen können. Einer davon ist als CVE-2026-113386 mit CVSS 7.1 bewertet. Dazu kommen Umgehungen der Sperre für externe Inhalte in HTML-Mails, Header-Injection in mehreren Funktionen, eine Umgehung des CSRF-Schutzes und ein Fehler bei der Verarbeitung von Sitzungsdaten. Das BSI hat die Meldung am 20. Oktober als „hoch“ eingestuft.
- Priorität: Hoch (bis CVSS 7.1)
- Datum: 20.10.2026
- CVE: CVE-2026-113386
- Für wen relevant: Unternehmen, die Roundcube selbst betreiben oder als Webmail ihres Hosters nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf 1.6.20 oder 1.7.5 aktualisieren. Bei Webmail über den Hoster nachfragen, ob das Update eingespielt ist.
- Quelle: Roundcube · BSI CERT-Bund
DrayTek Vigor2960: Firmware 1.5.1.7 schließt Lücken mit öffentlichen Exploits
Für den VPN-Router DrayTek Vigor2960 sind mehrere Lücken bekannt geworden, über die angemeldete Angreifer Befehle auf dem Gerät ausführen oder Dateien überschreiben können. Drei davon sind mit CVSS 9.9 bewertet. Ein Sicherheitsforscher hat die Fälle samt Angriffscode auf GitHub veröffentlicht. Betroffen ist laut den Hinweisen Firmware 1.5.1.6, DrayTek stellt Version 1.5.1.7 bereit. Das BSI stuft die Meldung als kritisch ein.
- Priorität: Erhöht (BSI: kritisch, Anmeldung nötig)
- Datum: 21.10.2026
- CVE: CVE-2026-113389, CVE-2026-113390, CVE-2026-113391
- Für wen relevant: Unternehmen mit einem DrayTek Vigor2960 als VPN-Router oder Firewall. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Firmware 1.5.1.7 einspielen und die Weboberfläche nicht aus dem Internet erreichbar lassen. Zugangsdaten für die Verwaltung prüfen und, wenn sie mehreren Personen bekannt sind, wechseln.
- Quelle: BSI CERT-Bund · GitHub Advisory Database
MySQL: Oracles Oktober-Update schließt 96 Lücken
Oracle hat am 20. Oktober sein Quartals-Update mit 1.295 Sicherheitspatches für die gesamte Produktpalette veröffentlicht. Für den Datenbankserver MySQL nennt das BSI 96 Lücken. Betroffen sind die Reihen 8.0 bis 8.0.49, 8.4 bis 8.4.12, 9.7 bis 9.7.3 und 26.7 bis 26.7.1. Laut BSI können entfernte Angreifer, teils ohne Anmeldung, Vertraulichkeit, Integrität und Verfügbarkeit gefährden.
- Priorität: Erhöht (Oracle-Patchday, 96 Lücken in MySQL)
- Datum: 21.10.2026
- Für wen relevant: Unternehmen, die MySQL selbst betreiben, etwa hinter Websites, Shops oder Warenwirtschaft. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Oktober-Versionen von Oracle einspielen. Bei Paketen aus der Linux-Distribution kommt das Update über die Paketverwaltung, bei Managed Hosting ist der Anbieter zuständig.
- Quelle: Oracle · BSI CERT-Bund
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
