Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
OpenSSH-Lücke „SSHole“: Ein überlanges Passwort öffnet gesperrte Konten
Am 5. November wurde die OpenSSH-Lücke CVE-2026-123158 („SSHole“) bekannt. Sie betrifft nur Linux-Systeme mit der C-Bibliothek musl, etwa Alpine Linux, OpenWrt, Buildroot und Yocto, und nur wenn PAM abgeschaltet und die Anmeldung per Passwort erlaubt ist. In der Standardkonfiguration von Alpine Linux ist beides der Fall. Wer dann ein Passwort mit 257 bis 1.024 Zeichen eingibt, kann sich bei Konten anmelden, deren Passwort eigentlich gesperrt ist. Konten mit echtem Passwort sind nicht betroffen. Laut dem Entdecker haben die offiziellen Alpine-Abbilder für AWS und Azure ein solches Konto, das ohne Passwort Root-Rechte bekommen kann. Die Firma Previdian hat weniger als neun Stunden nach der Veröffentlichung erste Angriffe gesehen, auf einem Testsystem mit Alpine erlangten die Angreifer Root-Rechte. Debian, Ubuntu, Fedora und andere Systeme mit glibc sind nicht betroffen. Behoben ist die Lücke in OpenSSH 10.6p2.
- Priorität: Hoch (Angriffe laufen, nur musl-Systeme)
- Datum: 05.11.2026 (Angriffe seit 06.11.)
- CVE: CVE-2026-123158
- Für wen relevant: Unternehmen mit Servern oder Containern auf Alpine Linux mit SSH-Zugang sowie mit Routern und Geräten auf Basis von OpenWrt, Buildroot oder Yocto. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: OpenSSH auf 10.6p2 oder das korrigierte Paket der Distribution aktualisieren (Alpine: apk upgrade openssh) und den SSH-Dienst neu starten. Wer nicht sofort aktualisieren kann, schaltet die Anmeldung per Passwort ab (PasswordAuthentication no). In /var/log/messages nach „Accepted password“ bei Konten suchen, die gar kein Passwort haben.
- Quelle: Alpine Linux · OpenSSH · BleepingComputer · The Hacker News
QNAP warnt: Angreifer übernehmen NAS-Geräte über Plex Media Server
QNAP hat am 6. November gewarnt, dass Angreifer NAS-Geräte über die Lückenkette Plex2Shell im Plex Media Server übernehmen. Mehrere Kunden haben verdächtige Einbrüche gemeldet. Die vier Lücken stecken nur in Plex, die Betriebssysteme QTS und QuTS hero sind laut QNAP selbst nicht betroffen. Geschlossen sind sie ab Plex 1.43.3.10861. Wer einen verwundbaren Plex-Server offen im Internet betrieben hat, soll das NAS laut QNAP als kompromittiert betrachten. Ein Update entfernt bereits installierte Schadsoftware nicht.
- Priorität: Hoch (Angriffe laufen, Update entfernt Schadcode nicht)
- Datum: 06.11.2026
- CVE: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
- Für wen relevant: Unternehmen mit einem QNAP-NAS, auf dem Plex Media Server läuft. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Plex im App Center auf 1.43.3.10861 oder neuer aktualisieren und die Prüfanleitung von QNAP durchgehen. Bei Verdacht das Betriebssystem des NAS sauber neu installieren und alle Zugangsdaten zurücksetzen. Port 32400 nicht ins Internet weiterleiten, Fernzugriff nur über VPN.
- Quelle: QNAP · QNAP Prüfanleitung · BleepingComputer
Hoster Mittwald: Angreifer lasen Zugangsdaten über die Schnittstelle für KI-Assistenten aus
Der Hoster Mittwald aus Espelkamp hat am 4. November festgestellt, dass ein Angreifer am 27. Oktober auf seinen MCP-Server zugegriffen hat. Über diese Schnittstelle konnten Kunden ihr Verwaltungsportal mStudio mit KI-Assistenten verbinden. Dabei wurden Zugangsdaten (Tokens) der Nutzer dieser Schnittstelle ausgelesen. Laut Mittwald war das Verhalten des Angreifers bis zum 4. November nicht von normaler Nutzung zu unterscheiden. Mittwald hat nach eigenen Angaben alle Tokens widerrufen. Seit dem 5. November sind mStudio-Login, SSH-Zugänge, Erweiterungen und Bestellungen vorsorglich gesperrt, die Websites laufen weiter. Betroffen sind nach aktuellem Stand nur Kunden, die den MCP-Server genutzt haben. Sie bekommen eine persönliche E-Mail.
- Priorität: Erhöht (Zugangsdaten über KI-Schnittstelle abgeflossen)
- Datum: 05.11.2026
- Für wen relevant: Unternehmen und Agenturen mit Websites oder Servern bei Mittwald. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Postfach auf eine Mail von Mittwald prüfen. Wer den MCP-Server genutzt hat, erneuert alle Zugangsdaten, die über mStudio erreichbar waren, und prüft die Projekte auf ungewohnte Änderungen. KI-Assistenten grundsätzlich nur mit Zugängen verbinden, die so wenig Rechte haben wie möglich.
- Quelle: Mittwald · Borns IT-Blog
Lücke in Microsoft Paint: Die Korrektur kommt nicht über Windows Update
Für die Paint-Lücke CVE-2026-83844, die Microsoft am 13. Oktober veröffentlicht hat, ist die korrigierte Version 11.2609.401.0 inzwischen im Microsoft Store angekommen, berichtet The Hacker News am 6. November. Paint bekommt den Fix nur über den Store, Windows Update liefert ihn nicht. Laut Microsoft kann ein Angreifer über das Netzwerk Code ausführen, ohne Anmeldung und ohne Zutun des Nutzers, braucht dafür aber genaue Kenntnisse des Zielsystems. Angriffe sind nicht bekannt. Paint ist für jedes Benutzerkonto einzeln installiert, auf einem Rechner können also ältere Kopien liegen bleiben.
- Priorität: Erhöht (Fix nur über den Microsoft Store)
- Datum: 06.11.2026 (Fix im Store)
- CVE: CVE-2026-83844
- Für wen relevant: Alle Unternehmen mit Windows-Rechnern. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Store-Updates zulassen oder Paint über die Geräteverwaltung, etwa Intune, aktualisieren. Prüfen, ob alle Kopien mindestens Version 11.2609.401.0 zeigen.
- Quelle: Microsoft · The Hacker News
Mit KI-Stimme des Chefs: Anklage wegen 129 Millionen Dollar Betrug
In New York sind drei Personen angeklagt, die laut Staatsanwaltschaft über eineinhalb Jahre Tausende Unternehmen weltweit angegangen sind und rund 129 Millionen US-Dollar erbeutet haben. Sie schrieben vor allem an Buchhaltungen, angeblich im Namen des Geschäftsführers, und baten um Hilfe bei einer vertraulichen Zahlung. In Telefon- oder Videoanrufen ahmten sie mit KI die Stimme und teils das Bild des Chefs nach. Danach meldete sich ein angeblicher Anwalt einer großen Kanzlei und ließ hohe Summen auf Konten in aller Welt überweisen. Unter den Opfern sind Krankenhäuser, eine Bank und ein Tierfutterhersteller.
- Priorität: Erhöht (Buchhaltung im Visier)
- Datum: 05.11.2026
- Für wen relevant: Alle Unternehmen, besonders Buchhaltung und Geschäftsführung. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Eine feste Regel für Zahlungen vereinbaren: Wer per Mail, Anruf oder Video um eine eilige, vertrauliche Überweisung gebeten wird, ruft unter einer bekannten Nummer zurück. Größere Überweisungen nur mit einer zweiten Freigabe.
- Quelle: US-Justizministerium · SecurityWeek
Cyberangriff auf Mindfactory: Kontaktdaten und verschlüsselte Passwörter betroffen
Der Hardwarehändler Mindfactory hat Kunden über einen Cyberangriff informiert. Angreifer könnten Anschrift, E-Mail-Adresse, Telefonnummer und verschlüsselt gespeicherte Passwörter erbeutet haben. Bank- und Kreditkartendaten liegen laut Mindfactory bei den Zahlungsdienstleistern und sind nicht betroffen. Alle Shop-Passwörter wurden zurückgesetzt. Informiert werden alle, die seit Juli 2025 bestellt haben.
- Priorität: Beobachten (alle Shop-Passwörter zurückgesetzt)
- Datum: 06.11.2026
- Für wen relevant: Unternehmen, die bei Mindfactory bestellen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Wer das Mindfactory-Passwort auch anderswo nutzt, ändert es dort. Mit gezielten Betrugsmails und Anrufen rechnen, die sich auf Bestellungen bei Mindfactory beziehen.
- Quelle: heise online
Notepad++ 8.9.9 schließt sechs Sicherheitslücken
Notepad++ 8.9.9 ist am 6. November erschienen und schließt sechs Sicherheitslücken. Darunter sind eine Rechteausweitung, über die sich Plugin-Befehle starten lassen, und ein Heap-Pufferüberlauf im Plugin MIME Tools. CVE-Nummern gibt es noch nicht.
- Priorität: Beobachten (sechs Sicherheitskorrekturen)
- Datum: 06.11.2026
- Für wen relevant: Unternehmen, in denen Notepad++ installiert ist. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Notepad++ auf 8.9.9 aktualisieren, auf Rechnern ohne automatische Updates von Hand oder über die Softwareverteilung.
- Quelle: Notepad++ · Deskmodder
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
