Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Nachtrag OpenSSH „SSHole“: Angriffe bestätigt, CISA nimmt Lücke in ihren Katalog auf
Nachtrag zu unserer Meldung vom 6. November. Die US-Behörde CISA hat die OpenSSH-Lücke CVE-2026-123158 („SSHole“) am 9. November in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. GreyNoise hat am 7. November den ersten erfolgreichen Angriff gesehen und danach 16 erfolgreiche Angriffsketten von sechs IP-Adressen gezählt. Die Angreifer erkundeten System und Container, fragten Cloud-Metadatendienste ab und versuchten, Passwort-Hashes und Root-SSH-Schlüssel zu lesen und eigene Schlüssel in authorized_keys einzutragen. In einem Fall installierten sie mit Root-Rechten ein Fernsteuerungsprogramm. Betroffen bleiben nur Systeme mit der C-Bibliothek musl wie Alpine Linux, bei denen PAM abgeschaltet und die Anmeldung per Passwort erlaubt ist.
- Priorität: Hoch (Angriffe bestätigt)
- Datum: 09.11.2026
- CVE: CVE-2026-123158
- Für wen relevant: Unternehmen mit Servern oder Containern auf Alpine Linux mit SSH-Zugang sowie mit Geräten auf Basis von OpenWrt, Buildroot oder Yocto. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: OpenSSH 10.6p2 oder das korrigierte Paket der Distribution einspielen. Auf betroffenen Systemen authorized_keys, neue Dienste und neue Konten prüfen. Lässt sich ein Einbruch nicht ausschließen, das System neu aufsetzen und alle Schlüssel tauschen.
- Quelle: BleepingComputer · Alpine Linux
SonicWall: Lücke im SSL-VPN hebelt die Mehrfaktor-Anmeldung über SAML aus
SonicWall hat am Freitag, 6. November, sieben Lücken in SonicOS geschlossen und meldet bei einer davon mögliche Angriffe. Die CISA hat sie am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Über CVE-2026-19868 können Nutzer mit gültigen Zugangsdaten für eine andere Anmeldemethode die SAML-Anmeldung am SSL-VPN umgehen und damit auch die per SAML erzwungene Mehrfaktor-Anmeldung. Anfällig ist das SSL-VPN nur, wenn SAML für die Anmeldung eingeschaltet ist. Zwei weitere Lücken in der Verwaltungsoberfläche erreichen CVSS 8.8. Behoben ist alles in SonicOS 7.3.4-7013 für Gen7 und 8.2.3-8015 für Gen8.
- Priorität: Hoch (möglicherweise bereits angegriffen)
- Datum: 06.11.2026 (Hinweis SonicWall)
- CVE: CVE-2026-19868
- Für wen relevant: Unternehmen mit SonicWall-Firewalls, besonders mit SSL-VPN und SAML-Anmeldung. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: SonicOS auf 7.3.4-7013 (Gen7) oder 8.2.3-8015 (Gen8) oder neuer aktualisieren. VPN-Anmeldungen der letzten Wochen auf ungewöhnliche Zugriffe prüfen.
- Quelle: heise online · The Hacker News
Claude Code: „Nicht mehr fragen“ speichert Passwörter in einer Datei, die oft auf GitHub landet
Die Sicherheitsfirma Apiiro hat am 5. November gezeigt, wie Claude Code Zugangsdaten preisgeben kann. Schlägt der Coding-Agent einen Befehl vor, der etwa ein Datenbankpasswort enthält, und wählt man „Ja, nicht mehr fragen“, speichert Claude Code den kompletten Befehl samt Geheimnis in .claude/settings.local.json im Projektordner. Normalerweise trägt Claude Code die Datei in die globale Ignore-Liste von Git ein. Das greift laut heise aber nicht, wenn der Ordner erst später zum Repository wird oder von einem anderen Rechner geklont wurde. Unter rund 104.000 öffentlichen Kopien der Datei auf GitHub fand Apiiro 1.122 mit echten Geheimnissen, insgesamt 2.539 Zugangsdaten in 1.994 Repositorys, darunter Datenbankpasswörter, Cloud-Schlüssel und SSH-Root-Logins. Boris Cherny, Leiter von Claude Code bei Anthropic, schrieb am 7. November, das Team prüfe Gegenmaßnahmen wie eine einfache Suche nach Geheimnissen.
- Priorität: Hoch (2.539 echte Zugangsdaten öffentlich)
- Datum: 05.11.2026 (Antwort von Anthropic am 07.11.)
- Für wen relevant: Unternehmen, in denen Entwickler oder IT-Mitarbeitende mit Claude Code oder anderen Coding-Agenten arbeiten. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Repositorys und Git-Historie nach .claude/settings.local.json und .claude/settings.json durchsuchen und die Freigabelisten auf Passwörter und Tokens prüfen. Gefundene Zugangsdaten zuerst tauschen, dann aufräumen. Befehle mit Zugangsdaten nicht dauerhaft freigeben.
- Quelle: Apiiro · heise online
Outlook.com weist seit dem 5. November echte Mails kleiner Absender zurück
Seit dem 5. November lehnen Microsofts Verbraucher-Postfächer (Outlook.com, Hotmail, Live, MSN) einen Teil der eingehenden Mails ab, berichten heise und Borns IT-Blog. Absender bekommen die Meldung „550 5.7.1 Message lacks SPF/DKIM/DMARC Auth Records“, Nutzer von Microsoft 365 sehen teils nur „SPF validation error“. Auffällig oft trifft es Domains ohne DMARC-Eintrag, obwohl SPF und DKIM bestanden haben. Die Ablehnungen kommen sporadisch, ein zweiter Versuch geht oft durch. Es gibt aber auch Berichte über Domains mit korrektem SPF, DKIM und DMARC. Mails an Firmenpostfächer in Exchange Online sind laut Borns IT-Blog nicht betroffen. Ein Moderator im Microsoft-Supportforum stuft das Problem laut heise als Störung ein, Microsoft untersucht die Ursache.
- Priorität: Erhöht (Störung bei Microsoft, Ursache offen)
- Datum: 09.11.2026 (Störung seit 05.11.)
- Für wen relevant: Alle Unternehmen, die Kunden oder Lieferanten mit Adressen bei Outlook.com, Hotmail, Live oder MSN anschreiben. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Falls noch keiner existiert, einen DMARC-Eintrag anlegen, mindestens „v=DMARC1; p=none“ unter _dmarc und dem eigenen Domainnamen. Er greift nur, wenn SPF oder DKIM zur Absenderdomain passt. Rückläufer an Outlook.com-Adressen im Blick behalten und wichtige Mails notfalls erneut senden.
- Quelle: heise online · Borns IT-Blog
Telefonanlagen mit FreeSWITCH: Eine präparierte SIP-Nachricht führt Befehle aus
Die CISA hat am 9. November die Lücke CVE-2026-116779 in FreeSWITCH in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. FreeSWITCH ist eine Open-Source-Software, auf der Telefonanlagen und VoIP-Dienste aufbauen, etwa FusionPBX. Laut dem Sicherheitshinweis der Entwickler vom 28. Oktober kann eine Gegenstelle, die der Anlage eine SIP-Nachricht vom Typ MESSAGE zustellen kann, damit beliebige FreeSWITCH-Befehle auslösen. Das reicht bis zu Befehlen auf dem Betriebssystem, dem Auslesen von Konfiguration und Zugangsdaten und der vollen Kontrolle über Gespräche. Laut Hinweis wurden Angriffe beobachtet. Behoben ist die Lücke ab Version 1.11.3.
- Priorität: Hoch (Angriffe beobachtet)
- Datum: 09.11.2026
- CVE: CVE-2026-116779
- Für wen relevant: Unternehmen mit eigener VoIP-Telefonanlage, besonders auf Basis von FreeSWITCH. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Beim Dienstleister der Telefonanlage nachfragen, ob FreeSWITCH im Einsatz ist und Version 1.11.3 oder neuer läuft. SIP-Zugänge nur für bekannte Gegenstellen öffnen.
- Quelle: FreeSWITCH (GitHub) · CISA
GPUStack: Lücke in der Verwaltung eigener KI-Server wird angegriffen
Die CISA hat am 9. November auch die Lücke CVE-2026-102895 in GPUStack in ihren Katalog aufgenommen. Mit dem Open-Source-Werkzeug verwalten Unternehmen eigene GPU-Server, auf denen KI-Modelle laufen. Laut dem Sicherheitshinweis der Entwickler behandelt GPUStack vor Version 2.2.0 jede Anfrage, die scheinbar vom eigenen Rechner kommt, als Administrator. Steht GPUStack hinter einem Reverse Proxy auf demselben Server, gilt das für alle Anfragen aus dem Netz, ein gefälschter Header reicht ebenfalls. Angreifer bekommen so ohne Passwort Administratorrechte, können eigene API-Schlüssel anlegen, hinterlegte Zugangsdaten zu Cloud-Anbietern auslesen und Code ausführen. Der Sicherheitshinweis mit Version 2.2.0 stammt vom 31. Juli.
- Priorität: Erhöht (Administratorrechte ohne Passwort)
- Datum: 09.11.2026
- CVE: CVE-2026-102895
- Für wen relevant: Unternehmen, die mit GPUStack eigene KI-Server betreiben. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Auf Version 2.2.0 oder neuer aktualisieren. Nach unbekannten Administratorkonten und API-Schlüsseln suchen und hinterlegte Cloud-Zugangsdaten tauschen.
- Quelle: GPUStack (GitHub) · CISA
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
