Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Chrome 157 schließt 213 Sicherheitslücken, Firefox 159.0.1 eine weitere
Google hat am 3. November Chrome 157 für Windows, Mac und Linux veröffentlicht (Version 157.0.8103.38/.39). Das Update schließt 213 Sicherheitslücken, sieben davon stuft Google als kritisch ein. Zwei der kritischen Lücken hat laut SecurityWeek ein Forscher von Anthropic gemeldet. Hinweise auf laufende Angriffe nennt Google nicht. Wer den Extended-Stable-Kanal nutzt, bekommt Version 156.0.8078.88 mit 55 Korrekturen. Mozilla hat am selben Tag Firefox 159.0.1 verteilt, das die als hoch eingestufte Lücke CVE-2026-120572 schließt.
- Priorität: Hoch (sieben kritische Lücken)
- Datum: 03.11.2026
- CVE: CVE-2026-120572 (Firefox)
- Für wen relevant: Alle Unternehmen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Browser neu starten, damit die Updates greifen. Chrome sollte mindestens 157.0.8103.38 zeigen, Firefox 159.0.1.
- Quelle: Google · SecurityWeek · Deskmodder (Firefox)
WordPress: Lücke im Update-Vorgang wird aktiv angegriffen
Die US-Behörde CISA hat am 3. November die WordPress-Lücke CVE-2026-119977 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die Lücke steckt im Update-Vorgang selbst. Während ein vollständiges Core-Update läuft, liegen Installationsdateien kurz unter vorhersehbaren, öffentlich erreichbaren Pfaden. Wer dieses Zeitfenster trifft, kann ohne Benutzerkonto Code auf dem Server ausführen. Betroffen sind laut Wordfence die Versionen 4.7.0 bis 7.1.3, behoben ist die Lücke seit WordPress 7.1.4 vom 28. Oktober. Wordfence hat nach eigenen Angaben innerhalb von 24 Stunden mehr als 12.000 Angriffsversuche blockiert.
- Priorität: Hoch (Angriffe laut CISA bestätigt)
- Datum: 03.11.2026
- CVE: CVE-2026-119977
- Für wen relevant: Unternehmen mit einer WordPress-Website. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Prüfen, ob alle WordPress-Seiten auf Version 7.1.4 oder neuer laufen, auch Landingpages und Testinstallationen. Vergessene Installationen abschalten.
- Quelle: WordPress · Wordfence · BleepingComputer
Binance-Diebstahl: Ein falsches Bewerbungsgespräch und ein KI-Werkzeug öffneten die Tür
Binance hat am 3. November erklärt, wie Angreifer der Kryptobörse am 29. Oktober 6,3 Milliarden US-Dollar stehlen konnten. Im Juni lud ein Entwickler ein KI-Werkzeug herunter, das er über eine Suchmaschine gefunden hatte. Die Installationsdatei war manipuliert. Binance bemerkte das und tauschte Gerät und Zugangsdaten, die Angreifer wussten da aber schon, wer im Wallet-Team arbeitet. Im September lud ein angeblicher Projektleiter einen Kollegen über eine echte Jobplattform zu Bewerbungsgesprächen ein. Am Ende sollte der Entwickler eine Probeaufgabe auf seinen Arbeitsrechner laden, der Code darin startete Schadsoftware. Am 20. Oktober nutzten die Angreifer ein internes KI-Werkzeug von Binance, um weitere Rechner zu übernehmen. Das FBI ordnet den Diebstahl Nordkorea zu.
- Priorität: Erhöht (Lehrstück für jedes Unternehmen)
- Datum: 03.11.2026
- Für wen relevant: Alle Unternehmen, besonders mit Entwicklern oder IT-Mitarbeitenden mit weitreichenden Rechten. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Software nur von der Seite des Herstellers laden, nie über Suchanzeigen. Probeaufgaben aus Bewerbungsgesprächen und Code von Fremden nie auf Arbeitsrechnern ausführen. Interne KI-Werkzeuge, die auf Rechner und Zugangsdaten zugreifen, so absichern wie ein Administratorkonto.
- Quelle: heise online · The Hacker News
Präparierte Webseiten greifen veraltete iPhones und Android-Handys an
Die Sicherheitsfirma Sekoia hat am 4. November eine Kampagne beschrieben, die sie mit mittlerer bis hoher Sicherheit der russischen Gruppe APT29 zuschreibt. Die Angreifer schleusten Code in echte Webseiten ein, etwa die eines ukrainischen Gasproduzenten und eines US-Branchenverbands, und bauten weitere Seiten nach. Der Code prüft Gerät und Browser jedes Besuchers und schickt passende Angriffe auf bereits bekannte Lücken, ohne dass jemand etwas anklicken muss. Ziel waren iPhones mit iOS 16.7 und 18.5 sowie Chrome für Android in den Versionen 139 bis 145. Erbeutet wurden unter anderem Cookies, Zugangsdaten und Chatverläufe aus WhatsApp und Telegram. Apple und Google haben alle genutzten Lücken geschlossen. Die Schadsoftware übersteht keinen Neustart.
- Priorität: Erhöht (nur Geräte ohne aktuelle Updates)
- Datum: 04.11.2026
- Für wen relevant: Unternehmen mit Diensthandys. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: In der Geräteverwaltung (MDM) prüfen, ob alle iPhones die neueste iOS-Version haben und Chrome auf Android-Geräten aktuell ist. Geräte, die keine Updates mehr bekommen, ersetzen.
- Quelle: Sekoia · BleepingComputer
Spammer suchen vergessene Mail-Testskripte auf Firmen-Websites
Das SANS Internet Storm Center sieht seit dem 4. November wieder mehr Suchanfragen nach Mail-Skripten auf Webservern, etwa /sendmail.php, /mailtest.php oder /email-test.php. Vermutlich suchen Spammer nach Testskripten, die bei der Einrichtung einer Website liegen geblieben sind. Über manche lässt sich ein beliebiger Empfänger einsetzen, das gezeigte Beispielskript verschickt zusätzlich Serverdaten.
- Priorität: Beobachten (Aufräumen auf dem Webserver)
- Datum: 04.11.2026
- Für wen relevant: Unternehmen mit eigener Website, besonders wenn eine Agentur sie eingerichtet hat. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Agentur oder Administrator bitten, den Webserver nach Test- und Mail-Skripten zu durchsuchen und alles zu löschen, was nicht gebraucht wird.
- Quelle: SANS Internet Storm Center
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
