Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
SAP S/4HANA: Kritische Lücke erlaubt das Ausführen von ABAP-Code
SAP hat zum Patchday am 13. Oktober eine kritische Lücke in S/4HANA gemeldet. In der Funktion „Manage Substitution/Validation Rules“ wird die Eingabe für Regeldefinitionen nicht ausreichend geprüft. Ein angemeldeter Angreifer mit bestimmten fachlichen Berechtigungen kann darüber eigenen ABAP-Code ausführen und das System vollständig übernehmen. Die Lücke CVE-2026-89107 ist mit CVSS 9.9 bewertet, die Korrektur steht im SAP-Hinweis 3805589.
- Priorität: Hoch (kritisch, CVSS 9.9)
- Datum: 13.10.2026
- CVE: CVE-2026-89107
- Für wen relevant: Unternehmen mit SAP S/4HANA. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Den Sicherheitshinweis 3805589 über die SAP-Basis oder den betreuenden Dienstleister einspielen lassen. Die übrigen Hinweise des Oktober-Patchdays stehen im SAP-Supportportal.
- Quelle: NVD · SAP Security Patch Day
ERPNext: Jeder angemeldete Benutzer kann die Installation übernehmen
In ERPNext, der Open-Source-ERP-Software von Frappe, kann jeder angemeldete Benutzer die Kontrolle über die gesamte Installation übernehmen. Ein Endpunkt zum Anlegen von Datensätzen übernimmt den Datensatztyp aus der Anfrage und schreibt den Datensatz ohne Rechteprüfung. So lassen sich privilegierte Konten anlegen, selbst von einem Benutzer ohne jede Rolle. Die Lücke CVE-2026-109667 ist mit CVSS 8.8 bewertet und in ERPNext 15.111.0 und 16.22.0 behoben.
- Priorität: Hoch (CVSS 8.8)
- Datum: 12.10.2026
- CVE: CVE-2026-109667
- Für wen relevant: Unternehmen, die ERPNext selbst betreiben, vor allem mit Zugängen für Kunden, Lieferanten oder Bewerber. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf 15.111.0 oder 16.22.0 aktualisieren und danach die Benutzerliste auf unbekannte Konten mit Administratorrechten durchsehen.
- Quelle: GitHub Security Advisory · NVD
phpMyFAQ: SQL-Injection ohne Anmeldung
phpMyFAQ enthält vor Version 4.1.9 eine SQL-Injection, die sich ohne Anmeldung ausnutzen lässt. Angreifbar sind Installationen, deren MySQL- oder MariaDB-Server im Modus NO_BACKSLASH_ESCAPES läuft. Über den Suchparameter der Autocomplete-Schnittstelle lassen sich dann Zugangsdaten und Konfigurationsgeheimnisse auslesen, Datensätze ändern oder Tabellen löschen. Die Lücke CVE-2026-109573 ist nach CVSS 4.0 mit 9.2 bewertet.
- Priorität: Hoch (kritisch, CVSS 9.2)
- Datum: 12.10.2026
- CVE: CVE-2026-109573
- Für wen relevant: Unternehmen, die mit phpMyFAQ eine FAQ oder Wissensdatenbank betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf phpMyFAQ 4.1.9 aktualisieren.
- Quelle: GitHub Security Advisory · NVD
SuiteCRM: Neue Versionen schließen acht Sicherheitslücken
SuiteCRM hat mit den Versionen 8.10.2 und 7.15.2 acht Sicherheitslücken geschlossen. Die schwerste, CVE-2026-100358, stuft das Projekt als kritisch ein: Ein Administrator kann über den Dropdown-Editor PHP-Code einschleusen und Befehle auf dem Server ausführen. Über CVE-2026-100363 (CVSS 8.8) lassen sich Rechte über die REST-Schnittstelle V8 ausweiten. Weitere Lücken in derselben Schnittstelle erlauben es, Zugriffsregeln zu umgehen, fremde Datensätze zu übernehmen und geschützte Felder von Benutzerkonten zu ändern. Betroffen sind alle Versionen bis 8.10.1 und 7.15.1.
- Priorität: Hoch (BSI: hoch, eine Lücke kritisch)
- Datum: 12.10.2026
- CVE: CVE-2026-100358, CVE-2026-100359, CVE-2026-100360, CVE-2026-100361, CVE-2026-100362, CVE-2026-100363, CVE-2026-100364, CVE-2026-97377
- Für wen relevant: Unternehmen, die SuiteCRM selbst betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf SuiteCRM 8.10.2 oder 7.15.2 aktualisieren.
- Quelle: BSI CERT-Bund · GitHub Security Advisory
Kaspersky: Dienste seit Tagen gestört, Nutzer melden fehlende Updates
Bei Kaspersky sind seit Sonntag, dem 11. Oktober, Dienste und Funktionen gestört. Das Unternehmen hat die Störung auf X bestätigt und erklärt, der „Kernschutz“ bleibe erhalten und alle Nutzerdaten seien sicher. Nutzer berichten, dass die Antivirus-Software läuft, aber keine Updates mehr erhält. In den Passwort-Manager und den VPN-Dienst können sie sich nach eigenen Angaben nicht einloggen, auch das Kundenkonto My Kaspersky war nicht erreichbar. Zur Ursache hat sich Kaspersky nicht geäußert. heise weist darauf hin, dass der Beginn zeitlich mit Angriffen auf Rechenzentren in Russland zusammenfällt. Einen Beleg für einen Zusammenhang gibt es bisher nicht.
- Priorität: Erhöht (laufende Störung seit 11. Oktober)
- Datum: 13.10.2026
- Für wen relevant: Unternehmen und Selbstständige, die Kaspersky-Produkte einsetzen: Virenschutz, Passwort-Manager oder VPN. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: In der Software nachsehen, von wann die letzten Signaturen stammen. Wer Zugangsdaten nur im Passwort-Manager von Kaspersky hat, kommt derzeit womöglich nicht an sie heran. Das BSI warnt seit März 2022, also seit gut viereinhalb Jahren, vor dem Einsatz von Kaspersky-Virenschutz und empfiehlt den Umstieg auf andere Produkte.
- Quelle: heise online · Borns IT- und Windows-Blog
Open WebUI: Version 0.11.4 schließt Cookie-Abfluss und Rechteausweitung
Open WebUI, die verbreitete Weboberfläche für lokale und angebundene Sprachmodelle, schließt mit Version 0.11.4 zwei Lücken. Bei CVE-2026-109292 schickt Open WebUI bei Verbindungen im OAuth-Modus alle Browser-Cookies an den Zielserver. Wer einen angebundenen OpenAI-kompatiblen Dienst, einen Tool-Server oder einen Terminal-Server betreibt, kann so Sitzungscookies abgreifen und Konten übernehmen, auch die von Administratoren. Bei CVE-2026-109572 erreichen angemeldete Benutzer über den Terminal-Proxy die Verwaltungsschnittstelle der Terminals. Sie können Terminals anderer Benutzer auflisten oder stoppen und ihnen Umgebungsvariablen unterschieben. Betroffen sind Versionen ab 0.6.27 beziehungsweise ab 0.8.6.
- Priorität: Erhöht (zwei Lücken, bis CVSS 7.6)
- Datum: 12.10.2026
- CVE: CVE-2026-109292, CVE-2026-109572
- Für wen relevant: Unternehmen und Teams, die Open WebUI für mehrere Benutzer betreiben. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Auf 0.11.4 aktualisieren und prüfen, welche externen Dienste und Tool-Server angebunden sind.
- Quelle: GitHub Security Advisory (Cookies) · GitHub Security Advisory (Terminals)
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
