Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Cisco ASA und FTD: Angreifer bringen Firewalls über die SSL-VPN-Anmeldung zum Absturz
Cisco hat am 28. Oktober eine Lücke im SSL-VPN-Zugang seiner Firewalls ASA und Secure Firewall Threat Defense (FTD) geschlossen (CVE-2026-76418, CVSS 8.6). Ein Angreifer ohne Anmeldung kann mit einer präparierten Anfrage an die VPN-Anmeldung das Gerät zum Neustart zwingen. Während des Neustarts fallen Firewall und VPN aus. Betroffen sind Geräte, deren SSL-VPN erreichbar ist und bei denen in der Tunnel-Gruppe eine zweite Authentifizierung eingestellt ist. Cisco weiß nach eigenen Angaben seit Oktober von Angriffen. Eine Umgehungslösung gibt es nicht.
- Priorität: Sofort handeln (wird bereits ausgenutzt, kein Workaround)
- Datum: 28.10.2026
- CVE: CVE-2026-76418
- Für wen relevant: Unternehmen mit Cisco-Firewalls (ASA oder FTD), deren Mitarbeitende per SSL-VPN von außen arbeiten. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Auf die von Cisco genannte korrigierte Version aktualisieren, für ASA zum Beispiel 9.20.4.50, 9.22.3.200 oder 9.24.1.27. Wer die Firewall vom Systemhaus betreuen lässt, dort heute nachfragen.
- Quelle: Cisco · BSI CERT-Bund
Sophos UTM: Kritische Lücke im E-Mail-Schutz, Patch nur von Hand
Sophos hat am 28. Oktober eine kritische Lücke in Sophos UTM gemeldet (CVE-2026-118633). Ein Angreifer ohne Anmeldung kann Befehle mit Root-Rechten ausführen, wenn er einige Minuten lang wiederholt angreift und dabei ein Wettlauf im System zu seinen Gunsten ausgeht. Voraussetzung ist, dass der E-Mail-Proxy mit Scan-Funktion genutzt wird. Betroffen sind alle Versionen. Sophos UTM hat sein Support-Ende bereits erreicht, deshalb kommt der Patch nicht automatisch. Er muss nach einer Anleitung von Hand eingespielt werden. Die UTM geht auf das Karlsruher Unternehmen Astaro zurück, das Sophos 2011 übernommen hat.
- Priorität: Sofort handeln (kritisch, Produkt ohne Support)
- Datum: 28.10.2026
- CVE: CVE-2026-118633
- Für wen relevant: Unternehmen, die Sophos UTM noch nutzen, besonders mit E-Mail-Schutz. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Patch nach Sophos-Anleitung KBA-000049692 sofort einspielen. Langfristig rät Sophos zum Wechsel auf die unterstützte Sophos Firewall. Eine Firewall ohne regelmäßige Updates ist ein Dauerrisiko.
- Quelle: Sophos · BSI CERT-Bund
WatchGuard Firebox: 18 Lücken, CERT-Bund vergibt Höchstwertung
Das CERT-Bund warnt vor 18 Lücken in WatchGuard-Firewalls und bewertet sie zusammen mit dem Höchstwert 10,0. 17 betreffen das Betriebssystem Fireware OS, eine den VPN-Client für Windows. Sieben Lücken liegen zwischen CVSS 9,1 und 9,5. Einige erlauben Angreifern ohne Anmeldung, Code auszuführen, etwa über den Anmeldedienst für Active Directory oder den SIP-Proxy, teils mit Root-Rechten. Mehrere greifen nur bei bestimmten Einstellungen, zum Beispiel mit Access Portal, als FireCluster oder im FIPS-Modus. WatchGuard sind keine Angriffe bekannt.
- Priorität: Hoch (sieben Lücken mit CVSS über 9)
- Datum: 29.10.2026
- CVE: CVE-2026-103594, CVE-2026-112709, CVE-2026-112710, CVE-2026-93857
- Für wen relevant: Unternehmen mit WatchGuard Firebox oder dem WatchGuard-VPN-Client. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf Fireware OS 2026.4 oder 12.12.4 aktualisieren, die Modelle T15 und T35 auf 12.5.22, den VPN-Client auf 2026.4.
- Quelle: heise online · WatchGuard · BSI CERT-Bund
ClickFix: Gefälschte Cloudflare-Prüfung fordert zum Einfügen eines Befehls auf
Das SANS Internet Storm Center hat am 28. Oktober eine neue Kampagne beschrieben, die mit einer gefälschten Cloudflare-Prüfseite arbeitet. Statt eines Häkchens „Ich bin kein Roboter“ fordert die Seite dazu auf, einen Befehl zu kopieren und selbst auszuführen. Sie erkennt, ob ein Windows-PC oder ein Mac vor ihr sitzt, und zeigt jeweils passende Anweisungen. Der Befehl soll Schadsoftware nachladen. Im Test des ISC war die Datei allerdings schon nicht mehr abrufbar. Der Trick heißt ClickFix: Das Opfer startet den Befehl selbst, eine Sicherheitslücke braucht der Angreifer dafür nicht.
- Priorität: Erhöht (neue Kampagne, Windows und Mac)
- Datum: 28.10.2026
- Für wen relevant: Alle Unternehmen, besonders Mitarbeitende, die viel im Web recherchieren. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Mitarbeitenden kurz erklären: Keine echte Prüfseite verlangt, etwas in Ausführen-Fenster, PowerShell oder Terminal einzufügen. Wer so eine Aufforderung sieht, schließt die Seite und meldet sie der IT.
- Quelle: SANS ISC
Norton, Avast und AVG: Datenschredder erlaubt Rechteausweitung auf SYSTEM
In der Schredder-Funktion von Norton Antivirus, Avast Antivirus und AVG Internet Security für Windows steckt eine Lücke (CVE-2026-6064). Ein Angreifer, der schon mit einfachen Rechten auf dem Rechner ist, kann über einen umgelenkten Dateipfad beliebige Dateien löschen lassen und so SYSTEM-Rechte erlangen. Behoben ist der Fehler ab Version 26.5.10933. Alle drei Produkte gehören zum Hersteller Gen Digital.
- Priorität: Erhöht (lokale Rechteausweitung, Update verfügbar)
- Datum: 28.10.2026
- CVE: CVE-2026-6064
- Für wen relevant: Unternehmen mit Norton, Avast oder AVG auf Windows-Rechnern, auch in kleinen Büros mit Einzelplatzlizenzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: In der Virenschutz-Software unter „Über“ oder „Info“ prüfen, ob mindestens 26.5.10933 installiert ist, sonst Update anstoßen.
- Quelle: GitHub Advisory · BSI CERT-Bund
Windows 11: Microsoft behebt Remote-Desktop-Ausfall bei Standardbenutzern
Seit dem optionalen Update vom September konnten sich Benutzer ohne Administratorrechte auf Windows 11 ab 24H2 nicht mehr per Remote Desktop verbinden, wenn auf dem Zielrechner der „Administratorschutz“ aktiv ist. Die Verbindung brach mit Fehler 0xC000000D ab. Seit dem Oktober-Sicherheitsupdate ist der Administratorschutz in Firmen mit Microsofts Sicherheitsbaselines standardmäßig an, deshalb trifft der Fehler vor allem verwaltete Rechner. Microsoft hat am 28. Oktober bestätigt, dass das optionale Update KB5127936 vom selben Tag den Fehler behebt.
- Priorität: Beobachten (Fix im optionalen Update KB5127936)
- Datum: 28.10.2026
- Für wen relevant: Unternehmen, in denen Mitarbeitende per Remote Desktop auf Windows-11-Rechner zugreifen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Wer betroffen ist, kann KB5127936 vorziehen oder bis zum Patchday am 10. November warten. Als Übergang nennt Microsoft das Abschalten des Administratorschutzes per Intune oder Gruppenrichtlinie.
- Quelle: BleepingComputer
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
