In dieser Ausgabe geht es um eine kritische Lücke im Linux-Kernel, für die bereits Scans beobachtet wurden, eine Metabase-Lücke mit CVSS 10,0, die aktiv ausgenutzt wird, und eine Kampagne mit gestohlenen Entra-App-Secrets bei Kunden von MSPs. Außerdem lässt SonicWall seine GMS-Verwaltungssoftware ungeschützt zurück, und die bereits gepatchte Zyxel-GS1900-Lücke wird offenbar schon seit Monaten ausgenutzt.
- Linux-Kernel: Kritische TCP-Lücke ermöglicht Root-Zugriff aus der Ferne, Scans nach verwundbaren Servern beobachtet
- Metabase: Kritische SQL-Injection-Lücke verschafft Administratorzugriff und wird aktiv ausgenutzt
- Gestohlene Entra-App-Secrets: Angreifer meldet sich als Workload bei Kunden von MSPs an
- SonicWall GMS: Kritische Lücke in End-of-Life-Verwaltungssoftware, ein Patch kommt nicht
- Zyxel GS1900: Jetzt aktiv ausgenutzt, fast 1.000 Switches gehackt
Linux-Kernel: Kritische TCP-Lücke ermöglicht Root-Zugriff aus der Ferne, Scans nach verwundbaren Servern beobachtet
| Schwachstelle | Race Condition im IPv4-TCP-Stack des Linux-Kernels (Use-after-free beim Freigeben der IPv4-Optionen einer eingehenden Verbindung). Der bekannte Exploit funktioniert auf Servern mit einem lauschenden Dienst, der einen Multipath-TCP-Socket (MPTCP) verwendet |
| CVE-Nummer | CVE-2026-98432 |
| CVSS-Score | 9,8 |
| Aktiv ausgenutzt | Noch nicht bestätigt. Der Forscher Marcus Hutchins beobachtet allerdings einen Angreifer, der offenbar nach verwundbaren Servern scannt (4. November 2026) |
| Patch verfügbar | Ja, upstream unter anderem in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 und 6.18.56. Die Distributionen liefern eigene Kernel-Updates; Ubuntu hatte am 4. November noch keinen Patch |
Wie kann die Schwachstelle ausgenutzt werden?
Laut der niederländischen Sicherheitsplattform Security.nl kann ein Angreifer mit speziell präparierten Paketen Befehle als root auf einem Server mit MPTCP-Listener ausführen, ohne Anmeldedaten und ohne Benutzerinteraktion. Anthropic hat einen funktionierenden Exploit gemeldet. Debian und andere Distributionen aktivieren MPTCP standardmäßig, und Software, die mit Go 1.24 oder neuer gebaut wurde, bindet standardmäßig MPTCP-Sockets. Damit können auch Dienste, bei denen Sie das nicht erwarten, den erforderlichen lauschenden Endpunkt bereitstellen. Hutchins zählte rund 2,1 Millionen Linux-Server, die über MPTCP auf Port 443 erreichbar sind, davon etwa 763.000 mit einer vollständigen TLS-Verbindung.
Was können die Folgen sein?
Ein Angreifer kann einen verwundbaren Server aus dem Internet vollständig übernehmen. Für MSPs und Hoster betrifft das Webserver, Reverse Proxies und Go-Dienste bei Kunden. Laut Akamai ist der zugrunde liegende Fehler nicht MPTCP-spezifisch, Systeme ohne MPTCP-Listener sind also nicht automatisch sicher.
Was sollten IT-Administratoren jetzt tun?
Installieren Sie das Kernel-Update Ihrer Distribution, starten Sie neu und überprüfen Sie anschließend die laufende Kernel-Version. Für Ubuntu fehlt der Patch noch, behalten Sie den Tracker von Canonical im Auge. Ist das Patchen noch nicht möglich, deaktivieren Sie MPTCP für lauschende Dienste (Akamai nennt den sysctl net.mptcp.enabled = 0) und beschränken Sie den Zugriff auf vertrauenswürdige Quellen. Das ist nur eine Übergangslösung: Red Hat stellt klar, dass keine der getesteten Mitigationen das Patchen ersetzen kann. Siehe auch die Erläuterung von N-able.
Metabase: Kritische SQL-Injection-Lücke verschafft Administratorzugriff und wird aktiv ausgenutzt
| Schwachstelle | SQL-Injection ohne Authentifizierung in Metabase (Open Source und Enterprise), mit der ein Angreifer Administratorzugriff auf die Instanz erhält. Betroffen: 0.58.0 bis 0.58.24, 0.59.0 bis 0.59.21, 0.60.0 bis 0.60.17, 0.61.0 bis 0.61.11, 0.62.0 bis 0.62.9 und 0.63.0 bis 0.63.5 sowie die entsprechenden 1.x-Reihen |
| CVE-Nummer | CVE-2026-72898 |
| CVSS-Score | 10,0 |
| Aktiv ausgenutzt | Ja, laut der singapurischen CSA (4. November 2026); ein öffentlicher Proof of Concept existiert |
| Patch verfügbar | Ja, 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5 oder neuer (sowie die 1.x-Entsprechungen). Übergangsweise: Zugriff auf /api/session/reset_password blockieren |
Wie wurde die Lücke ausgenutzt?
Laut der Warnung der Cyber Security Agency of Singapore kann ein Angreifer ohne Konto beliebiges SQL auf der Anwendungsdatenbank von Metabase ausführen und so Administrator werden. Ein funktionierender Beispiel-Exploit ist öffentlich verfügbar, sodass Angreifer ihn leicht übernehmen können.
Was können die Folgen sein?
Metabase ist für Reports und Dashboards häufig direkt mit Datenbanken von Kunden verbunden. Mit Administratorzugriff kann ein Angreifer auf die gespeicherten Verbindungen und die dahinterliegenden Daten zugreifen. Zudem wird Metabase oft selbst gehostet und mitunter direkt ans Internet angebunden.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie umgehend auf eine gepatchte Version. Können Sie nicht sofort aktualisieren, blockieren Sie den Endpoint /api/session/reset_password. Widerrufen Sie nach dem Update aktive Sessions, überprüfen Sie Administratorkonten und API-Schlüssel, rotieren Sie die mit Metabase verbundenen Datenbank-Credentials und durchsuchen Sie die Logs nach verdächtigen Aktivitäten.
Gestohlene Entra-App-Secrets: Angreifer meldet sich als Workload bei Kunden von MSPs an
| Schwachstelle | Missbrauch gestohlener Anwendungsgeheimnisse (Secrets) von App-Registrierungen in Microsoft Entra ID, mit denen sich ein Angreifer ohne Benutzer als die Anwendung bei Microsoft-365- und Azure-Umgebungen anmeldet. Kein Softwarefehler |
| CVE-Nummer | Keine CVE vergeben |
| Aktiv ausgenutzt | Ja, entdeckt von Todyl und laut dem Bericht vom 4. November 2026 noch andauernd; Huntress beteiligt sich an der Untersuchung |
| Patch verfügbar | Nein, es handelt sich nicht um eine Softwarelücke. Der Bericht nennt keine festen Maßnahmen; Administratoren müssen Secrets selbst rotieren und Anmeldeaktivitäten überprüfen |
Wie wurde dies ausgenutzt?
Laut Cybersecurity Dive nahm der Angreifer 45 App-Registrierungen bei rund 18 Organisationen ins Visier, mit mindestens 33 davon meldete er sich erfolgreich an. Die Aktivität geht laut Huntress von einem einzelnen Operator aus, der einen Server in Polen nutzt. Etwa 95 Prozent der Anmeldungen erfolgten per Skript, in Bursts von 24 Logins innerhalb von 10 Sekunden. Todyl beschreibt die Kampagne in einem eigenen Bericht. Die Credentials wurden Berichten zufolge vor dem 1. November gesammelt. Eine direkte Verbindung zur früheren ConnectWise-Kampagne wurde nicht gefunden.
Was können die Folgen sein?
Der Angreifer verschaffte sich Zugang zu 27 Organisationen, darunter Downstream-Kunden von MSPs aus den Bereichen Energie, öffentliche Hand, Lebensmittel und Landwirtschaft, Transport sowie Bau. In 25 Tenants wurden Suchvorgänge durchgeführt, 81 Dateien heruntergeladen und rund 2.300 Mailbox-Elemente aufgerufen.
Was sollten IT-Administratoren jetzt tun?
Erfassen Sie die App-Registrierungen und Service Principals in den von Ihnen verwalteten Tenants, rotieren Sie Client Secrets und Zertifikate, die möglicherweise abgeflossen sind, und prüfen Sie die Service-Principal-Sign-ins auf Anmeldungen von unbekannten IP-Adressen. Erwägen Sie bedingten Zugriff für Workload Identities sowie den Einsatz von Zertifikaten oder Managed Identities anstelle von Secrets.
SonicWall GMS: Kritische Lücke in End-of-Life-Verwaltungssoftware, ein Patch kommt nicht
| Schwachstelle | Nicht authentifizierter Dateilesezugriff in SonicWall Global Management System (GMS), der Verwaltungssoftware für SonicWall-Firewalls. Laut BleepingComputer betrifft dies GMS 9.5.2 und älter; zusätzlich besteht eine SQL-Injection nach Authentifizierung (CVE-2026-109594, CVSS 6,8) |
| CVE-Nummer | CVE-2026-109593 (Advisory SNWLID-2026-0019) |
| CVSS-Score | 9,1 |
| Aktiv ausgenutzt | Nicht gemeldet |
| Patch verfügbar | Nein, GMS ist seit dem 30. September 2026 End-of-Life. SonicWall empfiehlt die Migration auf Network Security Manager (NSM) |
Wie kann die Schwachstelle ausgenutzt werden?
Ein Angreifer ohne Anmeldedaten kann über die Verwaltungsoberfläche sensible Dateien des GMS-Systems lesen, berichtet Security.nl. SonicWall nennt nicht, um welche Daten es sich handelt. Siehe auch den Bericht von BleepingComputer und das SonicWall-Advisory.
Was können die Folgen sein?
GMS verwaltet Firewalls mehrerer Kunden von einer zentralen Stelle aus. Wer dort Dateien lesen kann, gelangt möglicherweise an Konfigurationen und Anmeldedaten der verwalteten Geräte. Da kein Patch kommt, bleibt jede GMS-Installation verwundbar.
Was sollten IT-Administratoren jetzt tun?
Planen Sie die Migration auf NSM und nehmen Sie GMS bis dahin vom Internet oder beschränken Sie den Zugriff auf ein Verwaltungsnetz. Rotieren Sie in GMS gespeicherte Passwörter und Schlüssel, wenn das System aus dem Internet erreichbar war.
Zyxel GS1900: Jetzt aktiv ausgenutzt, fast 1.000 Switches gehackt
| Schwachstelle | Out-of-bounds Write in der Web-Verwaltungsoberfläche von zehn Zyxel-GS1900-Switch-Modellen, über den ein Angreifer ohne Authentifizierung mit speziell präparierten HTTP-Anfragen OS-Befehle ausführt |
| CVE-Nummer | CVE-2026-107441 |
| Aktiv ausgenutzt | Ja, laut GreyNoise seit etwa dem 17. August 2026; 996 Geräte in 48 Ländern kompromittiert |
| Patch verfügbar | Ja, Firmware vom 22. Oktober 2026; installieren Sie die neueste Firmware |
Im Patchwork vom Dienstag, 3. November haben wir über den Patch für diese Lücke berichtet. Neu ist, dass die Lücke bereits seit August als Zero-Day in großem Umfang ausgenutzt wurde.
Wie wurde dies ausgenutzt?
Laut BleepingComputer beobachtete GreyNoise, wie ein mutmaßlich chinesischsprachiger Akteur, der unter dem Namen Kapibala verfolgt wird, ab Mitte August Befehle auf Switches ausführte und anschließend ein Skript herunterlud, das Konfigurationen, gehashte Root-Credentials und Netzwerkinformationen sammelte. GreyNoise brachte dies zunächst mit einer früher gepatchten Lücke in Verbindung. Binarly fand ein offenes Archiv mit einem Exploit, der die früheren Patches umging, und meldete die Lücke am 29. September an Zyxel.
Was können die Folgen sein?
Ein Angreifer kann Befehle auf dem Netzwerkgerät ausführen und Konfigurationen sowie Credentials abgreifen, was eine weitere Ausbreitung im Kundennetz ermöglicht.
Was sollten IT-Administratoren jetzt tun?
Installieren Sie auf allen GS1900-Switches die neueste Firmware, nehmen Sie die Weboberfläche vom Internet und überprüfen Sie Geräte, die vor dem 22. Oktober exponiert waren, auf Spuren eines Einbruchs. Rotieren Sie Verwaltungspasswörter nach einer vermuteten Kompromittierung.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
