Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Fortinet: Updates für FortiOS, FortiManager und FortiAnalyzer sofort einspielen
Fortinet hat am 22. Oktober abgestimmte Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer veröffentlicht, nach Updates für FortiMail und FortiAuthenticator. Sie enthalten kritische und hochriskante Korrekturen für Lücken, die Fortinet mit Hilfe von KI-Modellen in den eigenen Produkten gefunden hat. Gedankt wird unter anderem Anthropic, OpenAI und Google. Fortinet rät ausdrücklich, die Updates nicht als normale Wartung zu behandeln: KI-Werkzeuge könnten aus veröffentlichten Patches in Stunden oder Tagen funktionierende Angriffe ableiten. Details zu den Lücken will Fortinet laut einem Leserhinweis im Blog von Günter Born am 10. November veröffentlichen. Das BSI stuft die Meldung als hoch ein.
- Priorität: Hoch (Updates verfügbar, Details am 10. November)
- Datum: 22.10.2026
- Für wen relevant: Unternehmen mit FortiGate-Firewalls und anderen Fortinet-Produkten. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Die Updates jetzt einplanen, aus dem Internet erreichbare Geräte zuerst. Bis dahin rät Fortinet, Verwaltungszugänge nicht offen ins Internet zu stellen und Ressourcen hinter VPN oder SASE zu legen.
- Quelle: Fortinet · BSI CERT-Bund
Java: Notfall-Update entfernt Vertrauen in kompromittierte eMudhra-Zertifikate
Oracle hat ein außerplanmäßiges Update für Java SE und GraalVM veröffentlicht, auch OpenJDK hat einen Hinweis herausgegeben. Es schließt CVE-2026-91403 (CVSS 9.1) bei der Verarbeitung von Zwischenzertifikaten. Hintergrund ist die Zertifizierungsstelle eMudhra, deren private Schlüssel für acht Zwischenzertifikate kompromittiert sind. Laut Günter Born vertraut Java diesen Zertifikaten bislang noch, das Update entfernt sie. Behoben ist die Lücke in Java SE 8u511, 11.0.33, 17.0.21 und 21.0.13. Laut BSI kann ein Angreifer darüber Sicherheitsvorkehrungen umgehen und Daten offenlegen oder verändern.
- Priorität: Hoch (Notfall-Update, CVSS 9.1)
- Datum: 22.10.2026
- CVE: CVE-2026-91403
- Für wen relevant: Unternehmen mit Java-Anwendungen, etwa Warenwirtschaft, Buchhaltung oder Fachanwendungen, die eine eigene Java-Laufzeit mitbringen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Java auf die neuen Versionen aktualisieren. Bei Programmen mit mitgelieferter Java-Laufzeit beim Hersteller nach einem Update fragen.
- Quelle: Oracle · OpenJDK
HPE Aruba: 72 Lücken in ArubaOS, acht davon mit Höchstwertung
HPE hat Updates für ArubaOS veröffentlicht, das Betriebssystem der WLAN-Infrastruktur von Aruba mit Controllern, Gateways und Access Points. Sie schließen 72 Lücken, acht davon mit Höchstwertung: Angreifer können ohne Anmeldung die Authentifizierung umgehen oder Code ausführen. Betroffen sind AOS-8 und AOS-10, laut HPE auch Mobility Controller, Gateways und die Instant Access Points mit AOS-8. Behoben ist das in 10.8.1.2, 10.7.2.7, 10.4.1.14, 8.13.3.1 und 8.10.0.24. HPE sind keine Angriffe und kein öffentlicher Angriffscode bekannt.
- Priorität: Hoch (acht Lücken mit Höchstwertung)
- Datum: 22.10.2026
- Für wen relevant: Unternehmen mit WLAN von HPE Aruba, auch mit Aruba Instant Access Points. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf die korrigierte Version aktualisieren. Bis dahin empfiehlt HPE, Kommandozeile und Weboberfläche der Verwaltung nur aus einem eigenen Netzsegment oder über Firewall-Regeln erreichbar zu machen.
- Quelle: HPE · BleepingComputer
PHP2Shell: In Deutschland tragen noch rund 4,2 Millionen PHP-Dienste eine anfällige Version
Nachtrag zu unseren Meldungen vom 21. und 22. Oktober: Laut einer Auswertung von Censys, über die heise berichtet, liegt Deutschland bei den anfälligen PHP-Diensten weltweit auf Platz zwei hinter den USA. Von knapp 11 Millionen gefundenen PHP-Diensten tragen rund 4,2 Millionen eine Versionsnummer, die für CVE-2026-109618 und CVE-2026-109619 anfällig ist. Die Zählung beruht auf Versionsnummern und ist deshalb ungenau: Distributionen spielen Korrekturen auch in ältere Versionen ein, und gut die Hälfte der Dienste verrät ihre Version gar nicht. Am 23. Oktober hat PHP zudem eine weitere, seltene Lücke gemeldet (CVE-2026-115560). Sie betrifft nur Anwendungen, die den Session-Serializer zur Laufzeit umstellen, und wird erst mit dem nächsten regulären Update behoben.
- Priorität: Hoch (Nachtrag, neue Zahlen für Deutschland)
- Datum: 23.10.2026
- CVE: CVE-2026-115560
- Für wen relevant: Alle Unternehmen mit Website, Shop oder Webanwendung auf PHP. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Wer die Updates vom 21. Oktober noch nicht eingespielt hat, holt das jetzt nach oder fragt beim Hoster nach. Für die neue Lücke empfiehlt PHP bis zum nächsten Update die Einstellung session.upload_progress.enabled=0.
- Quelle: heise online · PHP
KeePassXC 2.8.0: Passwortmanager schließt Lücken im Import und in der Browsererweiterung
Der Passwortmanager KeePassXC ist in Version 2.8.0 erschienen und schließt mehrere Sicherheitslücken. Eine präparierte Datei im alten KDB-Format konnte beim Import einen Speicherfehler auslösen (CVE-2026-69150), dazu kommen ein Integer-Überlauf und ein Lesezugriff außerhalb des Speicherbereichs im selben Importer. Weitere Korrekturen betreffen die Browsererweiterung, etwa Schreibzugriffe außerhalb des vorgesehenen Speichers bei Nachrichten zwischen Erweiterung und Programm.
- Priorität: Erhöht (mehrere Lücken behoben)
- Datum: 22.10.2026
- CVE: CVE-2026-69150
- Für wen relevant: Unternehmen und Mitarbeiter, die Zugangsdaten mit KeePassXC verwalten. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Auf KeePassXC 2.8.0 aktualisieren und auch die Browsererweiterung aktuell halten. Keine KDB-Dateien aus unbekannten Quellen importieren.
- Quelle: heise online
Notebooksbilliger.de bestätigt Zugriff auf Daten einer mittleren fünfstelligen Zahl von Kunden
Nachtrag zu unserer Meldung vom 15. Oktober: Notebooksbilliger.de hat den Cyberangriff eingegrenzt. Betroffen ist nach aktuellem Stand eine mittlere fünfstellige Zahl von Kunden, alle bisher identifizierten wurden per E-Mail benachrichtigt. Das Unternehmen bestätigt, dass Unberechtigte auf Kundendaten zugegriffen haben: E-Mail-Adressen sowie möglicherweise Namen, Anschriften und Bankverbindungen. Ob Daten tatsächlich abgeflossen sind, wird noch untersucht. Hinweise auf kompromittierte Passwörter gibt es laut Händler nicht, vollständige Kreditkartendaten speichert er nicht selbst.
- Priorität: Beobachten (Nachtrag, Umfang bestätigt)
- Datum: 23.10.2026
- Für wen relevant: Firmen und Mitarbeiter, die bei Notebooksbilliger.de bestellen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Wer benachrichtigt wurde, sollte mit Phishing rechnen, das sich auf echte Bestellungen bezieht, und Lastschriften vom Firmenkonto kontrollieren.
- Quelle: Security-Insider
Tobit david: Fremde konnten kurzzeitig KI-Agenten auf SideKick-Servern ansprechen
Tobit hat Kunden seiner Groupware david am 22. Oktober per E-Mail über einen Vorfall mit der KI-Plattform SideKick informiert. Über eine Suchfunktion in chayns konnten Nutzer kurzzeitig Agents auf SideKick-Servern von Kunden finden und anschreiben, die nicht öffentlich sein sollten. Laut Tobit ist das inzwischen unterbunden, unbefugte Nutzer wurden entfernt und verbrauchte Credits gutgeschrieben. Zugriff auf Systeme oder Daten der Kunden habe es nicht gegeben. Ein Leser von Günter Born berichtet außerdem, dass mit Release 535 vom 1. September ein lokaler SideKick-Server mitinstalliert wurde, auch wenn die KI-Funktionen nicht genutzt werden.
- Priorität: Beobachten (Vorfall, laut Tobit behoben)
- Datum: 23.10.2026
- Für wen relevant: Unternehmen, die Tobit david oder TeamDavid einsetzen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Prüfen, ob ein SideKick-Server läuft, und ihn deaktivieren, wenn die KI-Funktionen nicht gebraucht werden. Laut Tobit ist sonst nichts zu tun.
- Quelle: Borns IT- und Windows-Blog
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
