Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Microsoft Teams: Falscher „IT Support (Internal)“ schleust Fernwartung ein
Arctic Wolf hat mehr als 400 Vorfälle ausgewertet, in denen Angreifer Mitarbeitende über den externen Chat von Microsoft Teams anschreiben. Oft läuft vorher das Postfach mit Hunderten Newsletter-Bestätigungen voll. Minuten später meldet sich in Teams ein Kontakt namens „IT Support (Internal)“ und bietet Hilfe gegen genau diese Mailflut an. Das Opfer soll dann eine Fernwartung starten, meistens die in Windows eingebaute Schnellhilfe (Quick Assist), seltener AnyDesk, TeamViewer oder ScreenConnect. Danach installieren die Angreifer eigene Fernwartungstools und bereiten teils Ransomware vor. 30 bis 40 Prozent der Absender nutzen frisch angelegte Microsoft-365-Konten mit der Standardadresse *.onmicrosoft.com. Eine Sicherheitslücke steckt nicht dahinter, missbraucht wird eine ab Werk eingeschaltete Teams-Funktion.
- Priorität: Hoch (über 400 Fälle, endet oft mit Ransomware)
- Datum: 26.10.2026
- Für wen relevant: Alle Unternehmen mit Microsoft Teams. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Im Teams Admin Center unter Benutzer → Externer Zugriff nur die Domains von Partnern erlauben, mit denen tatsächlich gechattet wird. Mitarbeitenden sagen: Die eigene IT meldet sich nicht als externer Teams-Kontakt und fragt nie nach einem Schnellhilfe-Code.
- Quelle: Arctic Wolf · The Hacker News
Nachtrag PHP: Neue Windows-Pakete wegen Brotli, US-Behörde bestätigt PHP2Shell-Angriffe
Nachtrag zu unseren Meldungen vom 21. bis 26. Oktober. Die US-Behörde CISA hat die beiden PHP2Shell-Lücken am 26. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Neu ist außerdem: Das PHP-Team hat die offiziellen Windows-Pakete von PHP 8.2 bis 8.5 neu gebaut. In den Paketen vom 21. Oktober steckte die anfällige Brotli-Bibliothek 1.2.0 (siehe unsere Meldung zu Brotli von gestern). Erreichbar ist der Fehler über die cURL-Erweiterung, wenn eine Anwendung das automatische Entpacken von HTTP-Antworten einschaltet. Die neuen Pakete heißen 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1. Die PHP-Version selbst bleibt gleich, php -v zeigt deshalb vorher und nachher dieselbe Nummer.
- Priorität: Hoch (CISA bestätigt Angriffe, neue Windows-Pakete)
- Datum: 26.10.2026
- CVE: CVE-2026-109618, CVE-2026-109619, CVE-2026-111497
- Für wen relevant: Unternehmen, die PHP unter Windows betreiben, etwa mit IIS oder XAMPP. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Die Windows-Pakete mit der Endung -1 von der PHP-Downloadseite installieren und anhand der SHA-256-Prüfsumme kontrollieren. Unter Linux und beim Webhoster kommen die Korrekturen über die normalen Pakete.
- Quelle: PHP · The Hacker News · The Hacker News
Apple: Updates auf 27.2 schließen 304 Lücken, ältere iPhones bekommen Schutz vor laufenden Angriffen
Apple hat am 26. Oktober iOS und iPadOS 27.2, 26.7.2 und 18.7.11 sowie macOS Golden Gate 27.2, Tahoe 26.7.2 und Sequoia 15.8.2 veröffentlicht. Laut SANS Internet Storm Center werden damit 304 Schwachstellen geschlossen. Neue, bereits ausgenutzte Lücken sind nicht dabei. iOS 18.7.11 für ältere Geräte wie iPhone XS und XR bringt aber die Korrektur für eine CoreGraphics-Lücke, die laut Apple schon für gezielte Angriffe genutzt wurde. Neuere Systeme hatten diese Korrektur bereits vor einem Monat erhalten. Zu den weiteren Fehlern gehören eine App, die ohne Erlaubnis auf die Kamera zugreifen konnte, und ein lokaler Zugriff auf Schlüsselbund-Einträge.
- Priorität: Hoch (304 Lücken, eine bereits ausgenutzt)
- Datum: 26.10.2026
- CVE: CVE-2026-86950
- Für wen relevant: Unternehmen mit iPhones, iPads oder Macs, auch Diensthandys. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Updates auf Diensthandys und Macs zeitnah einspielen, bei Geräteverwaltung (MDM) die Version 27.2 bzw. 26.7.2 freigeben. Ältere iPhones mit iOS 18 bevorzugt aktualisieren.
- Quelle: Apple · SANS ISC
KI-Coding-Agenten: Untergeschobene Anleitung im Downloads-Ordner übernimmt Codex und Claude Code
Die Sicherheitsfirma Forever Security fand auf dem Rechner eines Kunden eine Datei AGENTS.md im Downloads-Ordner. Solche Textdateien lesen KI-Agenten wie OpenAI Codex beim Start als Arbeitsanweisung, bei Claude Code heißt die Datei CLAUDE.md. Die gefundene Datei sah wie normale Entwicklernotizen aus und forderte den Agenten auf, ein bekanntes Schadpaket aus npm zu installieren. Der Versuch wurde gestoppt, bevor Code lief. Woher die Datei kam, ist offen. Die Forscher zeigten aber, dass eine Webseite eine solche Datei ohne Klick in den Downloads-Ordner legen kann. In Tests befolgte Codex die Anweisung in über 90 Prozent der Versuche, Claude Code in etwa der Hälfte, dort mit dem Ziel, das Anmelde-Token abzugreifen. Ein Analyst von IDC wertet das als ernstzunehmende Frühwarnung, eine Angriffswelle ist nicht bekannt.
- Priorität: Erhöht (Nachweis an echtem Rechner, noch keine Angriffswelle)
- Datum: 27.10.2026
- Für wen relevant: Unternehmen, in denen Mitarbeitende Codex, Claude Code oder andere KI-Agenten auf ihren Rechnern nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: KI-Agenten nie im Downloads-Ordner starten. Fremde AGENTS.md- oder CLAUDE.md-Dateien vor dem Start lesen, auch in frisch heruntergeladenen Projekten. Freigabe-Abfragen und Sandbox eingeschaltet lassen. Wer eine untergeschobene Datei findet, sollte das Anmelde-Token des Agenten erneuern.
- Quelle: CSO Online · The Hacker News · Forever Security
Router: Übersicht zeigt 61 aktiv ausgenutzte Lücken, 18 davon in Geräten ohne Pflege
Katia Belokon hat alle Router- und Kleinbüro-Gateway-Einträge aus dem Katalog der US-Behörde CISA zu aktiv ausgenutzten Lücken auf einer Seite gesammelt und nach Hersteller sortiert. Es sind 61 Lücken. Die meisten betreffen D-Link (18), dann Cisco Small Business (9) und Netgear (7). 18 Einträge gelten für Modelle, die der Hersteller nicht mehr pflegt, für 15 davon gab es nie einen Patch. Laut BornCity sind zusätzlich rund 1.500 ausgemusterte Modelle erfasst, vor allem von TP-Link, Netgear und ASUS. Die Seite gleicht den Katalog regelmäßig ab, zuletzt am 26. Oktober.
- Priorität: Beobachten (Übersicht, kein akuter Anlass)
- Datum: 27.10.2026
- Für wen relevant: Unternehmen und Homeoffices mit eigenem Router, besonders mit älteren Geräten. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Das eigene Router-Modell in der Liste nachschlagen. Steht es bei den ausgemusterten Geräten, ersetzen. Neue Firmware gibt es dafür nicht mehr.
- Quelle: BornCity · MyIPScan
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
