Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Exchange Server: Microsoft bestätigt Ausfälle, Auslöser sind wohl die Windows-Server-Updates
Microsoft untersucht Ausfälle von Exchange Server nach den Oktober-Updates. Laut Microsoft ist Outlook im Web (OWA) nicht mehr erreichbar, und E-Mails stauen sich in den Warteschlangen. Im Verdacht stehen inzwischen die kumulativen Updates für Windows Server. Die Exchange-Sicherheitsupdates vom selben Patchday müssen dafür nicht installiert sein. Microsoft nennt vier möglicherweise betroffene Updates: KB5126646 für Windows Server 2025, KB5126655 für Server 2022, KB5126651 für Server 2019 und KB5126868 für Server 2016. Typisch sind die OWA-Fehlermeldung „MapiExceptionMdbOffline“ und das Ereignis 1006 im Anwendungsprotokoll. Einen Workaround gab es am 15. Oktober laut einem Microsoft-Mitarbeiter noch nicht.
- Priorität: Hoch (von Microsoft bestätigt, noch kein Workaround)
- Datum: 16.10.2026
- Für wen relevant: Unternehmen mit eigenem Exchange Server. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf Exchange-Servern die genannten Windows-Server-Updates vorerst zurückstellen und Microsofts Hinweis im Exchange-Blog verfolgen. Im gestrigen Briefing standen noch die Exchange-Updates selbst im Verdacht. Wer nur diese zurückgehalten hat, sollte jetzt auch die Windows-Updates prüfen.
- Quelle: heise online · Microsoft Techcommunity
Google Chrome: Zweites Sicherheitsupdate der Woche schließt kritische Lücke
Google hat in dieser Woche ein zweites Sicherheitsupdate für Chrome veröffentlicht. Version 155.0.8059.84/.85 für Windows und Mac und 155.0.8059.84 für Linux schließt zehn Lücken. Die kritische, CVE-2026-110922, ist ein Use-after-free-Fehler in der Komponente Prerender, die Seiten im Voraus lädt. Laut Golem kann schon der Besuch einer präparierten Website reichen, um Code außerhalb der Sandbox des Browsers auszuführen. Sechs weitere Lücken stuft Google als hoch ein. Mehrere davon hat Xinyang Ge von Anthropic gemeldet, nach Googles Angaben mit Hilfe des KI-Modells Claude. Angriffe meldet Google nicht.
- Priorität: Hoch (eine Lücke kritisch)
- Datum: 15.10.2026
- CVE: CVE-2026-110922
- Für wen relevant: Alle, die Google Chrome nutzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Chrome neu starten, damit das Update greift. Unter „Über Google Chrome“ steht die installierte Version.
- Quelle: Google · Golem
BeyondTrust Remote Support: Spionagegruppe nutzte Lücke schon im August aus
Eine chinesische Spionagegruppe hat eine Lücke in BeyondTrust Remote Support, früher Bomgar, schon Ende August als Zero-Day ausgenutzt. Das berichtet Googles Threat-Intelligence-Team, das die Gruppe als Armory Castle führt. Die Lücke CVE-2026-102764 (CVSS 9.3) steckt in einer internen Nachrichtenkomponente, die die Herkunft von Nachrichten nicht ausreichend prüft. Angreifer können darüber Dateioperationen auf der Appliance ausführen. Die SaaS-Kunden hat BeyondTrust bis zum 9. Oktober aktualisiert. Wer Remote Support selbst betreibt, muss den Patch BT26-05-RS einspielen, Versionen vor 24.3.1 müssen vorher aktualisiert werden.
- Priorität: Hoch (Zero-Day ausgenutzt, Patch verfügbar)
- Datum: 16.10.2026
- CVE: CVE-2026-102764
- Für wen relevant: IT-Dienstleister und Unternehmen, die BeyondTrust Remote Support selbst betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Den Patch BT26-05-RS einspielen und die Appliance auf unbekannte Dateien und Sitzungen prüfen.
- Quelle: Google Threat Intelligence · The Hacker News
WordPress-Plugin Backuply: Abonnenten können über eine Sicherung die Website übernehmen
Im WordPress-Plugin Backuply, das auf mehr als 600.000 Websites läuft, steckt eine SQL-Injection, über die ein einfacher Abonnent die Website übernehmen kann. Der Angreifer legt präparierten Text im Feld „Biografische Angaben“ seines Profils ab. Backuply übernimmt ihn unverändert in die Datenbanksicherung. Stellt ein Administrator später diese Sicherung wieder her, wird der eingeschleuste SQL-Befehl ausgeführt. So kann der Angreifer etwa die Standardrolle für neue Konten auf Administrator setzen. Die Lücke CVE-2026-93953 ist mit CVSS 8.0 bewertet und in Version 1.5.9 vom 1. Oktober behoben. Wordfence hat sie am 15. Oktober veröffentlicht.
- Priorität: Hoch (CVSS 8.0)
- Datum: 15.10.2026
- CVE: CVE-2026-93953
- Für wen relevant: Betreiber von WordPress-Websites mit Backuply, vor allem mit offener Registrierung, Kundenkonten im Shop oder Mitgliederbereich. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Backuply auf 1.5.9 oder neuer aktualisieren und in den WordPress-Einstellungen prüfen, ob die Standardrolle für neue Benutzer noch „Abonnent“ ist.
- Quelle: Wordfence
Microsoft 365 Business: Neue Kundenvereinbarung muss bestätigt werden, sonst klemmen Lizenzen
Microsoft hat die Kundenvereinbarung für Microsoft 365 Business um eine neue Stornierungsrichtlinie ergänzt. Sie betrifft die Rückerstattung bei Kündigungen und gilt mit der nächsten Verlängerung des Abonnements. Die Information kommt per E-Mail an die Admins des Mandanten. Die Änderung muss im Microsoft 365 Admin Center über „Überprüfen und bestätigen Sie die Bedingungen“ ausdrücklich akzeptiert werden. Ein Dienstleister berichtet im Blog von Günter Born, dass bei zwei seiner Kunden ohne diese Bestätigung Lizenzen nicht mehr zugewiesen werden konnten.
- Priorität: Erhöht (Bestätigung im Admin Center nötig)
- Datum: 16.10.2026
- Für wen relevant: Unternehmen mit Microsoft-365-Business-Abonnements und IT-Dienstleister, die deren Mandanten verwalten. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Im Microsoft 365 Admin Center nachsehen, ob dort Bedingungen zur Bestätigung warten, vor allem bei Abonnements mit anstehender Verlängerung.
- Quelle: Borns IT- und Windows-Blog
Phishing im Namen von ELSTER: Angebliche Steuererstattung verlangt Kartendaten
Die Verbraucherzentrale warnt vor E-Mails, die eine Steuererstattung für 2025 über ELSTER ankündigen. Der Betreff lautet „AW: Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Für die Auszahlung sollen Empfänger bis zum 25. Oktober über einen Link ihre Bank- und Kartendaten bestätigen, sonst werde die Erstattung nicht bearbeitet. Als Warnzeichen nennt die Verbraucherzentrale die unpersönliche Anrede, die Absenderadresse, die Aufforderung, Daten über einen Link zu bestätigen, die kurze Frist und die Drohung.
- Priorität: Erhöht (aktuelle Phishing-Welle)
- Datum: 15.10.2026
- Für wen relevant: Alle Mitarbeiter, besonders in Buchhaltung und Geschäftsführung. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Mail löschen und das Team warnen. Hinweise zum eigenen Steuerkonto nur in der ELSTER-App oder auf elster.de prüfen, nie über einen Link in einer E-Mail.
- Quelle: Verbraucherzentrale Phishing-Radar
NGINX: Updates schließen fünf Lücken, eine steckt seit 2005 im Code
NGINX hat am 14. Oktober die Versionen 1.30.6 und 1.31.7 veröffentlicht und damit fünf Lücken geschlossen. Drei Speicherfehler können einen Worker-Prozess abstürzen lassen und Angreifern möglicherweise das Ausführen von Code erlauben, F5 bewertet sie nach CVSS 4.0 mit 9.2. Ein vierter Fehler in der automatischen Rotation der TLS-Sitzungsschlüssel kann im ungünstigen Fall die Prüfung von Client-Zertifikaten aushebeln. Alle fünf setzen bestimmte Einstellungen voraus, etwa alias mit rewrite, eine Regex-Map, AIO mit SSI, einen geteilten TLS-Sitzungscache oder HTTP/3. NGINX selbst stuft alle als mittel ein, Angriffe sind nicht bekannt. Eine der Lücken steckt in jeder Version seit Mai 2005.
- Priorität: Erhöht (F5: bis CVSS 9.2, nur bei bestimmten Einstellungen)
- Datum: 15.10.2026
- Für wen relevant: Unternehmen und Hoster, die Websites oder Anwendungen hinter NGINX betreiben. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Auf 1.30.6 oder 1.31.7 aktualisieren. Bei Paketen aus der Linux-Distribution kommt das Update über die Paketverwaltung, bei Managed Hosting kümmert sich der Anbieter.
- Quelle: The Hacker News · F5
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
