Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
ScreenConnect: Angreifer verteilen über gekaperte Fernwartung eigene Zugänge auf Kundenrechner
Die Sicherheitsfirma Huntress hat am 11. November eine laufende Angriffswelle über ScreenConnect entdeckt. Mit dieser Fernwartungssoftware von ConnectWise betreuen viele IT-Dienstleister die Rechner ihrer Kunden. Die Angreifer nutzen gekaperte, in der Cloud gehostete ScreenConnect-Konsolen, um über die Funktion „Run Command“ eigene Fernwartungsprogramme auf die betreuten Rechner zu spielen. Laut Huntress waren am 12. November mindestens 288 Rechner in 48 Organisationen betroffen. Verbindet sich ein Techniker mit einem infizierten Rechner, kann sich die Schadsoftware laut Huntress auf dessen Arbeitsplatz ausbreiten. Eine Lücke in ScreenConnect selbst sehen ConnectWise und Huntress bisher nicht. ConnectWise hat fünf Erweiterungen von Drittanbietern in rund 400 Partnerumgebungen vorsorglich abgeschaltet, darunter „RMM Plus“ und „Labtech Plus“.
- Priorität: Sofort handeln (Angriffe laufen über IT-Dienstleister)
- Datum: 11.11.2026
- Für wen relevant: Unternehmen, deren IT-Dienstleister mit ScreenConnect arbeitet. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Beim IT-Dienstleister nachfragen, ob er ScreenConnect und eine der genannten Erweiterungen nutzt und wie er reagiert. Auf unbekannte Fernwartungsprogramme auf den eigenen Rechnern achten, ebenso auf unerwartete Anrufe oder Mails „vom Support“.
- Quelle: The Hacker News · BleepingComputer
Nachtrag N-able N-central: Neue Exploits funktionieren auch gegen den Hotfix
Nachtrag zu unserer Meldung vom 10. November. N-able hat am 10. November mit N-central 2026.4 Hotfix 2 die zuerst veröffentlichten Lücken geschlossen. Derselbe Forscher hat jetzt weitere Angriffe veröffentlicht, die laut seinen Angaben auch gegen den Hotfix funktionieren. Einer erlaubt ohne Anmeldung Befehle mit Root-Rechten auf dem Server, ein anderer Befehle mit SYSTEM-Rechten auf den verwalteten Windows-Rechnern. Laut N-able setzt der Server-Angriff voraus, dass die alte Programmierschnittstelle „Legacy API“ eingeschaltet und aus dem Internet erreichbar ist, was nicht der Standard ist. Die gehostete Version ist nicht betroffen. Die Firma Previdian beobachtete wenige Stunden nach der Veröffentlichung erste Angriffsversuche, erfolgreiche Angriffe sind noch nicht bekannt.
- Priorität: Sofort handeln (neue Exploits trotz Hotfix)
- Datum: 12.11.2026
- Für wen relevant: Unternehmen mit eigenem N-central-Server und deren IT-Dienstleister. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die Legacy API in N-central sofort abschalten und den Server nicht direkt aus dem Internet erreichbar machen. Beim IT-Dienstleister nachfragen, ob er N-central selbst betreibt.
- Quelle: The Hacker News
Nachtrag Mittwald: Zweiter Angriff, Website des Hosters übernommen
Nachtrag zu unserer Meldung vom 6. November. Beim Hoster Mittwald haben die Angreifer ihre Attacken laut Statusseite in der Nacht zum 12. November wieder aufgenommen. Diesmal nutzten sie eine Lücke, um die Unternehmenswebsite zu übernehmen, Mittwald hat sie vom Netz genommen. Kundencenter, mStudio und SSH-Zugänge sind erneut gesperrt. Gehostete Kundenwebsites laufen laut Mittwald weiter. Das Unternehmen spricht laut heise von KI-unterstützten, professionellen Angreifern. Den ersten Einbruch hatten die Angreifer über den MCP-Server erreicht, mit dem Kunden ihr mStudio an KI-Assistenten anbinden konnten.
- Priorität: Erhöht (zweiter Angriff, Website übernommen)
- Datum: 12.11.2026
- Für wen relevant: Unternehmen und Agenturen mit Websites oder Servern bei Mittwald. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Mails und Anrufe „von Mittwald“ in den nächsten Tagen besonders kritisch prüfen. Zugangsdaten erneuern, die im mStudio hinterlegt oder über SSH erreichbar waren. Prüfen, ob Backups der eigenen Projekte außerhalb von Mittwald liegen.
- Quelle: heise online · Borns IT-Blog
Apache HTTP Server: Kritische Lücke in HTTP/2 erlaubt Codeausführung ohne Anmeldung
Die Apache-Entwickler haben am 11. November Apache HTTP Server 2.4.71 veröffentlicht. Er schließt CVE-2026-119618 im HTTP/2-Modul mod_http2 der Versionen 2.4.55 bis 2.4.70. Laut Red Hat können Angreifer ohne Anmeldung den Serverprozess übernehmen, Red Hat bewertet die Lücke mit CVSS 9.8. Betroffen sind nur Server, auf denen HTTP/2 eingeschaltet ist. Laut der Sicherheitsfirma Wiz gibt es bisher keinen öffentlichen Exploit und keine bekannten Angriffe. Red Hat hat Updates für RHEL 9 und 10 veröffentlicht, Debian hat für die stabilen Versionen laut The Hacker News noch keinen Fix.
- Priorität: Hoch (Webserver mit HTTP/2)
- Datum: 11.11.2026
- CVE: CVE-2026-119618
- Für wen relevant: Unternehmen, die eigene Webserver mit Apache betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Apache auf 2.4.71 oder das korrigierte Paket der Distribution aktualisieren. Bis dahin prüfen, ob HTTP/2 über die Einstellung „Protocols“ eingeschaltet ist, und es auf Servern ohne Bedarf abschalten.
- Quelle: The Hacker News
Zoom Workplace für Windows: Kritische Lücke erlaubt Rechteausweitung über das Netz
Zoom hat zwei Lücken in Zoom Workplace für Windows geschlossen, berichtet The Hacker News am 11. November. Über die kritische CVE-2026-108186 (CVSS 9.6) kann ein Angreifer ohne Anmeldung über das Netzwerk höhere Rechte erlangen. Betroffen sind die Versionen 7.1.0 bis vor 7.1.8. Die zweite Lücke CVE-2026-108187 (CVSS 8.1) betrifft Versionen vor 7.1.5. Hinweise auf Angriffe nennt Zoom nicht.
- Priorität: Hoch (Rechteausweitung ohne Anmeldung)
- Datum: 11.11.2026
- CVE: CVE-2026-108186, CVE-2026-108187
- Für wen relevant: Unternehmen, die Zoom Workplace auf Windows-Rechnern nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Zoom Workplace auf Version 7.1.8 oder neuer aktualisieren, am besten zentral über die Softwareverteilung.
- Quelle: The Hacker News
Grok Build: Über 35.000 KI-gebaute Apps ohne Anmeldung erreichbar, Passwörter inklusive
Die Sicherheitsfirma Claroc hat laut heise vom 11. November mehr als 35.000 Webanwendungen gefunden, die mit dem Vibe-Coding-Werkzeug Grok Build erstellt wurden und ohne Anmeldung erreichbar waren. Die angeblich geheimen Adressen der Apps ließen sich über öffentliche DNS-Datenbanken finden, und beim Veröffentlichen ist laut Claroc voreingestellt, dass jeder mit dem Link zugreifen kann. Claroc schätzt, dass 650 bis 800 Apps private Daten enthielten. Darunter waren interne Dokumente des Anbieters selbst, Mitarbeiterlisten mehrerer Konzerne und eine Zeiterfassungs-App mit den Passwörtern von 18 Nutzern im öffentlich lesbaren Code.
- Priorität: Erhöht (öffentliche Freigabe als Voreinstellung)
- Datum: 11.11.2026
- Für wen relevant: Unternehmen, deren Mitarbeitende mit KI-Werkzeugen eigene kleine Apps bauen und teilen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Nachfragen, wer mit Grok Build oder ähnlichen Werkzeugen Apps veröffentlicht hat. Freigaben auf eingeladene Personen beschränken und keine echten Firmendaten oder Passwörter in solche Apps legen.
- Quelle: heise online · The Hacker News
Microsoft-Rechnungen kommen jetzt von pageroonline.com: Kein Phishing, aber Grund zum Hinsehen
Microsoft Deutschland verschickt Rechnungen an Geschäftskunden seit November als E-Rechnung über den Dienstleister Pagero, berichtet heise am 12. November. Die Mails kommen von No-reply@pageroonline.com, mehrere Leser hielten sie für Phishing. Microsoft bestätigt den Absender und hat die Umstellung Anfang Oktober per Mail und in einer FAQ angekündigt. Wer bei Microsoft keinen Peppol-Empfangsweg für E-Rechnungen hinterlegt hat, bekommt die Rechnung als Mailanhang.
- Priorität: Beobachten (echt, aber ungewohnter Absender)
- Datum: 12.11.2026
- Für wen relevant: Alle Unternehmen mit Microsoft-Verträgen, besonders die Buchhaltung. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Buchhaltung informieren, dass Microsoft-Rechnungen jetzt von pageroonline.com kommen. Beträge trotzdem wie gewohnt mit dem Microsoft-Konto abgleichen und Bankverbindungen nie aus einer Mail übernehmen.
- Quelle: heise online
Windows 11: November-Update scheitert auf manchen Rechnern, Microsoft repariert automatisch
Microsoft hat bestätigt, dass das Sicherheitsupdate KB5132061 vom November auf manchen Windows-11-Rechnern nicht installiert wird, mit den Fehlercodes 0x80070306, 0x800f0989 oder 0x800f0993. Betroffen sind nur Geräte mit dem optionalen Vorschau-Update KB5127936 vom Oktober. Laut Microsoft werden sie ab dem 11. November innerhalb von 24 bis 48 Stunden automatisch repariert und installieren das Update danach selbst. Dazu meldet Microsoft Leistungsprobleme bei SQL Server nach jüngsten Windows-Updates.
- Priorität: Beobachten (repariert sich selbst)
- Datum: 12.11.2026
- Für wen relevant: Alle Unternehmen mit Windows 11. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Prüfen, ob KB5132061 auf allen Rechnern angekommen ist. Rechner, die auch nach 48 Stunden scheitern, an den Microsoft-Support melden.
- Quelle: BleepingComputer · BleepingComputer (SQL Server)
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
