In dieser Ausgabe dreht sich alles um PHP, das auf den meisten Webservern läuft: Zwei kritische Lücken werden nachweislich aktiv ausgenutzt und stehen seit gestern im CISA-Katalog. Außerdem stehlen Angreifer Microsoft-365-Tokens, gegen die MFA keine Hürde mehr darstellt, und Tailscale SSH wartet auf einen Patch gegen eine schwerwiegende Rechteausweitung.
- Kritische PHP2Shell-Lücken in PHP werden aktiv ausgenutzt: CISA gibt US-Behörden bis zum 29. Oktober Zeit
- Token-Replay in Microsoft 365: 97 Konten bei 79 Organisationen trotz MFA übernommen
- Tailscale SSH: Forscherin zeigt Rechteausweitung bis Root, Patch innerhalb von 24 Stunden erwartet
Kritische PHP2Shell-Lücken in PHP werden aktiv ausgenutzt: CISA gibt US-Behörden bis zum 29. Oktober Zeit
| Schwachstelle | Zwei kritische Schwachstellen in PHP (PHP2Shell), die ohne Authentifizierung die Ausführung von Code aus der Ferne ermöglichen: eine Speicherbeschädigung bei Speichermangel und ein veralteter interner Request-Status |
| CVE-Nummer | CVE-2026-109618 und CVE-2026-109619 |
| CVSS-Score | 9,2 (beide) |
| Aktiv ausgenutzt | Ja. CISA hat beide am 26. Oktober 2026 in den KEV-Katalog aufgenommen; erfolgreiche Codeausführung auf einem Honeypot am 24. Oktober gemeldet |
| Patch verfügbar | Ja, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (veröffentlicht am 21. Oktober 2026) |
Wie wurde das ausgenutzt?
Laut The Hacker News meldete Adel Karimi von Perplexity am 24. Oktober, dass er auf Honeypots mit einem öffentlichen Exploit erfolgreich Code ausführen konnte. Er weist allerdings darauf hin, dass dies in einem bewusst günstigen Setup mit einem einzigen mod_php-Worker geschah; wie zuverlässig der Angriff bei anderen Konfigurationen funktioniert, ist daher noch unklar. Unit 42 von Palo Alto Networks hat unterdessen die Behauptung zurückgezogen, ein Einbruch bei einer europäischen Regierungsstelle habe mit diesen Lücken zu tun gehabt.
Welche Folgen kann das haben?
PHP läuft auf rund 70 Prozent aller Websites, und Censys zählt mehr als 32,5 Millionen PHP-Dienste mit einer anfälligen Version. Für MSPs mit Hosting- oder Webkunden bedeutet das, dass CMS-Websites, Webshops und Kundenportale direkt übernommen werden können. Darüber hinaus warnen die PHP-Entwickler vor einem dritten RCE-Risiko, für das es noch keinen Patch gibt. Für Windows-Builds erschien zudem ein zweites Update wegen eines Brotli-Fehlers, der über cURL erreichbar ist, wenn die automatische Dekomprimierung von HTTP-Antworten aktiviert ist.
Was müssen IT-Administratoren jetzt tun?
Inventarisieren Sie alle PHP-Server – Ihre eigenen und die Ihrer Kunden, einschließlich Shared Hosting und Container – und aktualisieren Sie auf eine der gepatchten Versionen. Unter Windows installieren Sie die neu gebauten Pakete mit der korrigierten Brotli-Bibliothek. Deaktivieren Sie die automatische Dekomprimierung in cURL, wo Sie sie nicht benötigen, und prüfen Sie die Logs seit dem 21. Oktober auf ungewöhnliche Requests mit großen Cookies.
Token-Replay in Microsoft 365: 97 Konten bei 79 Organisationen trotz MFA übernommen
| Schwachstelle | Missbrauch gestohlener Microsoft-365-Anmeldetokens über Phishing-Seiten, die sich zwischen Nutzer und Microsoft schalten (Adversary-in-the-Middle), sowie über Device-Code-Phishing. Es handelt sich um den Missbrauch legitimer Anmeldeabläufe, nicht um einen Softwarefehler |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Ja, von Huntress vom 14. Juli bis 22. September 2026 beobachtet (veröffentlicht am 26. Oktober) |
| Patch verfügbar | Nein, es handelt sich nicht um eine Softwarelücke. Eindämmen lässt sich das Risiko mit Conditional Access und durch das Bereinigen verbliebener Zugänge |
Wie wurde das ausgenutzt?
Laut The Hacker News stützt sich Huntress auf fast 200.000 fehlgeschlagene Anmeldeversuche aus dem Adressbereich 193.26.115.0/24, die zu 497 erfolgreichen Anmeldungen führten. Die Angreifer stahlen Tokens über gefälschte Anmeldeseiten, Device-Code-Phishing und Social Engineering und spielten sie innerhalb weniger Minuten von eigenen Systemen aus wieder ein. Huntress nennt dies „Token Spraying“. Da das Token bereits nach dem MFA-Schritt ausgestellt wurde, benötigt der Angreifer keinen zweiten Faktor mehr.
Welche Folgen kann das haben?
Insgesamt waren 97 Konten bei 79 Organisationen betroffen. In mindestens 19 Organisationen entfernten die Angreifer bestehende MFA-Methoden und registrierten innerhalb von drei Stunden eine eigene Methode. In Entra wurden 48 gefälschte Geräte registriert, die so lange Zugriff gewähren, bis Sie die Geräte entfernen. Versteckte Posteingangsregeln löschten oder verschoben E-Mails zu Gehalt, Einzahlungen und Boni, und ein Postfach verschickte Spam an Hunderte externe Empfänger. Das passt zur Vorbereitung von Rechnungs- und Zahlungsbetrug.
Was müssen IT-Administratoren jetzt tun?
Widerrufen Sie Sitzungen und setzen Sie die Passwörter verdächtiger Konten zurück. Prüfen Sie Entra auf unbekannte Geräte, geänderte MFA-Methoden, neue Unternehmensanwendungen und Posteingangsregeln mit kryptischen Namen. Schränken Sie den Device-Code-Flow mit Conditional Access ein und erzwingen Sie MFA für alle Benutzer, alle Cloud-Apps und alle Clienttypen.
Tailscale SSH: Forscherin zeigt Rechteausweitung bis Root, Patch innerhalb von 24 Stunden erwartet
| Schwachstelle | Mehrere Schwachstellen („Tailworm“, 11 Befunde) in Tailscale SSH und angrenzenden Komponenten. Ein kompromittiertes Gerät kann im Labor Root-Rechte auf anderen Servern erlangen, wenn SSH-Forwarding aktiviert ist. Getestet mit Tailscale 1.104.2 und headscale 0.29.5 |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Nein, kein Missbrauch gemeldet; die Befunde stammen aus Labortests vom 25. Oktober 2026, und der Proof of Concept ist nicht öffentlich |
| Patch verfügbar | Noch nicht. Tailscale bestätigte am 27. Oktober schwerwiegende Probleme und strebt ein Release innerhalb von 24 Stunden an; bis dahin gelten die unten genannten Maßnahmen |
Wie kann die Schwachstelle ausgenutzt werden?
Laut The Hacker News hat Erica Windisch von Cyberdione Labs die Untersuchung veröffentlicht. Der Angreifer muss bereits ein Gerät im Netzwerk kontrollieren, das laut den Zugriffsregeln auf das Ziel zugreifen darf. Über SSH-Forwarding, einen vertauschten Socket und eine Race Condition erlangte sie im Labor Root-Rechte und konnte eine eigene Maschine als vertrauenswürdigen Server aufnehmen lassen. Die Behauptung, die Lücke sei „wormable“, wird von anderen Forschern bestritten, und der letzte Schritt funktionierte bei aktiviertem Tailnet Lock nicht.
Welche Folgen kann das haben?
Für MSPs, die Tailscale für den administrativen Zugriff auf Kundenserver nutzen, kann ein einziges kompromittiertes Gerät zu Root-Rechten auf mehreren Systemen führen. Tailscale-VP Mike Shaver rät nicht dazu, Tailscale SSH abzuschalten, und Tailscale beschreibt die Probleme vor allem als Rechteausweitung.
Was müssen IT-Administratoren jetzt tun?
Deaktivieren Sie SSH-Forwarding, entweder pro Regel im gehosteten Dienst oder mit TS_SSH_DISABLE_FORWARDING=1 in der Umgebung von tailscaled (die einzige Option unter headscale 0.29.5). Formulieren Sie Zugriffsregeln als einzelne Quell-Ziel-Paare und entfernen Sie breit gefasste Identitäts- oder Tag-Grants. Entfernen Sie App-Connector-Rechte und Weiterleitungen per tailscale serve auf einen Unix-Socket, wenn Sie sie nicht benötigen, und aktivieren Sie Node-Key-Expiry. Installieren Sie das Update, sobald es verfügbar ist.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
