Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Veeam Backup & Replication: Kritische Lücke im Backup-Server, Update auf 13.1.2
Veeam hat am 27. Oktober Version 13.1.2 von Backup & Replication veröffentlicht. Die kritische Lücke CVE-2026-108142 (CVSS 9.1) erlaubt es Angreifern ohne Anmeldung, die Berechtigungsprüfung des CDP-Koordinator-Dienstes zu umgehen. Der Dienst läuft auf dem Backup-Server und steuert Replikation und Datentransfer. Zwei weitere Lücken mit mittlerer Bewertung setzen die Rolle Restore Operator voraus und erlauben dann, Dateien an beliebige Stellen auf dem Backup-Server zu schreiben. Betroffen sind die Windows-Varianten von 13.0 und 13.1, Version 12 nicht. Für Veeam ONE 13.1 gibt es mit P1 eine Korrektur, mit der Administratoren die Mehrfaktor-Anmeldung bisher abschalten konnten, bevor sie sie selbst bestätigt hatten. Angriffe sind laut Veeam nicht bekannt. Veeam rechnet aber damit, dass Angreifer den Patch auswerten.
- Priorität: Sofort handeln (kritisch, Backup-Server beliebtes Ransomware-Ziel)
- Datum: 27.10.2026
- CVE: CVE-2026-108142, CVE-2026-108140, CVE-2026-108141, CVE-2026-107671
- Für wen relevant: Unternehmen mit Veeam Backup & Replication 13 oder Veeam ONE 13.1. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Auf Backup & Replication 13.1.2 (Build 13.1.2.57) bzw. 13.0.3 (Build 13.0.3.63) aktualisieren, Veeam ONE auf 13.1 P1. Backup-Server sind bei Ransomware-Angriffen das erste Ziel, weil ohne Sicherung kein Wiederherstellen möglich ist.
- Quelle: Veeam · Veeam · heise online
Chrome 156 und Firefox 159: Browser-Updates schließen über 200 Sicherheitslücken
Google hat am 27. Oktober Chrome 156.0.8078.73/.74 veröffentlicht. Das Update schließt 52 Lücken, vier davon kritisch. Die schwerste (CVE-2026-118306) im Dateisystem-Zugriff kann laut SecurityWeek über eine präparierte Webseite Code außerhalb der Sandbox ausführen. Ausgenutzte Lücken sind nicht darunter. Mozilla hat am selben Tag Firefox 159 mit 167 Korrekturen veröffentlicht, 108 davon mit hoher Einstufung, dazu Firefox ESR 153.6 und 115.44 sowie Thunderbird 159 und 153.6. Mozilla veröffentlicht inzwischen für jeden Speicherfehler eine eigene Meldung, deshalb fallen die Zahlen höher aus als früher.
- Priorität: Hoch (über 200 Lücken, vier kritisch)
- Datum: 27.10.2026
- CVE: CVE-2026-118306
- Für wen relevant: Alle Unternehmen, auf jedem Arbeitsplatz mit Chrome, Firefox oder Thunderbird. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Browser neu starten, damit das Update greift, und Version prüfen: Chrome 156.0.8078.73 oder neuer, Firefox 159 bzw. ESR 153.6. Bei zentral verwalteten Rechnern die Verteilung anstoßen. Edge folgt erfahrungsgemäß mit eigenem Update auf derselben Chromium-Basis.
- Quelle: Google · Mozilla · SecurityWeek
KI baut Angriffsketten: Anthropic-Modell findet Lücken in Chrome, Safari, Windows und Linux
Das Frontier Red Team von Anthropic hat am 27. Oktober fünf Angriffsketten veröffentlicht, die ein noch nicht veröffentlichtes, internes KI-Modell gefunden und zu funktionierenden Angriffen verbunden hat. In Chrome kombinierte es vier Lücken, bis mit einem Klick Code außerhalb der Sandbox lief. In Safari schaltete die Kette die Regel ab, die verhindert, dass eine Webseite Daten einer anderen liest, etwa Cookies und Verlauf. Unter Linux erreichte das Modell über das Netzwerk ohne Anmeldung Root-Rechte, wenn der Server Multipath-TCP nutzt. Alle Lücken wurden vorab an die Hersteller gemeldet und sind geschlossen. Allein an Google meldete Anthropic 62 Chrome-Lücken, behoben bis Chrome 156. Wie viel davon das Modell selbst erledigt hat, lässt sich laut The Hacker News von außen nicht prüfen. Anthropic spricht von wenig menschlicher Beteiligung.
- Priorität: Beobachten (alle Lücken bereits geschlossen)
- Datum: 27.10.2026
- Für wen relevant: Alle Unternehmen, als Einordnung. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Wenn KI-Modelle mehrere Lücken selbstständig zu Angriffen verketten, wird die Zeit zwischen Patch und Angriff kürzer. Browser- und Systemupdates deshalb zeitnah einspielen. Das Chrome-Update aus der Meldung oben enthält die Korrekturen für die Chrome-Kette.
- Quelle: Anthropic · The Hacker News
Nachtrag eMudhra: Windows-Sonderupdate entzieht Zertifikaten das Vertrauen, Mac-Terminal noch offen
Nachtrag zu unserer Python-Meldung vom 26. Oktober. Die außerplanmäßigen Windows-Updates KB5134133 (Windows 11) und KB5134125 (Windows 10) vom 26. Oktober, die Microsoft als „nicht sicherheitsrelevant“ bezeichnet, hängen mit eMudhra zusammen: Sie entfernen sieben Stammzertifikate des indischen Ausstellers. Hintergrund sind acht Zwischenzertifikate mit trivial erratbaren Schlüsseln, sechs für TLS und zwei für Codesignatur. Damit ließen sich Webseiten fälschen und Schadsoftware als vertrauenswürdig signieren. Rechner mit automatischer Aktualisierung der Zertifikatslisten waren laut Microsoft schon seit 20. Oktober geschützt, das Update ist für Geräte ohne diese Aktualisierung gedacht. Auf dem Mac hat Apple die Zertifikatsdatei für Terminal-Werkzeuge wie curl, git oder python3 laut heise noch nicht korrigiert, Safari ist geschützt.
- Priorität: Hoch (gefälschte Zertifikate möglich)
- Datum: 28.10.2026 (Windows-Update vom 26.10.)
- Für wen relevant: Unternehmen mit Windows-Rechnern ohne Internetzugang oder mit abgeschalteter Zertifikats-Aktualisierung, Macs mit Entwickler- oder Admin-Werkzeugen im Terminal. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Windows-Updates vom 26. Oktober auf abgeschotteten Systemen einspielen. Auf Macs, auf denen im Terminal gearbeitet wird, Apples Anleitung zum Bereinigen von /etc/ssl/cert.pem folgen oder auf das nächste macOS-Update warten.
- Quelle: Microsoft · BleepingComputer · heise online
Nachtrag Brotli und Magento: US-Behörde meldet Angriffe auf beide Lücken
Nachtrag zu unseren Meldungen vom 26. und 27. Oktober. Die US-Behörde CISA hat am 27. Oktober zwei Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die erste ist die Brotli-Lücke CVE-2026-111497, für die Node.js, Python-Pakete, .NET und die PHP-Pakete für Windows in den letzten Tagen Updates bekommen haben. Die zweite ist „PolyShell“ (CVE-2026-48356, CVSS 9.3) in Adobe Commerce und Magento: Angreifer können Dateien mit gefährlichem Typ hochladen und Code ausführen. Laut Sansec hat eine Gruppe darüber seit Juli 2025 mindestens 953 Onlineshops kompromittiert, meist auf Magento-Basis, und einen Nachlader eingeschleust.
- Priorität: Hoch (CISA bestätigt Angriffe)
- Datum: 27.10.2026
- CVE: CVE-2026-111497, CVE-2026-48356
- Für wen relevant: Unternehmen mit Onlineshop auf Adobe Commerce oder Magento sowie mit eigener Software auf Node.js, Python oder .NET. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Shopbetreiber prüfen, ob das Adobe-Update APSB26-73 vom Juli oder neuer installiert ist, und den Shop auf fremde CMS-Blöcke und Skripte untersuchen lassen. Für Brotli gelten die Updates aus unseren Meldungen vom 26. und 27. Oktober.
- Quelle: CISA · Adobe · Sansec · heise online
Microsoft Entra ID: SMS und Anruf als zweiter Faktor laufen im Februar aus
Microsoft hat Administratoren am 27. Oktober erneut daran erinnert, dass die von Microsoft bereitgestellte Anmeldung per SMS und Sprachanruf ab 1. Februar 2027 abgeschaltet wird. Das betrifft die Mehrfaktor-Anmeldung in Firmen-Konten von Microsoft 365 und Entra ID. Wer bis dahin nur SMS oder Anruf als zweiten Faktor hat, kann sich danach nicht mehr anmelden. Microsoft begründet den Schritt mit Phishing und SIM-Swapping und empfiehlt Passkeys. Möglich sind auch QR-Code-Anmeldung, FIDO2-Schlüssel oder ein eigener Telefonie-Anbieter, über den SMS weiter läuft.
- Priorität: Beobachten (Frist 1. Februar 2027)
- Datum: 27.10.2026
- Für wen relevant: Unternehmen mit Microsoft 365, deren Mitarbeitende sich noch per SMS oder Anruf bestätigen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Im Entra Admin Center die Anmeldemethoden der Benutzer prüfen und die Umstellung auf Passkeys oder die Authenticator-App jetzt planen, nicht erst im Januar.
- Quelle: BleepingComputer · Microsoft
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
