In dieser Ausgabe geht es um Anwendungen und Tools, die Sie bei Kunden verwalten. In WordPress steckt eine RCE-Lücke im Update-Prozess, die Angreifer bereits auszunutzen versuchten, eine kritische Lücke in Drupal Commerce wird gegen Onlineshops ausgenutzt, und die CISA nimmt zwei weitere Lücken aus der Ivanti-Connect-Secure-Kette in den KEV-Katalog auf. Außerdem trifft Ransomware Synology-NAS-Systeme mit veraltetem DSM, und eine Lücke in TeamViewer ermöglicht die Übernahme eines Helpdesks.
- WordPress 7.1.4 schließt RCE-Lücke im Update-Prozess: Angreifer versuchten es bereits Stunden nach dem Patch
- Drupal Commerce Core: Kritische Lücke im Shop-Modul wird bereits ausgenutzt
- Ivanti Connect Secure: CISA nimmt zwei weitere Lücken aus der ausgenutzten Kette in den KEV-Katalog auf
- Synology-NAS-Systeme über Lücke aus dem Jahr 2024 von Ransomware getroffen
- TeamViewer-Lücke lässt Angreifer das System eines Helpdesk-Mitarbeiters übernehmen
WordPress 7.1.4 schließt RCE-Lücke im Update-Prozess: Angreifer versuchten es bereits Stunden nach dem Patch
| Schwachstelle | Nicht authentifizierte Remote Code Execution in WordPress Core 4.7 bis einschließlich 7.1.3 während eines Core-Updates mit dem vollständigen WordPress-Paket. Bei einem solchen Update werden Dateien in ein vorhersehbares Verzeichnis unter wp-content/upgrade entpackt, einschließlich des Installationsskripts. Es handelt sich um eine Race Condition |
| CVE-Nummer | Keine CVE vergeben (Advisory GHSA-4w3m-c66w-69mg) |
| CVSS-Score | 8,1 |
| Aktiv ausgenutzt | Ja, Wordfence blockierte innerhalb von 24 Stunden 62.969 Angriffe, kurz nach dem Patch vom 28. Oktober 2026 |
| Patch verfügbar | Ja, WordPress 7.1.4 (28. Oktober 2026); Sicherheitsfixes werden auf alle unterstützten Zweige zurückportiert, derzeit bis einschließlich 4.7 |
Wie wurde die Lücke ausgenutzt?
Das Zeitfenster, in dem die Lücke funktioniert, ist klein: Nur während eines Core-Updates mit dem vollständigen Paket liegt das Installationsskript vorübergehend in einem erreichbaren Verzeichnis. Laut The Hacker News blockierte Wordfence innerhalb von 24 Stunden 62.969 Angriffe, wobei zwei der größten Quellen mehr als vierzehn Stunden lang kleine Gruppen von Websites abklapperten. Das niederländische Portal Security.nl berichtet, dass die Angreifer das Installationsskript immer wieder aufrufen, in der Hoffnung, dass ein Versuch genau mit einem Update zusammenfällt. Im Labor dauerte das Zeitfenster nur Sekunden. Gemeldet wurde der Fehler von Umut Bayram, wie aus den Release Notes von WordPress 7.1.4 hervorgeht.
Was kann die Folge sein?
Ein erfolgreicher Angriff führt zur Codeausführung auf dem Webserver, ohne dass sich der Angreifer anmelden muss. Für MSPs, die viele WordPress-Sites von Kunden verwalten, ist das relevant, weil Updates oft gebündelt und zu festen Zeiten ausgerollt werden. Dasselbe Release schließt zudem eine Reihe von Stored-XSS-Lücken sowie eine Lücke, durch die unveröffentlichte Customizer-Änderungen für nicht angemeldete Besucher sichtbar sein können.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie alle Sites auf 7.1.4. Durchsuchen Sie die Zugriffslogs nach Anfragen an PHP-Dateien unter wp-content/upgrade (etwa setup-config.php) und prüfen Sie die Sites auf unbekannte Administratorkonten, Plugins und PHP-Dateien. Rollen Sie Full-Package-Updates in möglichst kurzer Zeit aus, vorzugsweise hinter einer Firewallregel, die das Installationsskript von außen blockiert.
nach oben ^
Drupal Commerce Core: Kritische Lücke im Shop-Modul wird bereits ausgenutzt
| Schwachstelle | Access Bypass im Drupal-Modul Commerce Core: Bestimmte Routen und Entity-Felder sind unzureichend geschützt. Betroffen sind Versionen vor 8.x-2.41 sowie die Versionen 3.0.0 bis 3.3.13. Drupal bewertet die Lücke mit einem Risikowert von 21 von 25 (hochkritisch); sie ist ohne Authentifizierung ausnutzbar |
| CVE-Nummer | CVE-2026-118539 (Drupal-Advisory SA-CONTRIB-2026-254) |
| Aktiv ausgenutzt | Ja, laut der Drupal-Advisory vom 28. Oktober 2026 |
| Patch verfügbar | Ja, Commerce Core 3.3.13 für den 3.x-Zweig und 8.x-2.41 für ältere Sites |
Wie wurde die Lücke ausgenutzt?
Drupal nennt keine Details zu den betroffenen Routen und Feldern. Laut der Advisory von Drupal kann ein Angreifer ohne Konto Zugriffskontrollen umgehen, was für den Shop-Betreiber möglicherweise finanziellen Schaden bedeutet. Security.nl berichtet, dass Drupal die Ausnutzung in freier Wildbahn bestätigt. Die Advisory wurde vom Drupal Security Team veröffentlicht; gemeldet wurde die Lücke von Dan Puccetti, Marcus Johansson und Robert Snyder.
Was kann die Folge sein?
Laut ITdaily können Angreifer nicht öffentliche Daten einsehen und Daten verändern. Bei einem Onlineshop betrifft das Bestellungen und Beträge – und damit direkten finanziellen Schaden und Kundenbeschwerden.
Was sollten IT-Administratoren jetzt tun?
Ermitteln Sie, welche Kunden Drupal Commerce einsetzen, und aktualisieren Sie Commerce Core auf 3.3.13 oder 8.x-2.41. Drupal fordert ausdrücklich dazu auf, Bestellungen auf Unregelmäßigkeiten zu prüfen; sehen Sie sich also auch die Bestellungen seit dem 28. Oktober an. Der Drupal-7-Zweig (1.x) fällt laut ITdaily nicht unter die Advisory.
nach oben ^
Ivanti Connect Secure: CISA nimmt zwei weitere Lücken aus der ausgenutzten Kette in den KEV-Katalog auf
| Schwachstelle | Drei miteinander verkettbare Lücken in Ivanti Connect Secure. Neben dem bereits bekannten Authentifizierungs-Bypass stehen nun auch eine Lücke, über die ein authentifizierter Angreifer Dateien mit eigenem Inhalt an einem bekannten Ort ablegen kann (vorhersehbare Identifier), sowie eine lokale Privilege Escalation (fehlende Authentifizierung für eine kritische Funktion) im Katalog |
| CVE-Nummer | CVE-2026-104935 (Authentifizierungs-Bypass und RCE), CVE-2026-118527 und CVE-2026-111357 |
| CVSS-Score | 8,6 für CVE-2026-104935; für die beiden neu aufgenommenen Lücken nennt die CISA keinen Score |
| Aktiv ausgenutzt | Ja, die CISA hat CVE-2026-118527 und CVE-2026-111357 am 30. Oktober 2026 in den KEV-Katalog aufgenommen; die Kette wird seit Anfang Oktober ausgenutzt |
| Patch verfügbar | Teilweise, Ivanti hat einen Teil der Kette in Release 25.1.3.0 behoben; die CISA fordert Mitigationen gemäß den Anweisungen von Ivanti |
Wie wurde die Lücke ausgenutzt?
Laut Cybersecurity Dive beschrieb Volexity am 13. Oktober eine Kette aus drei Lücken, die von einer Gruppe genutzt wird, die Volexity UTA0576 nennt. Der Angreifer suchte nach Active-Directory-Daten, BitLocker-Wiederherstellungsschlüsseln und LAPS-Passwörtern und löschte Spuren aus Debug- und Audit-Logs. Im KEV-Katalog der CISA stehen seit dem 30. Oktober auch die beiden anderen Bestandteile dieser Kette, mit dem 13. November als Frist für den Datei-Upload und dem 2. November für die Privilege Escalation.
Was kann die Folge sein?
Eine Connect-Secure-Appliance steht am Netzwerkrand und hält den Zugang zum internen Netzwerk. Wer die Appliance übernimmt, kann von dort aus Domänendaten sammeln. Die CISA warnt zudem, dass das Integrity Checker Tool von Ivanti einen Einbruch übersehen kann, weil Befehle im Arbeitsspeicher laufen. Bei der Privilege Escalation verlangt die CISA eine forensische Untersuchung.
Was sollten IT-Administratoren jetzt tun?
Stellen Sie fest, welche Kunden Connect Secure einsetzen, und folgen Sie der Advisory von Ivanti. Verlassen Sie sich nicht allein auf den Integrity Checker: Lassen Sie die Appliances forensisch untersuchen, tauschen Sie Passwörter und Schlüssel aus, die über die Appliance erreichbar waren, und prüfen Sie Active Directory auf verdächtige LDAP- und Kerberos-Aktivitäten.
nach oben ^
Synology-NAS-Systeme über Lücke aus dem Jahr 2024 von Ransomware getroffen
| Schwachstelle | Ransomware (C3rb3r/Locked3d), die aus dem Internet erreichbare Synology-NAS-Systeme mit veralteten DSM-Versionen verschlüsselt. Ein Opfer nennt die Lücke aus Advisory Synology-SA-24:20 als wahrscheinlichen Einstiegspunkt |
| CVE-Nummer | CVE-2024-10441 (laut einem Opfer der wahrscheinliche Einstiegspunkt, nicht bestätigt) |
| Aktiv ausgenutzt | Ja, Synology hat dies am 29. Oktober 2026 bestätigt |
| Patch verfügbar | Ja, seit Dezember 2024; welche DSM-Versionen sicher sind, steht in Advisory Synology-SA-24:20 |
Wie wurde die Lücke ausgenutzt?
Laut Security.nl meldeten sich betroffene Nutzer auf Reddit. Synology schreibt in einer Stellungnahme, dass Angreifer eine Lücke aus dem Dezember 2024 auf Geräten mit veraltetem DSM ausnutzen, um Daten zu verschlüsseln und Lösegeld zu fordern. Über die Zahl der Opfer ist nichts bekannt.
Was kann die Folge sein?
Ein verschlüsseltes NAS bedeutet den Verlust von Dateien und oft auch von lokalen Backups, die auf demselben Gerät liegen. Für KMU ohne separate Kopie ist das sofort eine Betriebsstörung. Einige Opfer können laut einer GitHub-Anleitung (c3rb3r-rescue) in bestimmten Fällen selbst entschlüsseln.
Was sollten IT-Administratoren jetzt tun?
Inventarisieren Sie die Synology-Systeme bei Ihren Kunden, prüfen Sie die DSM-Version anhand von Synology-SA-24:20 und aktualisieren Sie. Nehmen Sie NAS-Systeme vom offenen Internet, machen Sie sie per VPN zugänglich, aktivieren Sie automatische Updates und bewahren Sie Backups offline oder auf einem anderen System auf.
nach oben ^
TeamViewer-Lücke lässt Angreifer das System eines Helpdesk-Mitarbeiters übernehmen
| Schwachstelle | Integer Overflow bei der Verarbeitung des Remote-Control-Bildschirms in TeamViewer Full Client (einschließlich Portable) für Windows, Linux und macOS sowie in der Remote Control App für Android, Versionen vor 15.83. Dies kann zu einem Denial of Service oder möglicherweise zur Codeausführung auf dem System führen, das die Verbindung aufbaut |
| CVE-Nummer | CVE-2026-111585 (TeamViewer-Bulletin TV-2026-1011) |
| CVSS-Score | 8,8 |
| Aktiv ausgenutzt | Nein, TeamViewer meldet keine bekannte Ausnutzung |
| Patch verfügbar | Ja, TeamViewer 15.83 (Bulletin vom 27. Oktober 2026); für ältere Branches sind eigene Fix-Versionen verfügbar |
Wie wurde die Lücke ausgenutzt?
Laut Security.nl kann ein Angreifer Code auf dem System eines Helpdesk-Mitarbeiters ausführen, der sich mit einem System des Angreifers verbindet. Nutzer müssen nichts anklicken, und es werden keine Passwörter gestohlen; der Mitarbeiter muss lediglich die Verbindung akzeptieren. Remedio meldete die Lücke am 14. August an TeamViewer, siehe die Erläuterung von Remedio.
Was kann die Folge sein?
Betroffen ist der Arbeitsplatz von Technikern, und der verfügt oft über weitreichende Rechte bei Kunden. Dasselbe Bulletin schließt außerdem CVE-2026-92372, einen Out-of-Bounds-Write im Decoder für das Bildschirmbild unter Linux und macOS, sowie eine Privilege Escalation unter macOS. Ein infizierter Helpdesk-PC kann so zum Sprungbrett in mehrere Kundenumgebungen werden. Eine Ausnutzung wurde nicht gemeldet.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie die TeamViewer-Clients von Technikern und Servicedesk auf 15.83 oder neuer, gemäß dem Bulletin TV-2026-1011. Akzeptieren Sie bis dahin keine eingehenden Verbindungen von unbekannten Parteien und unterscheiden Sie zwischen Verbindungen zu einem Kunden und Verbindungen zu einem unbekannten System.
nach oben ^
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
