Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Check Point: Zero-Day-Lücke in Gaia OS für Root-Zugriff ausgenutzt, Hotfix verfügbar
Check Point hat am 12. November Notfall-Hotfixes für CVE-2026-123039 in Gaia OS veröffentlicht. Laut Check Point haben Angreifer die Lücke seit Ende Oktober bei rund zwei Dutzend Kunden ausgenutzt. Der Ablauf: Zuerst kamen sie über die PHP2Shell-Lücken in das Mobile-Access-Portal ungepatchter Security Gateways, dann verschafften sie sich über CVE-2026-123039 Root-Rechte. Danach legten sie Webshells und die Hintertür TSGA ab. In einigen Fällen wechselten sie vom Gateway auf einen VMware-ESXi-Host und setzten dort Schadsoftware ein, die Daten zerstört. Betroffen sind die Versionen R81 bis R82.20 von Firewalls, Management- und Log-Servern.
- Priorität: Sofort handeln (Angriffe seit Ende Oktober)
- Datum: 12.11.2026
- CVE: CVE-2026-123039
- Für wen relevant: Unternehmen mit Check-Point-Firewalls, besonders mit eingeschaltetem Mobile-Access-Portal. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Den Hotfix für CVE-2026-123039 und die PHP2Shell-Korrekturen einspielen. Wer nicht sofort patchen kann, stoppt laut Check Point den Prozess dynamic_server. Die Geräte mit den von Check Point veröffentlichten Merkmalen auf einen Einbruch prüfen.
- Quelle: Check Point · Check Point Research · BleepingComputer
Nachtrag N-able N-central: Angreifer infizieren 21 Server, 19 davon mit dem aktuellen Hotfix
Nachtrag zu unserer Meldung vom 12. November. Die neuen Angriffe auf N-central werden laut The Hacker News bereits ausgenutzt: Angreifer haben 21 Server infiziert, 19 davon mit dem aktuellen Hotfix 2, und darauf unter anderem Kryptominer installiert. Sie verketten dafür eine Lücke in der mitgelieferten Komponente Apache Axis mit einer Rechteausweitung in N-central. N-able hat in der gehosteten Version die Legacy API und die Intune-Anbindung abgeschaltet. Betreiber eigener Server sollen Agenten und Probes aktualisieren und die Legacy API ausschalten.
- Priorität: Sofort handeln (Angriffe bestätigt)
- Datum: 13.11.2026
- Für wen relevant: Unternehmen mit eigenem N-central-Server und deren IT-Dienstleister. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Legacy API ausschalten, Agenten und Probes auf den neuesten Stand bringen und den Server nicht direkt aus dem Internet erreichbar machen. Beim IT-Dienstleister nachfragen, ob sein N-central betroffen war.
- Quelle: The Hacker News
SignDrop: Neuer Windows-Exploit verschafft SYSTEM-Rechte und kann Virenscanner aushebeln
Der Sicherheitsforscher Abdelhamid Naceri hat am 12. November einen Exploit für eine noch ungepatchte Windows-Lücke veröffentlicht, die er SignDrop nennt. Sie steckt in einer Schutzfunktion für das Log-Dateisystem CLFS, die Microsoft im Oktober 2025 eingeführt hat. Wer bereits Code auf dem Rechner ausführen kann, kommt damit laut Naceri an SYSTEM-Rechte. Weil sich privilegierte Prozesse wie Windows Defender dafür einspannen lassen, kann die Technik laut Naceri auch den Selbstschutz von Virenscannern und EDR-Software umgehen. Getestet hat er sie auf Windows 11 26H2 und Windows Server 2025, er schätzt, dass rund 80 Prozent der Windows-Installationen betroffen sind. Einen Patch von Microsoft gibt es noch nicht.
- Priorität: Hoch (kein Patch verfügbar)
- Datum: 12.11.2026
- Für wen relevant: Alle Unternehmen mit Windows-Rechnern und -Servern. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Den Exploit nicht selbst „zum Testen“ ausführen. Auf den Patch von Microsoft achten und ihn sofort einspielen. Bis dahin Benutzerkonten ohne Administratorrechte nutzen und Warnungen der Sicherheitssoftware ernst nehmen.
- Quelle: BleepingComputer
Citrix NetScaler: Zwölf Lücken geschlossen, darunter Umgehung der Anmeldung in der Console
Citrix hat am 12. November zwölf Lücken in NetScaler ADC, NetScaler Gateway, NetScaler Console und dem Secure Access Client geschlossen. Die meisten kritischen Lücken (CVSS 9.3 bis 9.5) betreffen Speicherfehler, über die Angreifer die Geräte lahmlegen können. CVE-2026-120868 steckt in der Paketverarbeitung und betrifft alle Installationen von ADC und Gateway. Über CVE-2026-120869 (CVSS 9.4) können Angreifer ohne Anmeldung die Zugangskontrolle der NetScaler Console umgehen. Behoben ist alles in ADC und Gateway 14.1-73.57 und 13.1-64.39 sowie neueren Versionen.
- Priorität: Hoch (zehn kritische Lücken)
- Datum: 12.11.2026
- CVE: CVE-2026-120868, CVE-2026-120869
- Für wen relevant: Unternehmen mit Citrix NetScaler, etwa als Zugang für Fernarbeit. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: NetScaler ADC und Gateway auf 14.1-73.57, 13.1-64.39 oder neuer aktualisieren und die NetScaler Console ebenfalls patchen.
- Quelle: Citrix · The Hacker News
Windows-Updates vom November: Druckfehler bei Word-Dokumenten und Probleme bei der Aktivierung
Microsoft hat weitere Fehler der November-Updates bestätigt. Dokumente mit unsichtbaren Bildern, etwa für Wasserzeichen oder Layout-Anker, lassen sich teils nicht drucken. Betroffen sind vor allem Word-Dokumente, die über die Windows-Grafikschnittstelle GDI gedruckt werden, auf Windows 10 und neuer sowie Windows Server 2016 und neuer. Außerdem scheitert die Aktivierung mit Fehler 0x80041008, wenn Firmen Windows per Skript mit slmgr.vbs aktivieren oder KMS einrichten. Bereits aktivierte Rechner bleiben aktiviert. Eine Korrektur soll in den nächsten Tagen kommen.
- Priorität: Erhöht (Drucken und Aktivierung betroffen)
- Datum: 13.11.2026
- Für wen relevant: Alle Unternehmen mit Windows, besonders mit eigener Druckumgebung oder KMS-Aktivierung. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Bei Druckproblemen nach dem Update zuerst an diesen Fehler denken und das betroffene Dokument ohne Wasserzeichen testen. Neue Rechner, die per Skript aktiviert werden müssen, notfalls über den Microsoft-Support für Unternehmen aktivieren lassen.
- Quelle: BleepingComputer (Drucken) · BleepingComputer (Aktivierung)
Microsoft 365: Stundenlanger weltweiter Ausfall von Outlook, Teams und Copilot
Am 12. November waren Exchange Online, Teams, SharePoint Online, Copilot und Defender XDR weltweit über Stunden gestört. Microsoft führt den Ausfall auf Server zurück, die unerwartet nicht verfügbar waren, wodurch die übrige Infrastruktur überlastet wurde. Hinweise auf einen Angriff gibt es nicht. Laut Dr. Windows verschlechterte sich die Lage am Morgen des 13. November noch einmal, inzwischen stabilisieren sich die Dienste.
- Priorität: Beobachten (kein Angriff, Serverausfall)
- Datum: 12.11.2026
- Für wen relevant: Alle Unternehmen mit Microsoft 365. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Für solche Ausfälle einen zweiten Kommunikationsweg festlegen, etwa Telefonliste oder Messenger. Mails „von Microsoft“ zum Ausfall mit Links zur Anmeldung kritisch prüfen.
- Quelle: BleepingComputer · Dr. Windows
Operation Endgame: Polizei legt Gootloader, CastleRAT und StealC lahm und stellt 6,4 Millionen Zugangsdaten sicher
Eine internationale Polizeiaktion unter Beteiligung des BKA hat in dieser Woche die Infrastruktur der Schadprogramme Gootloader, CastleRAT und StealC ausgeschaltet. Laut BKA wurden rund 6,4 Millionen gestohlene Zugangsdaten von mehr als 40.000 Opfern sichergestellt, laut Europol insgesamt 235 Server und 257 Domains. Gootloader verbreitete sich über gefälschte Rechtsdokumente auf gehackten Websites, oft WordPress-Seiten, und lieferte Zugänge an Ransomware-Gruppen. StealC sammelt Passwörter von infizierten Rechnern. Festnahmen wurden nicht gemeldet.
- Priorität: Beobachten (gute Nachricht)
- Datum: 13.11.2026
- Für wen relevant: Alle Unternehmen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Mitarbeitende daran erinnern, keine „Vorlagen“ oder „Musterverträge“ von unbekannten Websites herunterzuladen. Wer einen Befall vermutet, ändert die im Browser gespeicherten Passwörter von einem sauberen Gerät aus.
- Quelle: The Hacker News
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
