Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
UpdraftPlus: Angreifer installieren Hintertüren über gestohlene UpdraftCentral-Schlüssel
Ein Angreifer mit gültigen Schlüsseln für UpdraftCentral installiert Hintertür-Plugins auf verbundenen WordPress-Websites. UpdraftCentral ist der Fernverwaltungsdienst des Herstellers von UpdraftPlus, dem verbreitetsten Backup-Plugin für WordPress mit mehr als vier Millionen Installationen. Der Client steckt in jeder Kopie von UpdraftPlus. Laut Patchstack lief die Kampagne am 18. und 19. Oktober rund 18 Stunden ohne Unterbrechung. Die Befehle sind mit echten Schlüsseln signiert, deshalb hält jede Website sie für legitim. Es handelt sich nicht um eine Lücke in UpdraftPlus, und auch die aktuellen Versionen 1.26.11 und 2.26.11.26 sind betroffen. Viele Websites haben einen Schlüssel, ohne es zu wissen: Auf der Kontoseite von TeamUpdraft ist die Verknüpfung standardmäßig angehakt. TeamUpdraft hat am 19. Oktober einen Bericht zum Vorfall veröffentlicht.
- Priorität: Sofort handeln (Angriffe laufen, kein Update hilft)
- Datum: 19.10.2026
- Für wen relevant: Alle Betreiber von WordPress-Websites mit UpdraftPlus, auch wenn sie UpdraftCentral nie bewusst genutzt haben. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Die UpdraftCentral-Schlüssel auf der Website löschen: Einstellungen → UpdraftPlus-Sicherungen → Erweiterte Werkzeuge → UpdraftCentral → vorhandene Schlüssel verwalten. Die Website nur aus dem UpdraftCentral-Dashboard zu entfernen reicht nicht. Backups laufen danach weiter. Anschließend nach unbekannten Plugins und nach Redakteurskonten mit Administratorrechten suchen.
- Quelle: Patchstack · Nethemba
ConnectWise Cloud Backup: Angreifer greifen mit gestohlenem App-Zugang auf Microsoft-365-Mandanten zu
Angreifer haben einen Zugang von ConnectWise Cloud Backup, früher SkyKick, missbraucht, um sich in Microsoft-365-Mandanten von Kunden anzumelden. Der Dienst sichert für IT-Dienstleister Postfächer, OneDrive, SharePoint und Teams ihrer Kunden und hat dafür weitreichende Rechte in jedem Mandanten, in dem er eingerichtet ist. Laut Huntress gab es am 15. Oktober bestätigte Anmeldungen in 173 Mandanten. ConnectWise hat am 17. Oktober sieben eigene App-Identitäten abgeschaltet und den Cloud-Backup-Dienst vorerst eingestellt. Laut ConnectWise verhindert das neue Anmeldungen, macht aber Änderungen nicht rückgängig, die Angreifer bereits in einem Mandanten vorgenommen haben.
- Priorität: Sofort handeln (Zugriffe in 173 Mandanten bestätigt)
- Datum: 18.10.2026
- Für wen relevant: Unternehmen, deren IT-Dienstleister Microsoft 365 mit ConnectWise Cloud Backup oder ConnectWise Cloud Management sichert oder verwaltet. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Beim Dienstleister nachfragen, ob ConnectWise-Dienste im eigenen Mandanten eingerichtet sind. In Entra ID unter „Unternehmensanwendungen“ nach den ConnectWise-Apps suchen und die Anmeldeprotokolle ab dem 13. Oktober prüfen. Solange der Dienst ruht, laufen über ihn keine Microsoft-365-Sicherungen.
- Quelle: The Hacker News · ConnectWise
Rank Math SEO PRO: Manipulierte Version 3.0.123 enthielt Schadcode
Einige Downloads des WordPress-Plugins Rank Math SEO PRO in Version 3.0.123 enthielten Schadcode. Betroffen sind Kopien, die zwischen dem 15. Oktober, 22:02 Uhr, und dem 16. Oktober, 9:12 Uhr deutscher Zeit heruntergeladen oder per Update installiert wurden. Laut Wordfence kann der Schadcode dauerhaften Zugang einrichten, versteckte Hintertüren bei Seitenaufrufen neu anlegen und Zugangsdaten zu WordPress, Datenbank und API-Schlüssel abgreifen. Rank Math hat die Dateien entfernt und Version 3.0.124 als saubere Fassung veröffentlicht. Die Versionsnummer 3.0.123 allein beweist noch keine Infektion, entscheidend ist der Zeitpunkt des Downloads.
- Priorität: Sofort handeln (kompromittierte Downloads, CVSS 9.8)
- Datum: 16.10.2026
- CVE: CVE-2026-111862
- Für wen relevant: Betreiber von WordPress-Websites mit der Bezahlversion Rank Math SEO PRO. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Prüfen, wann 3.0.123 installiert wurde. War eine betroffene Kopie aktiv, die Website als kompromittiert behandeln: aus einer Sicherung von vor dem 15. Oktober, 22 Uhr, wiederherstellen, alle Passwörter und Schlüssel wechseln und 3.0.124 direkt aus dem Rank-Math-Konto installieren. Den Plugin-Ordner löschen, nur Deaktivieren reicht nicht.
- Quelle: Wordfence
Exchange-Ausfälle nach Windows-Updates: Microsoft nennt Ursache und Abhilfe
Microsoft hat die Ursache für die Exchange-Ausfälle nach den Oktober-Updates für Windows Server gefunden. Die Updates begrenzen standardmäßig, wie viel Speicher der RPC-Endpunktmapper für gleichzeitige Anfragen verwendet. Bei Exchange reicht die Grenze unter Last nicht aus. Dann scheitert die Anmeldung an Outlook im Web, Mails bleiben im Postausgang liegen, und die Postfachreplikation stockt. Betroffen sein können Exchange 2016, 2019 und die Subscription Edition auf Windows Server 2016 bis 2025. Microsoft rät ausdrücklich, die Windows-Updates nicht zu deinstallieren, und nennt eine Registry-Einstellung als Abhilfe.
- Priorität: Hoch (Ursache gefunden, Abhilfe per Registry)
- Datum: 19.10.2026
- Für wen relevant: Unternehmen mit eigenem Exchange Server. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf jedem Exchange-Server als Administrator
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /fausführen und neu starten, danach beobachten. Tritt der Fehler wieder auf, den Wert erhöhen. In den Briefings vom 15. und 16. Oktober hatten wir zum Zurückstellen geraten. Mit dieser Abhilfe können die Updates jetzt installiert werden. - Quelle: Microsoft Exchange Team · BleepingComputer
Office 2021 und Windows 10 LTSB 2016 ohne Updates, Windows Server 2016 folgt im Januar
Mit dem Patchday am 13. Oktober haben Office 2021 und Office LTSC 2021 ihr Supportende erreicht, ebenso Windows 10 Enterprise LTSB 2016 und Windows 10 IoT Enterprise LTSB 2016. Für Windows Server 2016 endet die Versorgung am 12. Januar 2027. Windows Server 2012 und 2012 R2 haben ihr drittes und letztes Jahr mit bezahlten Sicherheitsupdates (ESU) abgeschlossen. Windows Server 2022 ist in den erweiterten Support gewechselt, der bis Oktober 2031 läuft. Für Windows 10 LTSB 2016 und Server 2016 gibt es kostenpflichtige ESU-Programme.
- Priorität: Erhöht (Supportende erreicht)
- Datum: 19.10.2026
- Für wen relevant: Unternehmen mit Office 2021, älteren Windows-10-Sonderausgaben oder Windows Server 2016. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Inventar prüfen: Wo läuft noch Office 2021, wo Windows Server 2016? Für Office gibt es keine Sicherheitsupdates mehr. Für den Server bis Januar entweder eine Migration planen oder die Bedingungen für ESU klären.
- Quelle: heise online · Microsoft
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
