Kurz gesagt
Angreifer zielen auf die Werkzeuge, denen Unternehmen am meisten vertrauen: Backup-Server, Authenticator-App, Firewall und Entwicklerwerkzeuge. Veeam, WatchGuard und Oracle schließen kritische Lücken, ein npm-Wurm nutzt Einstellungsdateien von KI-Coding-Tools. Und die US-Behörde CISA führt die PHP-Lücken jetzt als aktiv ausgenutzt.
Was ist passiert?
Vom 23. bis 29. Oktober 2026 haben Veeam, WatchGuard und Oracle kritische Sicherheitsupdates veröffentlicht. Dazu kamen eine technische Analyse zu Microsoft Authenticator, ein Wurm, der sich über gekaperte GitHub-Projekte verbreitet, und zwei Funde zu offenen KI-Modellen.
Die Meldungen der Woche
PHP-Lücken jetzt offiziell als ausgenutzt geführt
Die US-Behörde CISA hat die beiden php2shell-Lücken am 26. Oktober in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. Wer noch nicht aktualisiert hat: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 einspielen.
Quelle: CISA · Ausführlich im Radar
Veeam: kritische Lücken in der Backup-Software
Veeam hat am 27. Oktober Lücken in Backup & Replication 13, Backup for Microsoft 365 und Veeam ONE geschlossen. Die schwerste hat die Bewertung 9,1 und lässt sich ohne Anmeldung ausnutzen. Ältere Veeam-Lücken haben Ransomware-Gruppen gezielt genutzt.
Quelle: Veeam · Ausführlich im Radar
Microsoft Authenticator: Token-Diebstahl auf Android
Eine technische Analyse zeigt, wie bösartige Android-Apps über Microsoft Authenticator Zugangstoken von Arbeitskonten abgreifen konnten. Microsoft hat die Lücke bereits im September geschlossen. Sicher ist Version 6.2606.4246 oder neuer.
Quelle: Enclave · Ausführlich im Radar
WatchGuard: 18 Sicherheitshinweise für Fireware OS
WatchGuard hat am 27. Oktober 18 Lücken veröffentlicht, sieben davon kritisch mit Bewertungen von 9,1 bis 9,5. Sie greifen jeweils nur bei bestimmten Konfigurationen, etwa mit aktiviertem Access Portal oder SIP-Proxy. Abhilfe bringen Fireware OS 2026.4 und 12.12.4. Angriffe sind laut WatchGuard nicht bekannt.
Quelle: WatchGuard
npm-Wurm startet über Einstellungen von KI-Coding-Tools
Laut JFrog haben Angreifer 42 GitHub-Repositories von elf Besitzern gekapert. Der Wurm startet über Einstellungsdateien von KI-Coding-Tools und Entwicklungsumgebungen, sobald jemand das Projekt öffnet, stiehlt Zugangsdaten und verbreitet sich weiter. Laut SafeDep löscht er Daten, wenn gestohlene Tokens zu früh widerrufen werden: erst die Schadprozesse entfernen, dann Zugänge tauschen.
Quelle: JFrog
Oracle E-Business Suite: Lücke mit Bewertung 9,8
Oracle hat im Oktober-Patch eine Lücke in der E-Business Suite 12.2.3 bis 12.2.15 geschlossen, die sich ohne Anmeldung ausnutzen lässt (CVE-2026-101767). Laut Fachmedien registrierten Honeypots am 27. Oktober erste Angriffsversuche.
Quelle: Oracle
Fehmarnbelt-Bau: Datendiebstahl bestätigt
Femern Link Contractors, der Hauptauftragnehmer des Fehmarnbelt-Tunnels, bestätigt einen Cyberangriff, bei dem Daten gestohlen wurden, darunter personenbezogene Daten. Eine Gruppe beansprucht den Angriff für sich. Das ist nicht bestätigt.
Quelle: Femern Link Contractors
Offene KI-Modelle: Mistral Large 4 frei, Fragen zu Qwen
Mistral hat am 29. Oktober die Gewichte von Mistral Large 4 veröffentlicht, auch für kommerzielle Nutzung. Gleichzeitig fanden Forscher, dass Qwen-Modelle von Alibaba in seltenen Fällen Server von Alibaba Cloud ansteuerten.
Quelle: Mistral AI · Ausführlich im Radar
Was bedeutet das?
Die Ziele dieser Woche haben eines gemeinsam: Es sind Systeme, die selbst schützen sollen. Backup, zweiter Faktor, Firewall. Fällt eines davon, fällt oft die ganze Verteidigung. Diese Systeme gehören deshalb in jedem Update-Plan nach ganz oben.
Neu ist der Angriffsweg über KI-Coding-Tools: Der npm-Wurm legt Einstellungsdateien ab, die beim Öffnen eines Projekts automatisch Code starten. Wer KI-Assistenten im Entwicklungsalltag nutzt, sollte fremde Repositories wie unbekannte Programme behandeln.
Was Sie jetzt tun können
- Schutzsysteme zuerst: Veeam, WatchGuard und Microsoft Authenticator auf die genannten Versionen bringen.
- PHP-Stand bestätigen lassen: Falls noch nicht geschehen: beim Hoster oder IT-Dienstleister nach dem PHP-Update fragen.
- Entwicklerrechner prüfen: Repositories auf unbekannte Dateien wie .github/init.js oder geänderte .vscode/tasks.json prüfen und fremde Projekte nicht ungeprüft öffnen.
- Ausgehenden Verkehr begrenzen: KI-Agenten und Backup-Server nur dorthin kommunizieren lassen, wohin sie müssen.
Quellen
- CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog (26. Oktober 2026)
- Veeam: KB4948 (27. Oktober 2026)
- Microsoft Security Response Center: CVE-2026-80097 (8. September 2026)
- WatchGuard: PSIRT Security Advisories (27. Oktober 2026)
- JFrog: Beyond testmetest: 42 hijacked GitHub repos (26. Oktober 2026)
- SafeDep: testmetest npm worm (22. Oktober 2026)
- Oracle: Critical Patch Update Advisory, October 2026 (20. Oktober 2026)
- Femern Link Contractors: Update on the cyber incident (27. Oktober 2026)
- Mistral AI: Le Chonk: Built for Coders, Trusted by Defenders (29. Oktober 2026)
Stand: 30. Oktober 2026. Diese Einordnung ersetzt keine Rechtsberatung und keine Prüfung im Einzelfall.
Fragen zur Einordnung oder ein Thema für Ihren Vortrag?
Für fachlichen Austausch, Vorträge und Workshops zu KI, IT und Sicherheit erreichen Sie mich direkt.