Diese Ausgabe beginnt mit einem gekaperten Update-Kanal: Über cPGuard gelangte eine Backdoor auf Tausende Hosting-Server. Außerdem werden Node-RED-Installationen aktiv übernommen, Barracuda warnt vor zwei verkettbaren Lücken in seinen Gateways, und CISA hat die WordPress-Update-Lücke aus der Ausgabe vom Samstag als aktiv ausgenutzt bestätigt.
- Update-Kanal von cPGuard gekapert: Backdoor und Datendiebstahl auf Tausenden Hosting-Servern
- Node-RED: Angreifer nutzen kritische Lücke aus und platzieren Linux-Bot und Webshells
- Barracuda warnt vor zwei verkettbaren Lücken, die Root-Zugriff auf E-Mail- und Web-Gateways ermöglichen
- WordPress-Update-Lücke: CISA bestätigt Ausnutzung und nimmt sie in den KEV-Katalog auf
Update-Kanal von cPGuard gekapert: Backdoor und Datendiebstahl auf Tausenden Hosting-Servern
| Schwachstelle | Gekaperter Update-Kanal von cPGuard (OpsShield), einer Sicherheitssuite für Linux-Hosting-Server. Die Versionen 5.88.12 bis 5.88.19 enthalten ein bösartiges Skript, das eine Backdoor installiert und Daten stiehlt. Ursache sind gestohlene Zugangsdaten für das Update-CDN; ein Softwarefehler liegt nicht vor |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Ja, die bösartigen Updates wurden ab dem 2. November 2026, 02:06 Uhr UTC, ausgeliefert; OpsShield meldete den Vorfall am 3. November |
| Patch verfügbar | Ja, Version 5.88.25 oder neuer entfernt die Backdoor und das Skript. Anschließend müssen Passwörter, Datenbank-Zugangsdaten, Cloud-Secrets und SSH-Schlüssel ersetzt werden |
Wie wurde die Lücke ausgenutzt?
Laut dem niederländischen Sicherheitsportal Security.nl verschaffte sich ein Angreifer mit kompromittierten Zugangsdaten Zugriff auf das Update-CDN von OpsShield. Server, die während des Angriffsfensters aktualisiert wurden, erhielten ein Skript, das eine Backdoor platzierte und Linux-Passwort-Hashes, die Konfiguration des MariaDB- und MySQL-Root-Benutzers, die Shell-History von root sowie die SSH-Dateien von root sammelte. Die Beute ging an den Lizenzserver von OpsShield. BleepingComputer berichtete über denselben Vorfall. OpsShield gibt an, die Verbreitung innerhalb von 12 Stunden gestoppt zu haben.
Was kann die Folge sein?
Ein Sprecher von OpsShield nennt laut BleepingComputer 2.946 betroffene Server mit 32 Dateien pro Kunde; auch die Billing-Datenbank wurde kopiert. OpsShield kann nicht bestätigen, dass jeder Server das Skript ausgeführt hat, da Update-Prüfungen in Intervallen stattfinden. Betreiben Sie cPGuard auf Shared-Hosting- oder cPanel-Servern, können Root-Geheimnisse abgeflossen sein. Für MSPs, die Hosting-Umgebungen von Kunden verwalten, ist das ein unmittelbarer Anlass zu prüfen, was mitgelesen wurde.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie jeden cPGuard-Server auf Version 5.88.25 oder neuer. Gehen Sie davon aus, dass Daten abgeflossen sind, wenn am 2. oder 3. November eine Version zwischen 5.88.12 und 5.88.19 eingespielt wurde: Ersetzen Sie Root- und Benutzerpasswörter, Datenbank- und Cloud-Secrets sowie SSH-Schlüssel. OpsShield arbeitet an einem separaten Update, das zuvor installierte Support-Zugangsschlüssel entfernt. Mehr zum Vorgehen findet sich auch bei The Hacker News.
Node-RED: Angreifer nutzen kritische Lücke aus und platzieren Linux-Bot und Webshells
| Schwachstelle | Fehlende Authentifizierung in der HTTP-Schnittstelle von Node-RED, über die ein Angreifer aus der Ferne und ohne Anmeldung Flows anlegen und Code ausführen kann. Siemens warnte im August vor Industrial-OS-Geräten mit Node-RED vor V4.3.4.1, darunter das SIMATIC IoT2050 Advanced |
| CVE-Nummer | CVE-2026-58115 |
| CVSS-Score | 10,0 (Bewertung von Siemens) |
| Aktiv ausgenutzt | Ja, VulnCheck beobachtete den ersten vollständigen Exploit am 30. Oktober 2026. Die Lücke steht im KEV-Katalog von VulnCheck; CISA hatte sie zum Zeitpunkt der Veröffentlichung der Meldung noch nicht aufgenommen |
| Patch verfügbar | Ja für Siemens Industrial OS: V4.3.4.1 oder neuer. Für andere Node-RED-Installationen gilt: mit Authentifizierung (adminAuth) absichern und nicht direkt dem Internet aussetzen |
Wie wurde die Lücke ausgenutzt?
Laut Help Net Security fing ein Canary von VulnCheck am 30. Oktober einen kompletten Exploit in einer einzigen POST-Anfrage ab. Dieser platzierte einen Flow, der automatisch lief und über Inject- und Exec-Nodes ein Binary namens bot-linux-amd64 herunterlud, versteckt an einem Speicherort im Arbeitsspeicher. Spätere Anfragen lieferten ein Shell-Skript, eine als Kernel-Worker-Thread getarnte Datei sowie Webshells. Die Quelladresse aus einem Microsoft-Adressbereich, der auf Brasilien verweist, unternahm zwischen dem 30. Oktober und dem 1. November 16 Versuche. VulnCheck spricht von opportunistischem Massenscanning. Auch Security.nl berichtete über die Angriffe.
Was kann die Folge sein?
Der Bot verschwindet nach einem Neustart, sofern er sich nicht selbst persistent macht, die Webshells bleiben jedoch bestehen. Ein Angreifer verfügt auf dem Server über die höchsten Rechte. Node-RED läuft häufig auf IoT-Gateways, in der Gebäudeleittechnik und in industriellen Umgebungen. Bei MSPs mit solchen Kunden kann eine vergessene Instanz daher zum Einfallstor ins Kundennetzwerk werden.
Was sollten IT-Administratoren jetzt tun?
Prüfen Sie, ob Node-RED von außerhalb des Netzwerks erreichbar ist, auch in OT-Umgebungen. VulnCheck warnt, dass Instanzen ohne adminAuth automatisch gefunden und ausgenutzt werden. Installieren Sie verfügbare Updates, suchen Sie nach den Indikatoren aus dem VulnCheck-Beitrag und prüfen Sie auf unbekannte Flows und Webshells.
Barracuda warnt vor zwei verkettbaren Lücken, die Root-Zugriff auf E-Mail- und Web-Gateways ermöglichen
| Schwachstelle | Zwei Schwachstellen in Barracuda-Appliances: ein Authorization Bypass im Email Security Gateway (ESG) und eine Command Injection in ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway. Zusammen ermöglichen sie Root-Zugriff |
| CVE-Nummer | CVE-2026-116606 (Authorization Bypass, nur ESG) und CVE-2026-111560 (Command Injection) |
| CVSS-Score | 9,3 für CVE-2026-116606 und 8,6 für CVE-2026-111560 |
| Aktiv ausgenutzt | Nein, Barracuda und The Hacker News melden keine Ausnutzung in freier Wildbahn |
| Patch verfügbar | Ja. Für ESG: BNSF-40425 (ab Firmware 9.4.017) und BNSF-40430 (älter als 9.4.017); außerdem BNADC-16586 (Load Balancer ADC und WAF), BNMA-32468 (Message Archiver), BNWF-60060 (WAF Control Center) und BNYF-24789 (Web Security Gateway) |
Wie kann die Schwachstelle ausgenutzt werden?
Laut dem Advisory von Barracuda führen die beiden Lücken nur in Kombination zu Root-Zugriff: Zunächst werden die Autorisierungsprüfungen umgangen, anschließend werden Befehle ausgeführt. Ein Angreifer benötigt dafür Zugriff auf die Verwaltungsoberfläche des Geräts. Das Advisory nennt keinen Entdecker. Barracuda spricht von einer Pre-Authentication-Lücke, während dieselbe Seite auch Administratorrechte erwähnt – klären Sie daher mit Barracuda, wie es sich genau verhält. The Hacker News und BleepingComputer berichteten bereits am 3. November über die Warnung.
Was kann die Folge sein?
Ein Angreifer mit Root-Rechten auf einem E-Mail-Gateway oder einer Web Application Firewall sieht den Datenverkehr aller dahinterliegenden Kunden und kann das Gerät als Sprungbrett nutzen. Barracuda-Geräte stehen bei vielen niederländischen MSPs und mittelständischen Unternehmen am Netzwerkrand.
Was sollten IT-Administratoren jetzt tun?
Sorgen Sie dafür, dass Verwaltungsoberflächen niemals aus dem Internet erreichbar sind, und beschränken Sie sie auf vertrauenswürdige interne Netzwerke. Installieren Sie den Patch für Ihr Produkt. Liegt die Firmware mehrere Versionen zurück, sind laut Barracuda möglicherweise mehrere Updates erforderlich.
WordPress-Update-Lücke: CISA bestätigt Ausnutzung und nimmt sie in den KEV-Katalog auf
| Schwachstelle | TOCTOU-Race-Condition im Update-Prozess von WordPress Core. Während eines vollständigen Core-Updates liegen Dateien kurzzeitig in einem vorhersehbaren Verzeichnis unter wp-content/upgrade, wo ein Angreifer Code ausführen lassen kann. Betroffen sind unter anderem 7.1.0 bis 7.1.3 und 7.0.0 bis 7.0.7 |
| CVE-Nummer | CVE-2026-119977 |
| CVSS-Score | 8,1 (Wordfence als CNA) |
| Aktiv ausgenutzt | Ja, CISA hat die Schwachstelle am 3. November 2026 in den KEV-Katalog aufgenommen |
| Patch verfügbar | Ja, 7.1.4 für den 7.1-Zweig und 7.0.8 für den 7.0-Zweig; auch ältere Zweige haben einen Fix erhalten, etwa 6.9.11 und 6.8.12 |
Was ist neu?
Diese Lücke war bereits Thema in der Patchwork-Ausgabe vom Samstag, 31. Oktober, damals noch ohne CVE-Nummer und mit Ausnutzungsversuchen kurz nach dem Patch. Neu ist, dass CISA sie inzwischen als aktiv ausgenutzte Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen hat.
Wie kann die Schwachstelle ausgenutzt werden?
Bei einem vollständigen Update entpackt WordPress die neuen Dateien in ein vorhersehbares Verzeichnis unter wp-content/upgrade, das auf vielen Servern über das Web erreichbar ist. Ruft ein Angreifer die Installationsdatei in dieser Staging-Kopie im richtigen Moment auf, kann er damit PHP-Code ausführen. Dieses Zeitfenster dauert meist nur Sekunden, weshalb Angreifer wiederholt pollen. Laut der Analyse von Rescana registrierte Wordfence in den ersten 21 Stunden mehr als 18.500 Anfragen an Installer-Pfade im Staging-Verzeichnis. Der Fix in 7.1.4 macht den Verzeichnisnamen zufällig und ergänzt einen Indexschutz.
Was sollten IT-Administratoren jetzt tun?
Prüfen Sie, ob das Update auf 7.1.4, 7.0.8 oder die Fix-Version des jeweiligen Zweigs tatsächlich durchgeführt wurde, insbesondere bei Websites mit deaktivierten automatischen Updates und bei verwalteten Kunden-Websites. Blockieren Sie zudem in der Serverkonfiguration den Webzugriff auf wp-content/upgrade/ und durchsuchen Sie die Logs nach Anfragen an PHP-Dateien in diesem Verzeichnis, unbekannten Administratorkonten und neuen Plugins. Eine PHP-Firewall allein reicht laut Wordfence nicht aus, da die Anfrage WordPress umgeht.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
