Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
WordPress-Plugin Bricksforge: Kritische Lücke wird aktiv ausgenutzt
Die kritische Lücke CVE-2026-85097 im WordPress-Plugin Bricksforge wird angegriffen. Das meldet der WordPress-Sicherheitsanbieter Patchstack, der die ersten Versuche am 7. Oktober registriert hat. Angreifer können ohne Anmeldung eine Datei hochladen, die wie ein Bild aussieht und PHP-Code enthält, und sie anschließend unter einer PHP-Endung ablegen lassen. Damit führen sie eigenen Code auf dem Webserver aus. Betroffen sind alle Versionen bis einschließlich 3.1.8.9, behoben ist die Lücke in 3.1.8.10. Wordfence bewertet sie mit CVSS 9.8, Patchstack mit 10.0. Bricksforge ist eine Erweiterung für den Seitenbaukasten Bricks und liefert unter anderem Formulare und Animationen.
- Priorität: Sofort handeln (Angriffe laufen, CVSS 9.8)
- Datum: 12.10.2026
- CVE: CVE-2026-85097
- Für wen relevant: Betreiber von WordPress-Websites, die mit Bricks gebaut sind und Bricksforge nutzen, und Agenturen, die solche Seiten betreuen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Bricksforge sofort auf 3.1.8.10 oder neuer aktualisieren. Wer länger mit einer alten Version online war, sollte die Upload-Verzeichnisse auf unbekannte PHP-Dateien und die Benutzerliste auf fremde Admin-Konten prüfen.
- Quelle: Patchstack · The Hacker News
GitLab: Außerplanmäßiges Update schließt Lücke mit Höchstwertung
GitLab hat am 12. Oktober außer der Reihe die Versionen 19.4.2, 19.3.4 und 19.2.8 der Community Edition und der Enterprise Edition veröffentlicht. Sie schließen unter anderem eine kritische Lücke mit dem Höchstwert CVSS 10.0: Über einen präparierten regulären Ausdruck in einer CI/CD-Konfiguration konnte ein nicht angemeldeter Angreifer unter bestimmten Bedingungen Code auf dem GitLab-Server ausführen. Betroffen sind alle Versionen ab 19.2. Fünf weitere Lücken stuft GitLab als hoch ein, darunter Cross-Site-Scripting in der Syntaxhervorhebung und eine Prompt-Injection in der Duo Agent Platform. In Version 19.3.4 gibt es laut GitLab einen bekannten Fehler auf Merge-Request-Seiten bei aktivierter Ona-Integration, die Korrektur soll mit 19.3.5 folgen.
- Priorität: Hoch (kritisch, CVSS 10.0)
- Datum: 12.10.2026
- Für wen relevant: Unternehmen und Entwicklerteams, die GitLab selbst betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: GitLab empfiehlt, alle selbst betriebenen Installationen sofort zu aktualisieren. GitLab.com läuft bereits mit der korrigierten Version, Kunden von GitLab Dedicated müssen nichts tun.
- Quelle: GitLab · BSI CERT-Bund
MariaDB: Neue Versionen schließen neun Sicherheitslücken
Für MariaDB sind neun Sicherheitslücken bekannt geworden, acht im Datenbankserver und eine in der Client-Bibliothek Connector/C. Die höchste ist mit CVSS 8.5 bewertet. Laut BSI können Angreifer darüber Code ausführen, ihre Rechte ausweiten, den Dienst zum Absturz bringen oder Daten auslesen. Ein Teil der Lücken steckt in der Installation selbst, etwa in den Rechten des Dienstkontos bei den RPM-Paketen und in der systemd-Unit. Behoben sind die Fehler im Server in den Versionen 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 und 13.0.2.
- Priorität: Erhöht (BSI: hoch, bis CVSS 8.5)
- Datum: 11.10.2026
- CVE: CVE-2026-107814, CVE-2026-107815, CVE-2026-107816, CVE-2026-107817, CVE-2026-107818, CVE-2026-107819, CVE-2026-107821, CVE-2026-107822, CVE-2026-107823
- Für wen relevant: Alle, die MariaDB selbst betreiben, etwa hinter WordPress, Nextcloud oder einer Shop-Software. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Auf die korrigierte Version der eigenen Reihe aktualisieren. Bei Paketen aus der Linux-Distribution kommt das Update über die normale Paketverwaltung, bei Managed Hosting ist der Anbieter zuständig.
- Quelle: BSI CERT-Bund
Docker Desktop für Windows: Installer prüfte Paketsignatur nicht
Docker Desktop für Windows prüfte vor Version 4.92.0 nicht die Signatur eines Pakets, das dem Installationsprogramm mit dem Aufruf „install -package“ übergeben wird. Ein Angreifer, der ein präpariertes Paket unterschiebt und den Nutzer dazu bringt, die von Docker signierte Abfrage der Windows-Benutzerkontensteuerung zu bestätigen, kann damit eigene Installationsschritte mit den Rechten von LocalSystem ausführen. Das BSI stuft die Lücke CVE-2026-106581 als hoch ein. Behoben ist sie in Docker Desktop 4.92.0.
- Priorität: Erhöht (BSI: hoch, Angriff braucht Mithilfe des Nutzers)
- Datum: 11.10.2026
- CVE: CVE-2026-106581
- Für wen relevant: Entwickler und Administratoren, die Docker Desktop unter Windows nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Docker Desktop auf 4.92.0 oder neuer aktualisieren und Installationspakete nur aus der offiziellen Quelle laden.
- Quelle: BSI CERT-Bund · GitHub Advisory Database
RD Web Access: Portal lädt ab Mitte November in Edge und Chrome nicht mehr
Chromium entfernt die Unterstützung für XSLT. Laut dem Blog von Günter Born geschieht das mit Version 158, die am 17. November 2026 erscheinen soll, und trifft damit auch Microsoft Edge und Google Chrome. RD Web Access, das Webportal der Remotedesktopdienste in Windows Server 2016 bis 2025, baut seine Oberfläche mit XSLT im Browser auf und lädt ohne diese Funktion nicht mehr. Stattdessen erscheint die Meldung „Unable to display RD Web Access“. Microsoft beschreibt das im Support-Artikel KB5130994 vom 6. Oktober als gewollte Folge der Härtung und nennt drei Übergangslösungen.
- Priorität: Erhöht (Stichtag 17. November 2026)
- Datum: 12.10.2026
- Für wen relevant: Unternehmen, deren Mitarbeiter über das RD-Web-Portal auf Remotedesktop-Sitzungen oder veröffentlichte Programme zugreifen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Vor dem 17. November testen und eine Übergangslösung festlegen: den HTML5-Webclient der Remotedesktopdienste einrichten oder das Portal in Edge im Internet-Explorer-Modus öffnen. Solange der Browser XSLT noch enthält, lässt es sich außerdem über die Richtlinie XSLTEnabled wieder einschalten.
- Quelle: Borns IT- und Windows-Blog · Microsoft
Windows Update: Zertifikate laufen 2027 ab, ungepatchte Geräte bekommen dann keine Updates mehr
Windows Update prüft über Zertifikate, ob ein Gerät mit den echten Update-Servern von Microsoft spricht. Ein Teil dieser Zertifikate läuft am 17. Mai und am 19. Juni 2027 ab, darauf weist Microsoft seit dem 8. Oktober hin. Die neuen Zertifikate kommen mit den monatlichen Sicherheitsupdates. Geräte, denen diese Updates fehlen, erreichen Windows Update nach dem Stichtag nicht mehr. Windows 11 ab 25H2 hat die Zertifikate schon. Windows 11 24H2 und Windows Server 2025 brauchen mindestens das Sicherheitsupdate vom September 2025. Die übrigen unterstützten Versionen von Windows 10 und 11 sowie Windows Server 2022 brauchen das vom Juli 2026, jeweils bis zum 19. Juni 2027. Für Windows Server 2016 und 2019 und Windows 10 Enterprise 2019 LTSC gilt der 17. Mai 2027. Geräte, die ihre Updates über WSUS beziehen, sind nicht betroffen.
- Priorität: Beobachten (Fristen 17. Mai und 19. Juni 2027)
- Datum: 12.10.2026
- Für wen relevant: Alle Unternehmen mit Windows-Rechnern und Windows-Servern. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Wer monatlich patcht, muss nichts tun. Nachsehen sollte man bei Geräten, die selten am Netz sind oder lange keine Updates bekommen haben, etwa Reserve-Notebooks oder Rechner an Maschinen. Windows-Versionen ohne Support verlieren den Zugang zu Windows Update ganz.
- Quelle: heise online · Microsoft
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
