Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Microsoft-Patchday: Rekordzahl von 1.413 Lücken, eine wird bereits angegriffen
Microsoft hat zum Oktober-Patchday 1.413 Sicherheitslücken geschlossen, so viele wie noch nie an einem Patchday. 1.102 davon betreffen Windows, 134 Office, 36 SharePoint Server und 22 SQL Server. Über 70 stuft Microsoft als kritisch ein. Eine Lücke wird bereits angegriffen: CVE-2026-96951 in der Windows Shell (CVSS 8.8) umgeht die Markierung „Mark of the Web“, mit der Windows aus dem Internet geladene Dateien kennzeichnet und vor dem Öffnen warnt. Für einen Angriff muss das Opfer eine präparierte Datei öffnen, etwa einen E-Mail-Anhang. CISA hat die Lücke am 13. Oktober in den Katalog ausgenutzter Schwachstellen aufgenommen. Das BSI stuft die Office-Lücken insgesamt als kritisch ein. Zwei weitere Lücken in .NET Framework und MessagePack-CSharp waren vorab öffentlich bekannt.
- Priorität: Sofort handeln (Angriffe laufen auf CVE-2026-96951)
- Datum: 13.10.2026
- CVE: CVE-2026-96951
- Für wen relevant: Alle Unternehmen mit Windows-Rechnern, Windows-Servern und Microsoft Office. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die Oktober-Updates zügig verteilen, Windows-Clients zuerst. Bis dahin Mitarbeiter warnen, keine unerwarteten Anhänge zu öffnen, auch wenn Windows keine Warnung anzeigt.
- Quelle: heise online · Microsoft
JTL-Connector für WooCommerce: Kritische Lücke, Plugin bei WordPress.org gesperrt
Im Plugin JTL-Connector for WooCommerce steckt eine kritische Lücke, über die Angreifer ohne Anmeldung Dateien auf den Server laden und damit Code ausführen können. Das Plugin verbindet WooCommerce-Shops mit der Warenwirtschaft JTL-Wawi. Laut NVD akzeptiert es einen leeren Anmeldeparameter als gültig und prüft hochgeladene Bilder nicht ausreichend. Betroffen sind alle Versionen bis einschließlich 2.4.3, die Lücke CVE-2026-87855 ist mit CVSS 9.8 bewertet. WordPress.org hat das Plugin am 7. Oktober vorübergehend gesperrt, es ist dort derzeit nicht herunterladbar.
- Priorität: Sofort handeln (kritisch, CVSS 9.8, Plugin gesperrt)
- Datum: 14.10.2026
- CVE: CVE-2026-87855
- Für wen relevant: Online-Händler, die WooCommerce mit JTL-Wawi verbinden, und Agenturen, die solche Shops betreuen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Prüfen, ob der Connector installiert ist und welche Version läuft. Bis eine korrigierte Fassung verfügbar ist, beim Hersteller JTL nachfragen und den Zugriff auf die Connector-Schnittstelle möglichst auf die IP-Adresse der Warenwirtschaft beschränken.
- Quelle: NVD · WordPress.org
Exchange Server: Oktober-Updates schließen sechs Lücken
Mit dem Patchday hat Microsoft auch Sicherheitsupdates für Exchange Server veröffentlicht. Das BSI nennt sechs Lücken, über die Angreifer erweiterte Rechte bis hin zu Administratorrechten erlangen oder Spoofing-Angriffe ausführen können. Die Updates gibt es für Exchange Server Subscription Edition. Für Exchange Server 2016 CU23 sowie 2019 CU14 und CU15 stehen sie laut dem Blog von Günter Born nur Organisationen zur Verfügung, die am ESU-Programm der Phase 2 teilnehmen. Exchange Online ist laut Microsoft bereits abgesichert.
- Priorität: Hoch (BSI: hoch)
- Datum: 13.10.2026
- CVE: CVE-2026-70279, CVE-2026-70571, CVE-2026-77910, CVE-2026-87692, CVE-2026-87695, CVE-2026-87696
- Für wen relevant: Unternehmen, die Exchange Server selbst betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Das Oktober-Update einspielen. Wer Exchange 2016 oder 2019 ohne ESU-Vertrag betreibt, bekommt keine Sicherheitsupdates mehr und sollte den Umstieg auf die Subscription Edition oder Exchange Online planen.
- Quelle: Borns IT- und Windows-Blog · BSI CERT-Bund
n8n: Updates schließen eine ganze Reihe von Sicherheitslücken
n8n hat mit den Versionen 2.44.1, 2.43.5 und 1.123.85 eine ganze Reihe von Sicherheitslücken geschlossen, auf GitHub sind am 14. Oktober 15 neue Hinweise erschienen. Vier davon stuft n8n als hoch ein: Über eine präparierte Workflow-ID kommen Benutzer an Datentabellen anderer Projekte, Webhook-Antworten ohne Sandbox-Richtlinie erlauben gespeichertes Cross-Site-Scripting, und zwei Fehler können die Instanz lahmlegen. Mehrere mittelschwere Lücken betreffen Zugangsdaten. Sie tauchen in Fehlerdaten von Ausführungen auf, und die Berechtigungsprüfung für geteilte Credentials lässt sich in bestimmten Fällen umgehen. Über den Slack-Trigger konnte ein Angreifer ohne Anmeldung den Slack-Token abgreifen.
- Priorität: Hoch (BSI: hoch, vier Lücken „hoch“)
- Datum: 14.10.2026
- Für wen relevant: Unternehmen und Freiberufler, die n8n selbst betreiben, vor allem mit mehreren Benutzern oder Projekten. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf 2.44.1 oder 2.43.5 aktualisieren, in der Versionsreihe 1 auf 1.123.85.
- Quelle: n8n auf GitHub · BSI CERT-Bund
Magento und Adobe Commerce: Oktober-Patch schließt elf Lücken, September-Hotfix bleibt nötig
Adobe hat am 13. Oktober Sicherheitsupdates für Adobe Commerce und Magento Open Source veröffentlicht (Bulletin APSB26-153). Sie schließen elf Lücken, die als kritisch, hoch und mittel eingestuft sind und unter anderem das Ausführen von Code, Rechteausweitung und das Schreiben beliebiger Dateien ermöglichen. Angriffe darauf sind Adobe nicht bekannt. Korrigiert sind Magento Open Source 2.4.7, 2.4.8 und 2.4.9 jeweils in der Fassung „2026-oct“, bei Adobe Commerce zusätzlich 2.4.4 bis 2.4.6. Adobe weist ausdrücklich darauf hin, dass zusätzlich der Hotfix für CVE-2026-75650 aus dem Bulletin APSB26-146 vom 7. September nötig ist. Diese Lücke steht seit dem 8. September im CISA-Katalog ausgenutzter Schwachstellen.
- Priorität: Hoch (Adobe: Priorität 2, keine Angriffe bekannt)
- Datum: 13.10.2026
- CVE: CVE-2026-100133, CVE-2026-103849, CVE-2026-91013, CVE-2026-92464, CVE-2026-92908, CVE-2026-92909, CVE-2026-92910, CVE-2026-92911, CVE-2026-92922, CVE-2026-95630, CVE-2026-95631
- Für wen relevant: Online-Händler mit Magento Open Source oder Adobe Commerce und deren Agenturen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Den Oktober-Patch für die eigene Versionsreihe einspielen und prüfen, ob der Hotfix für CVE-2026-75650 vom September installiert ist.
- Quelle: Adobe · BSI CERT-Bund
Firefox 158 und Thunderbird: Mozilla schließt 81 Lücken
Mozilla hat am 13. Oktober Firefox 158 sowie Firefox ESR 153.5 und 115.43 veröffentlicht, Thunderbird folgt mit 158 und 153.5. Das BSI zählt 81 geschlossene Lücken. Die hohe Zahl hat auch einen formalen Grund: Mozilla vergibt inzwischen für jeden einzelnen Speicherfehler eine eigene CVE-Nummer. Darunter sind eine Rechteausweitung in der Update-Komponente und ein Ausbruch aus der Sandbox im Netzwerkteil.
- Priorität: Erhöht (Mozilla: hoch)
- Datum: 13.10.2026
- Für wen relevant: Alle, die Firefox oder Thunderbird nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Updates einspielen. Beide Programme aktualisieren sich normalerweise selbst, ein Neustart schließt die Installation ab.
- Quelle: Mozilla · BSI CERT-Bund
Zoom Workplace und Zoom Rooms: Vier Sicherheitshinweise
Zoom hat am 13. Oktober vier Sicherheitshinweise veröffentlicht. Die schwerste Lücke, CVE-2026-108184 (CVSS 7.4), betrifft Zoom Workplace für Windows: Die Software prüft Zertifikate in bestimmten Fällen nicht korrekt, ein Angreifer im Netz kann dadurch ohne Anmeldung an Informationen kommen. Behoben ist sie in Zoom Workplace 7.2.0 und 7.1.9, im VDI-Client 7.0.13 und in Zoom Rooms 7.1.7. Laut BSI lassen sich über die übrigen Lücken unter anderem Rechte ausweiten.
- Priorität: Erhöht (bis CVSS 7.4)
- Datum: 13.10.2026
- CVE: CVE-2026-108184, CVE-2026-108185, CVE-2026-53418, CVE-2026-53420
- Für wen relevant: Unternehmen, die Zoom Workplace oder Zoom Rooms einsetzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Zoom über die eingebaute Update-Funktion oder zoom.us/download aktualisieren.
- Quelle: Zoom · BSI CERT-Bund
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
