Diese Ausgabe dreht sich um zwei Hersteller, die mitten in der MSP-Landschaft stehen. WatchGuard hat gestern achtzehn Advisories für Fireware OS veröffentlicht, davon sieben kritisch, unter anderem mit Pre-Auth-Codeausführung im SIP-Proxy und im Access Portal. Veeam schließt einen Autorisierungs-Bypass ohne Authentifizierung in Backup & Replication 13. Außerdem steht die Brotli-Lücke seit gestern auf der CISA-Liste aktiv ausgenutzter Schwachstellen, mit Exploit-Traffic von einer niederländischen IP-Adresse, die Patches für die Tailscale-SSH-Lücken sind erschienen, und wir greifen kurz die neuen Fakten rund um PHP2Shell auf: CISA bestätigt die Ausnutzung, und NetScaler und PAN-OS sind jetzt gepatcht.
- WatchGuard schließt achtzehn Lücken in Fireware OS, sieben davon kritisch
- Veeam Backup & Replication 13 anfällig für Autorisierungs-Bypass ohne Authentifizierung
- Brotli-Lücke in Node.js, .NET und PAN-OS wird aktiv ausgenutzt, CISA nimmt sie in den KEV-Katalog auf
- Tailscale veröffentlicht Patches für SSH-Lücken, die Root-Rechte innerhalb eines Tailnets verschaffen
- PHP2Shell: CISA bestätigt Ausnutzung, NetScaler und PAN-OS jetzt gepatcht
WatchGuard schließt achtzehn Lücken in Fireware OS, sieben davon kritisch
| Schwachstelle | Achtzehn Schwachstellen in WatchGuard Fireware OS 2025.1 bis 2026.4, 12.0 bis 12.12.4 und (T15/T35) 12.0 bis 12.5.22, dazu eine Lücke im Mobile VPN with SSL-Client für Windows. Sieben sind kritisch, darunter Pre-Auth-Codeausführung über den SIP-Proxy, das Access Portal und den AD-Authentifizierungsdienst sowie fehlende Authentifizierung bei der FireCluster-Synchronisation |
| CVE-Nummer | CVE-2026-103594, CVE-2026-93865, CVE-2026-93866, CVE-2026-93857, CVE-2026-112709, CVE-2026-112710, CVE-2026-103593 (kritisch); daneben unter anderem CVE-2026-90465, CVE-2026-93434, CVE-2026-111107 und CVE-2026-115495 |
| CVSS-Score | 9,5 (WireGuard-Konfiguration), 9,2 (FireCluster, Access Portal, SIP-Proxy, AD-Authentifizierung), 9,1 (Logging) |
| Aktiv ausgenutzt | Nein, WatchGuard meldet am 27. Oktober 2026 keine Ausnutzung, und es ist kein öffentlicher Exploit-Code bekannt |
| Patch verfügbar | Ja, Fireware OS 2026.4, 12.12.4 und 12.5.22; für den SSL-VPN-Client eine neue Client-Version |
Wie kann die Schwachstelle ausgenutzt werden?
WatchGuard hat die achtzehn Advisories am 27. Oktober auf seinem PSIRT-Portal veröffentlicht. Die gefährlichsten betreffen Komponenten, die häufig am Internet hängen. Ein Stack Overflow im SIP-Proxy und ein Integer Overflow im Access Portal lassen sich ohne Anmeldung ausnutzen, sofern eine Policy den SIP-Proxy verwendet oder das Access Portal aktiviert ist. Der AD-Authentifizierungsdienst weist zwei Heap Overflows auf, die ein Angreifer ausnutzen kann, wenn er den Datenverkehr zum AD-Server beeinflussen kann. Der höchste Score, 9,5, entfällt auf einen Stack Overflow in der WireGuard-Konfiguration, der allerdings TLS-entschlüsselten Zugriff zwischen der Firebox und WatchGuard Cloud voraussetzt. Bei FireCluster-Konfigurationen fehlt die Authentifizierung im Synchronisations-Daemon, sodass ein Angreifer mit Zugriff auf den Cluster-Link Root-Aktionen einschleusen kann, fasst SecurityOnline zusammen.
Was kann die Folge sein?
Codeausführung auf der Firewall selbst und damit die vollständige Kontrolle über den Netzwerkverkehr eines Kunden. Frühere WatchGuard-Lücken stehen im KEV-Katalog der CISA, Angreifer kennen das Produkt also, und die Appliances lassen sich über Internetscans leicht aufspüren. Im niederländischen Mittelstand steht die Firebox vielerorts am Netzwerkrand, oft bei Kunden, die die Verwaltung vollständig ihrem MSP überlassen.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie alle Fireboxen auf 2026.4, 12.12.4 oder 12.5.22 und aktualisieren Sie den Mobile VPN with SSL-Client auf den Windows-Arbeitsplätzen. Können Sie noch nicht patchen, deaktivieren Sie das Access Portal und den SIP-Proxy dort, wo sie nicht benötigt werden, beschränken Sie die Verwaltungsoberfläche auf vertrauenswürdige Adressen und isolieren Sie den FireCluster-Link. Gehen Sie auch die Liste der T15- und T35-Geräte durch, denn diese laufen auf einem eigenen Branch.
Veeam Backup & Replication 13 anfällig für Autorisierungs-Bypass ohne Authentifizierung
| Schwachstelle | Autorisierungs-Bypass im CDP Coordinator Service von Veeam Backup & Replication 13.1.1.18 und älter (13.1) sowie 13.0.2.29 und älter (13.0), sowohl unter Windows als auch auf der Veeam Software Appliance. Version 12.x ist nicht betroffen. Dasselbe Release schließt zwei Path-Traversal-Lücken und eine lokale Privilege Escalation in Veeam Agent for Linux 13.1.1.4 und älter |
| CVE-Nummer | CVE-2026-108142; daneben CVE-2026-108140, CVE-2026-108141 und CVE-2026-105477 |
| CVSS-Score | 9,1 (CVSS v4); die übrigen 5,9 und 7,3 |
| Aktiv ausgenutzt | Nein, Veeam meldet am 27. Oktober 2026 keine bekannte Ausnutzung |
| Patch verfügbar | Ja, Backup & Replication 13.1.2 (Build 13.1.2.57) und 13.0.3 (Build 13.0.3.63); Agent for Linux 13.1.2 (Build 13.1.2.11) |
Wie kann die Schwachstelle ausgenutzt werden?
Laut Veeam KB4948 kann ein Angreifer ohne gültige Anmeldedaten die Autorisierungsprüfung des CDP Coordinator Service umgehen und so Operationen auf dem Backup-Server ausführen. Die beiden Path-Traversal-Lücken erfordern dagegen ein Konto mit der Rolle Restore Operator und erlauben das Schreiben von Dateien außerhalb des vorgesehenen Verzeichnisses. Veeam warnt, dass der Patch schnell per Reverse Engineering analysiert werden kann, und frühere Veeam-Lücken wurden innerhalb weniger Wochen von Ransomware-Gruppen aufgegriffen.
Was kann die Folge sein?
Der Backup-Server ist für Ransomware-Gruppen das erste Ziel, weil zerstörte Backups dem Opfer jede Verhandlungsposition nehmen. Zugriff auf die CDP-Koordination bedeutet Zugriff auf Replikationsjobs und die zugehörigen Umgebungen. Für MSPs, die Veeam für Dutzende Kunden betreiben, betrifft ein einziger ungepatchter Server direkt mehrere Umgebungen.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie auf 13.1.2 oder 13.0.3 und bringen Sie die Linux-Agents über den Backup-Server auf den neuesten Stand. Prüfen Sie, ob der Backup-Server aus dem Internet oder aus Kundennetzen über die Ports des CDP-Dienstes erreichbar ist, und sperren Sie diesen Zugang, wo er nicht benötigt wird. Die sekundäre Meldung über eine Lücke in Veeam ONE (KB4951, CVSS 8,5) ist zum Zeitpunkt der Veröffentlichung nur aus zweiter Hand bekannt; prüfen Sie dieses Bulletin selbst, wenn Sie Veeam ONE 13.1 einsetzen.
Brotli-Lücke in Node.js, .NET und PAN-OS wird aktiv ausgenutzt, CISA nimmt sie in den KEV-Katalog auf
| Schwachstelle | Out-of-Bounds-Write im Brotli-Decoder von Google (Versionen 1.0.3 bis einschließlich 1.2.0), mitgeliefert unter anderem in Node.js (vor 22.23.4, 24.22.1 und 26.12.1), .NET (vor 8.0.33, 9.0.22 und 10.0.14), den Windows-Builds von PHP, Bun, Envoy und Istio. Palo Alto Networks PAN-OS 11.2 und 12.x mit Brotli-Inspektion und TLS-Entschlüsselung sowie VMware SDDC Manager 9.1.1 (CVSS 9,8) sind ebenfalls betroffen |
| CVE-Nummer | CVE-2026-111497 |
| CVSS-Score | 9,2 (CVSS v4, Google); Microsoft setzt 8,1 an |
| Aktiv ausgenutzt | Ja, CISA hat die Lücke am 27. Oktober 2026 in den KEV-Katalog aufgenommen; ELLIO beobachtete Exploit-Traffic von einer in den Niederlanden geolokalisierten IP-Adresse, Previdian einen Versuch auf einem Honeypot |
| Patch verfügbar | Ja für Brotli (1.0.10, 1.1.1, 1.2.1), Node.js und .NET; PAN-OS teilweise, mehrere Hotfixes folgen zwischen dem 27. und 30. Oktober; VMware SDDC Manager noch ohne Patch, Mitigation in KB460732 und KB460734 |
Wie wurde die Lücke ausgenutzt?
Ein Server, der mit Brotli komprimierte Daten entpackt, kann mit einem präparierten Datenstrom dazu gebracht werden, außerhalb des Puffers zu schreiben, was zur Codeausführung führt. Laut The Hacker News beobachtete das Sicherheitsunternehmen ELLIO Exploit-Traffic von der Adresse 94.154.43.7, einer in den Niederlanden geolokalisierten IP, von der zuvor auch PHP2Shell-Angriffe ausgingen. Help Net Security weist darauf hin, dass die Lücke weit über Node.js hinausreicht: Der Decoder steckt auch in .NET, Python-Paketen, Container-Images und Netzwerkgeräten. Palo Alto Networks hat sein Advisory am 27. Oktober aktualisiert, und Cisco untersucht noch, welche Produkte betroffen sind.
Was kann die Folge sein?
Das niederländische NCSC hatte bereits vergangene Woche gewarnt, damals noch ohne bekannte Ausnutzung. Mit der Aufnahme in den KEV-Katalog hat sich das geändert. Das Tückische: Ein Update der Systembibliothek erfasst die gebündelten Kopien in Node.js, .NET und Container-Images nicht. Jede Anwendung und jedes Image muss separat neu gebaut oder aktualisiert werden. Auf einer Firewall mit Brotli-Inspektion und TLS-Entschlüsselung ist zudem gerade die Inspektion selbst verwundbar.
Was sollten IT-Administratoren jetzt tun?
Erfassen Sie, wo Brotli mitläuft: Node.js-Runtimes, .NET-Dienste, PHP unter Windows, Reverse Proxies und Container-Images. Aktualisieren Sie Node.js auf 22.23.4, 24.22.1 oder 26.12.1 und .NET auf die genannten Runtimes, und bauen Sie Images neu, statt nur das Basis-OS zu patchen. Bei PAN-OS: Prüfen Sie, welcher Hotfix für Ihre Version bereits verfügbar ist, und deaktivieren Sie die Brotli-Inspektion vorübergehend, falls er noch fehlt. Für SDDC Manager gilt der Workaround von Broadcom, bis ein Patch vorliegt.
Tailscale veröffentlicht Patches für SSH-Lücken, die Root-Rechte innerhalb eines Tailnets verschaffen
| Schwachstelle | Elf Lücken in Tailscale SSH, tailscale serve, dem experimentellen App Connector und Headscale, zusammen als Tailworm bezeichnet. Ein autorisierter Benutzer kann über SSH-Forwarding Root-only-Sockets erreichen, etwa den Docker-Socket und die API von tailscaled. Gefunden in Tailscale 1.104.2 und Headscale 0.29.5 |
| CVE-Nummer | Keine CVE vergeben; Tailscale-Bulletins TS-2026-014 bis einschließlich TS-2026-017 |
| Aktiv ausgenutzt | Nein, Tailscale meldet keine Ausnutzung; der Proof of Concept ist nicht öffentlich |
| Patch verfügbar | Ja, Tailscale 1.104.4; für Headscale war am 28. Oktober noch kein Fix gemeldet. Workaround: SSH-Forwarding mit TS_SSH_DISABLE_FORWARDING=1 deaktivieren |
Wie kann die Schwachstelle ausgenutzt werden?
Die Lücken wurden von Cyberdione Labs entdeckt und am 27. Oktober von den niederländischen IT-Portalen Security.nl und Tweakers gemeldet; Tailscale bestätigte sie in einem eigenen Blogbeitrag zusammen mit dem Fix-Release. Der Kern: Tailscale SSH läuft als Root und ließ einen angemeldeten Benutzer per Unix-Socket-Forwarding an Sockets gelangen, für die dieser Benutzer normalerweise keine Rechte hat. Über den Docker-Socket oder die tailscaled-API sind das nur wenige Schritte bis zu Root auf dem Host, und von diesem Host aus kann ein Angreifer denselben Trick auf anderen Nodes im selben Tailnet wiederholen. Daher der Name, der auf Wurmfähigkeit anspielt.
Was kann die Folge sein?
Viele MSPs und kleine IT-Teams nutzen Tailscale als Verwaltungsschicht zu Kundenservern, gerade weil es so einfach ist. Ein einziges kompromittiertes Gerät mit SSH-Zugang genügt dann, um über das Tailnet auf anderen Servern Root zu werden. Wie groß die Angriffsfläche ist, hängt von den SSH-Policies ab: Je großzügiger der Zugang, desto größer die Reichweite.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie alle Nodes auf 1.104.4 und überprüfen Sie die SSH-Policies, damit nur die Konten SSH-Zugang erhalten, die ihn wirklich benötigen. Betreiben Sie Headscale als Control Server, deaktivieren Sie SSH-Forwarding über die Umgebungsvariable, bis ein Fix vorliegt. Prüfen Sie auf Nodes mit Docker, ob der Socket unbeabsichtigt erreichbar war, und durchsuchen Sie die Audit-Logs von Tailscale nach unerwarteten SSH-Sitzungen.
PHP2Shell: CISA bestätigt Ausnutzung, NetScaler und PAN-OS jetzt gepatcht
| Schwachstelle | Die beiden PHP-Lücken der vergangenen Woche, jetzt auch in Citrix NetScaler und Palo Alto Networks PAN-OS gepatcht |
| CVE-Nummer | CVE-2026-109618, CVE-2026-109619 |
| CVSS-Score | 9,2 |
| Aktiv ausgenutzt | Ja, seit 26. Oktober 2026 von CISA bestätigt (KEV-Katalog); erste unabhängig bestätigte erfolgreiche Shells auf Honeypots |
| Patch verfügbar | Ja, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; jetzt auch Updates für NetScaler und PAN-OS |
Was ist neu?
Patchwork hat bereits vergangene Woche über PHP2Shell berichtet; seitdem hat sich dreierlei geändert. CISA hat beide Lücken am Montag in den KEV-Katalog aufgenommen und damit die Ausnutzung bestätigt, nachdem die Behörde vergangene Woche noch keine erfolgreichen Angriffe gesehen hatte, berichtet The Register. Der Forscher Adel Karimi zählte am 24. Oktober 35 erfolgreiche Shell-Ausführungen auf Honeypots, und das Threat Intelligence Lab der TU Delft registrierte gut 50.000 Exploit-Anfragen von mehr als 600 IP-Adressen aus siebzig Ländern. Sophos und Palo Alto haben frühere Angaben zu erfolgreichen Einbrüchen dagegen zurückgezogen. Zudem haben Citrix (NetScaler, kritisch) und Palo Alto Networks (PAN-OS, hoch) eigene Patches veröffentlicht, schreibt Security.nl, wobei Palo Alto geplante Releases vorgezogen hat.
Was sollten IT-Administratoren jetzt tun?
Stand NetScaler oder PAN-OS bei Ihnen noch auf der Liste als „Warten auf den Hersteller“, können Sie diesen Punkt jetzt abhaken. Das NCSC schätzt die Wahrscheinlichkeit einer großflächigen Ausnutzung inzwischen geringer ein, doch Shadowserver zählt in den Niederlanden noch fast 20.000 PHP-Installationen ohne Support, die keinen Patch mehr erhalten. Dort helfen nur ein Upgrade oder das Abschalten.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
