Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Nachtrag PHP2Shell: Angreifer bekommen jetzt tatsächlich Zugriff, Phishing nutzt das Thema
Nachtrag zu unseren Meldungen vom 21. und 23. Oktober. Bis vor Kurzem hatten Sicherheitsfirmen nur Angriffsversuche gesehen, die abstürzende PHP-Prozesse hinterließen. Am 24. Oktober zeichneten Köderserver des Perplexity-Forschers Adel Karimi erstmals ausgeführte Befehle auf: 35 Shells auf drei Systemen mit PHP 8.4.26 unter Apache mod_php. Karimi weist darauf hin, dass seine Köder für Angreifer günstig eingerichtet waren. Marcus Hutchins von Expel nennt den Fund trotzdem die bislang beste Bestätigung. Dazu kommen Betrüger: Laut BornCity kursieren Mails mit dem Betreff „Wichtige Mitteilung: PHP-Update erforderlich“, die Website-Betreiber auf ein gefälschtes Kundenportal locken. Ein Leser zitiert eine Warnung von Strato vor solchen Mails.
- Priorität: Sofort handeln (erste erfolgreiche Angriffe belegt)
- Datum: 26.10.2026 (Angriffe vom 24.10.)
- CVE: CVE-2026-109618, CVE-2026-109619
- Für wen relevant: Alle Unternehmen mit Website, Shop oder Webanwendung auf PHP. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Wer noch nicht aktualisiert hat: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. das gepatchte Paket der Distribution einspielen, bei Webhosting beim Anbieter nachfragen. Mails, die zum PHP-Update auffordern, nicht über den Link öffnen. Das Kundenportal des Hosters lieber selbst im Browser aufrufen.
- Quelle: BleepingComputer · SecurityWeek · BornCity
Auerswald COMtrexx: Firmware 2.6.5 schließt drei Lücken in der Weboberfläche
Die IP-Telefonanlagen COMtrexx des deutschen Herstellers Auerswald stehen in vielen kleinen Firmen. In der Weboberfläche steckten drei Lücken: Mit einer manipulierten Anfrage ließ sich die Anmeldung umgehen und Administratorrechte holen. Beim Entsperren einer IP-Adresse und beim Einrichten des Fernzugangs konnten Angreifer eigene Befehle einschleusen, zusammen mit der ersten Lücke unter Umständen ohne Anmeldung. Im schlimmsten Fall hätte jemand die Anlage komplett übernommen, Rufnummern umgeleitet oder sie als Einstieg ins Firmennetz genutzt. Hinweise auf Angriffe hat Auerswald nach eigenen Angaben nicht. Betroffen ist Firmware 2.6.4 und älter. Die Version 2.6.5 steht seit 15. Oktober bereit, eine Kundenbenachrichtigung zu den Lücken erreichte BornCity am 23. Oktober.
- Priorität: Hoch (Übernahme der Anlage möglich, Update verfügbar)
- Datum: 26.10.2026 (Firmware seit 15.10.)
- Für wen relevant: Unternehmen mit Auerswald COMtrexx, auch wenn ein Systemhaus die Anlage betreut. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Auf Firmware 2.6.5 oder neuer aktualisieren. Sie kommt wieder über den Update-Server, die Versionen 2.6.1 bis 2.6.4 waren dort nicht verfügbar. Die COMtrexx VM braucht vorher Version 2.4.6, und bei 2.6.x kann laut Release Notes ein Eingriff in die Konfiguration nötig werden.
- Quelle: BornCity · Auerswald
Brotli-Lücke: Microsoft liefert Notfall-Updates für .NET, auch Python-Pakete betroffen
Nachtrag zu unserer Node.js-Meldung vom 23. Oktober. Der Fehler sitzt in Googles Kompressionsbibliothek Brotli selbst, in den Versionen 1.0.3 bis 1.2.0. Präparierte Datenströme können Speicher auslesen, Programme abstürzen lassen oder Schadcode ausführen. Damit trifft es neben Node.js auch Python, Bun und Programme, die Brotli eingebaut haben. Microsoft hat am 25. Oktober außerplanmäßig .NET 8.0.33, 9.0.22 und 10.0.14 veröffentlicht. In .NET ist nur Software betroffen, die das Entpacken von Brotli-Daten ausdrücklich einschaltet. Ab Werk ist es aus.
- Priorität: Hoch (Notfall-Update, CVSS 9.2)
- Datum: 25.10.2026
- CVE: CVE-2026-111497
- Für wen relevant: Unternehmen mit eigener oder zugekaufter Software auf .NET, Node.js oder Python. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: .NET-Laufzeit auf 8.0.33, 9.0.22 oder 10.0.14 bringen. Für Python gibt es die Pakete Brotli 1.2.1 und brotlicffi 1.2.1.0, für Node.js die Versionen 26.12.1, 24.22.1 und 22.23.4. Bei Branchensoftware den Hersteller fragen, ob Brotli enthalten ist.
- Quelle: Microsoft .NET Blog · Microsoft · heise online · BleepingComputer
Microsoft 365: Angreifer spielen gestohlene Anmelde-Token massenhaft ab
Die Sicherheitsfirma Huntress hat zwischen 14. Juli und 22. September eine Kampagne gegen Microsoft-365-Konten beobachtet. Gefälschte Anmeldeseiten reichen Passwort und MFA-Code an Microsoft durch und behalten das ausgestellte Sitzungs-Token. Das spielen die Angreifer innerhalb von Minuten von eigenen Geräten ab, eine zweite MFA-Abfrage fällt dann weg. Aus über 200.000 Anmeldeversuchen wurden 97 Konten in 79 Organisationen übernommen. Danach trugen die Angreifer eine eigene Authenticator-App ein, in 19 Organisationen löschten sie die bisherigen MFA-Methoden. Sie registrierten 48 falsche Geräte in Entra und legten Posteingangsregeln mit Namen wie „.,“ oder „sss“ an, die Mails zu Gehalt und Bonus löschten oder verschoben.
- Priorität: Erhöht (Angriffswelle bis September, Muster bekannt)
- Datum: 26.10.2026 (Kampagne Juli bis September)
- Für wen relevant: Alle Unternehmen mit Microsoft 365. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Im Entra Admin Center neu registrierte MFA-Methoden und Geräte prüfen, in Postfächern nach Regeln mit sinnlosen Namen suchen. Gegen durchgereichte Anmeldungen helfen Passkeys bzw. FIDO2-Schlüssel, weil sie nur auf der echten Microsoft-Seite funktionieren.
- Quelle: The Hacker News
Phishing per Kalendereinladung: über 300.000 Mails an mehr als 40.000 Organisationen
Check Point beobachtet seit 25. September einen steilen Anstieg von Phishing über Termineinladungen. Manche kommen als .ics-Anhang, andere als Link, beide führen auf eine nachgebaute Microsoft-Anmeldeseite. Gezählt hat Check Point bisher 302.386 verschiedene Phishing-Mails von knapp 34.000 Absenderdomains. In den ersten beiden Oktoberwochen waren es über 740.000 Mails, am 8. Oktober allein fast 200.000. Der Trick funktioniert ohne Sicherheitslücke, weil Termineinladungen im Büroalltag kaum jemand hinterfragt.
- Priorität: Erhöht (stark steigendes Volumen)
- Datum: 24.10.2026
- Für wen relevant: Alle Unternehmen mit Microsoft 365 oder Outlook. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Mitarbeitende kurz warnen: Ein Termin im Kalender sagt nichts über den Absender. Links in Einladungen von Unbekannten nicht öffnen, die Microsoft-Anmeldung immer über die bekannte Adresse aufrufen.
- Quelle: BornCity
Python: Sicherheitsupdates sperren kompromittierte Zertifikatsschlüssel von eMudhra
Das Python-Team hat am 25. Oktober beschleunigt Python 3.15.2, 3.14.10, 3.13.18, 3.12.16 und 3.11.18 veröffentlicht. Hauptgrund sind acht Zwischenzertifikate des Ausstellers eMudhra, deren private Schlüssel trivial zu erraten waren, einer lautete schlicht „4“. Damit konnten Angreifer gültige Zertifikate für beliebige Domains ausstellen. Das ssl-Modul lehnt solche Zertifikatsketten jetzt ab, das schützt auch pip. Installationsprogramme gibt es nur für 3.15.2 und 3.14.10, die anderen Versionen erscheinen als Quellcode.
- Priorität: Erhöht (Notfall-Update, CVSS 9.4)
- Datum: 25.10.2026
- CVE: CVE-2026-115557, CVE-2026-114583
- Für wen relevant: Unternehmen mit Python-Skripten, Automatisierungen oder Diensten auf Python. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Python aktualisieren, unter Linux über die Pakete der Distribution. Das Python-Team rät zusätzlich zu pip 26.2.2, certifi 2026.10.19 und uv 0.13.4 oder neuer.
- Quelle: Python · Python Discourse · heise online
Nachtrag Fortinet: FortiOS 7.6.8 bricht die SSO-Anmeldung an der Verwaltungsoberfläche
Nachtrag zu unserer Fortinet-Meldung vom 23. Oktober. Nach dem Update auf FortiOS 7.6.8 klappt die Anmeldung von Administratoren per SAML-Single-Sign-on an der Weboberfläche nicht mehr, der Browser landet auf „Single Sign-On Failed“. Fortinet führt das als bekannten Fehler in den Release Notes. Betroffen sind Security-Fabric-SSO auf nachgelagerte FortiGates, SSO über einen externen Identitätsanbieter und die FortiCloud-SSO-Anmeldung. Ein Leser von BornCity bekam vom Support die Auskunft, dass es derzeit keinen Workaround gibt.
- Priorität: Beobachten (bekannter Fehler, noch kein Workaround)
- Datum: 26.10.2026
- Für wen relevant: Unternehmen, deren FortiGate-Admins sich per SSO anmelden. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Vor dem Update auf 7.6.8 sicherstellen, dass ein lokales Administratorkonto ohne SSO funktioniert. Sonst sperrt man sich nach dem Update selbst aus der Oberfläche aus.
- Quelle: BornCity · Fortinet
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
