In dieser Ausgabe geht es um kritische Lücken, die bereits ausgenutzt werden. Angreifer nutzen eine SQL-Injection in Arista VeloCloud Orchestrator, installieren über Collabora Online Webshells auf Nextcloud-Servern und brechen in FortiGate- und GlobalProtect-Firewalls ein. Außerdem warnt PHP vor einem neuen RCE-Risiko, für das es keinen Notfall-Patch gibt.
- Arista VeloCloud Orchestrator: SQL-Injection verschafft Angreifern Administratorrechte, dritte ausgenutzte Lücke seit Juli
- Collabora Online in Nextcloud: Kritische Lücke wird zum Platzieren von Webshells ausgenutzt
- PHP: Neues RCE-Risiko ohne Notfall-Patch, zwei Tage nach den PHP2Shell-Updates
- Angreifer k0t knackt FortiGate- und GlobalProtect-Firewalls: über 70.000 Zugangsdaten offengelegt
Arista VeloCloud Orchestrator: SQL-Injection verschafft Angreifern Administratorrechte, dritte ausgenutzte Lücke seit Juli
| Schwachstelle | SQL-Injection im On-Premises-Arista VeloCloud Orchestrator (VCO). Ein Angreifer mit einer gültigen Sitzung und mindestens der Rolle Enterprise Read Only erhält Zugriff auf privilegierte interne Funktionen |
| CVE-Nummer | CVE-2026-114625 |
| CVSS-Score | 9,9 |
| Aktiv ausgenutzt | Ja, Arista bestätigt, dass die Lücke in freier Wildbahn ausgenutzt wird; die CISA hat sie am 23. Oktober 2026 in den KEV-Katalog aufgenommen |
| Patch verfügbar | Ja, im Oktober 2026 veröffentlicht: Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 |
Wie wurde die Lücke ausgenutzt?
Laut The Hacker News hat Arista bestätigt, dass Angreifer die Lücke bereits nutzen. Der Angreifer benötigt Netzwerkzugriff auf die Weboberfläche des VCO sowie eine gültige Sitzung. Arista hat die Aktivitäten keiner Gruppe zugeordnet und nennt keine technischen Details dazu, was Angreifer nach der Rechteausweitung tun. Allerdings hat Arista zwei IP-Adressen mit japanischer Geolokalisierung veröffentlicht: 74.82.197[.]86 und 38.54.50[.]151.
Welche Folgen kann das haben?
Der VCO verwaltet die SD-WAN-Umgebung einer Organisation; wer darauf Administratorrechte hat, kann also die Konfiguration aller angebundenen Standorte ändern. Es ist bereits die dritte VCO-Lücke, die seit Juli 2026 ausgenutzt wird, nach zwei früheren Schwachstellen mit dem Höchstwert von 10,0. Für MSPs, die SD-WAN für Kunden betreuen, ist das ein Muster, das man ernst nehmen sollte.
Was sollten IT-Administratoren jetzt tun?
Aktualisieren Sie On-Premises-VCOs auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12. Schränken Sie den Netzwerkzugriff auf die Weboberfläche ein, überprüfen Sie Konten mit der Rolle Enterprise Read Only und durchsuchen Sie die Logs nach Datenverkehr von den beiden genannten IP-Adressen. Der Bericht nennt für US-Bundesbehörden eine Frist bis zum 26. Oktober 2026; diese Frist ist auch für Sie ein guter Richtwert.
Collabora Online in Nextcloud: Kritische Lücke wird zum Platzieren von Webshells ausgenutzt
| Schwachstelle | OS-Command-Injection im Collabora Online Built-in CODE Server (richdocumentscode) bei Verwendung mit Nextcloud, über proxy.php, wenn der lokale CODE-Dokumentenserver nicht läuft |
| CVE-Nummer | CVE-2026-110447 |
| CVSS-Score | 9,2 |
| Aktiv ausgenutzt | Ja, Angreifer platzieren Webshells auf Nextcloud-Servern; die CISA hat die Lücke am 23. Oktober 2026 in den KEV-Katalog aufgenommen |
| Patch verfügbar | Ja, seit September 2026 in Version 26.4.303 |
Wie wurde die Lücke ausgenutzt?
Laut The Hacker News führen Angreifer über proxy.php Befehle auf dem Server aus und installieren auf diese Weise eine Webshell. Anschließend erkunden sie das System und suchen nach Speicherorten für Zugangsdaten, Passwortmanager-Dateien und Krypto-Wallets.
Welche Folgen kann das haben?
Ein kompromittierter Nextcloud-Server verschafft Zugriff auf Geschäftsdokumente und oft auch auf Schlüssel und Passwörter, die auf demselben Rechner liegen. Bei MSPs, die Nextcloud für KMU-Kunden hosten, betrifft schon eine einzige verwundbare Instanz schnell die Daten eines Kunden.
Was sollten IT-Administratoren jetzt tun?
Prüfen Sie, ob der Collabora Online Built-in CODE Server läuft, und aktualisieren Sie auf 26.4.303 oder neuer. Suchen Sie auf Servern, die länger nicht aktualisiert wurden, nach unbekannten Dateien und Aufrufen von proxy.php, und ersetzen Sie Zugangsdaten, die auf dem Server gespeichert waren, wenn Sie eine Kompromittierung nicht ausschließen können.
PHP: Neues RCE-Risiko ohne Notfall-Patch, zwei Tage nach den PHP2Shell-Updates
| Schwachstelle | Mögliche Remote-Codeausführung in PHP bei einer bestimmten Konfiguration: session.serialize_handler steht auf php_binary oder php_serialize, wird zur Laufzeit mit ini_set() vor session_start() auf php gesetzt, und Session Upload Progress ist aktiviert. PHP selbst spricht von „an unlikely risk“. Betroffene Versionen wurden nicht bekanntgegeben |
| CVE-Nummer | CVE-2026-115560 |
| Aktiv ausgenutzt | Nein, keine Ausnutzung gemeldet (Stand: 23. Oktober 2026). Die Angriffe seit dem 21. Oktober richten sich gegen die früheren PHP2Shell-Lücken |
| Patch verfügbar | Nein, der Fix folgt im nächsten regulären Bugfix-Release. Maßnahme: session.upload_progress.enabled=0 setzen |
Wie wurde die Lücke ausgenutzt?
Eine Ausnutzung dieser Lücke wurde bislang nicht gemeldet. Laut The Hacker News handelt es sich um eine separate Schwachstelle neben PHP2Shell (CVE-2026-109618 und CVE-2026-109619), für die PHP am 21. Oktober Notfall-Updates in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht hat. Gegen diese Lücken wurden inzwischen Millionen von Angriffsversuchen beobachtet, unter anderem um eine Mirai-Variante zu installieren. Diese Versuche scheinen bislang nicht erfolgreich zu sein.
Welche Folgen kann das haben?
Bei einem erfolgreichen Angriff kann ein Angreifer Code auf dem Webserver ausführen. Da Session Upload Progress standardmäßig aktiviert ist, hängt das Risiko vor allem davon ab, ob eine Anwendung den Session-Handler zur Laufzeit umstellt. Bei Individualentwicklungen und älteren CMS-Plugins ist das durchaus möglich.
Was sollten IT-Administratoren jetzt tun?
Installieren Sie zuerst die PHP2Shell-Updates, falls das noch nicht geschehen ist. Setzen Sie zudem session.upload_progress.enabled=0 auf Hosting-Plattformen und Kundenservern, bis der Fix erscheint. Haben Sie diese Einstellung bereits für CVE-2026-109619 angepasst, müssen Sie nichts weiter tun.
Angreifer k0t knackt FortiGate- und GlobalProtect-Firewalls: über 70.000 Zugangsdaten offengelegt
| Schwachstelle | Kampagne gegen aus dem Internet erreichbare Edge-Geräte, vor allem Fortinet FortiGate und Palo Alto Networks GlobalProtect, über bekannte Lücken und Brute-Force-Angriffe mit häufig verwendeten Zugangsdaten. Versionsnummern werden im Bericht nicht genannt |
| CVE-Nummer | CVE-2025-64446 (Path Traversal in FortiWeb) und CVE-2026-0257 (Authentifizierungs-Bypass in PAN-OS und Prisma Access) |
| Aktiv ausgenutzt | Ja, laut Group-IB und NyxLab, gemeldet am 23. Oktober 2026; viele Einbrüche fanden zwischen Februar und Juni 2026 statt |
| Patch verfügbar | Der Bericht nennt keine Versionen. Installieren Sie die verfügbaren Fixes von Fortinet und Palo Alto Networks und verwenden Sie starke, eindeutige Zugangsdaten |
Wie wurde die Lücke ausgenutzt?
Laut The Hacker News sucht der Akteur k0t mit FOFA und ZoomEye nach exponierten VPN- und Firewall-Geräten, bricht über die genannten Lücken oder durch Erraten von Passwörtern ein und baut mit OpenConnect eine VPN-Verbindung auf. Danach folgen die Erkundung des Active Directory, Persistenz mit MeshCentral, Atera, Teramind und AnyDesk sowie dem AdaptixC2-Framework und die Exfiltration von Daten mit Rclone zu Wasabi und MEGA. Group-IB und NyxLab bringen k0t mit den Ransomware-Gruppen Qilin und The Gentlemen in Verbindung.
Welche Folgen kann das haben?
Durch den Einsatz legitimer Verwaltungstools wie Atera und AnyDesk ist die Präsenz des Angreifers nur schwer von normaler MSP-Administration zu unterscheiden. Rund 15,8 Prozent der Opfer sitzen in Europa, und viele Opfer tauchten später auf den Leak-Seiten von Ransomware-Gruppen auf.
Was sollten IT-Administratoren jetzt tun?
Patchen Sie FortiGate-, FortiWeb- und PAN-OS-Systeme, nehmen Sie Verwaltungsoberflächen vom Internet und aktivieren Sie die Multi-Faktor-Authentifizierung für VPN-Konten. Suchen Sie in Ihrer Umgebung nach RMM-Tools, die Sie nicht selbst installiert haben, nach ausgehendem Datenverkehr in Richtung Wasabi und MEGA sowie nach unerwarteten OpenConnect-Verbindungen.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
