{"id":125,"date":"2026-10-31T07:44:09","date_gmt":"2026-10-31T06:44:09","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-samstag-31-oktober\/"},"modified":"2026-11-02T15:54:17","modified_gmt":"2026-11-02T14:54:17","slug":"patchwork-samstag-31-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-samstag-31-oktober\/","title":{"rendered":"Patchwork \u2013 Samstag, 31. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe geht es um Anwendungen und Tools, die Sie bei Kunden verwalten. In WordPress steckt eine RCE-L\u00fccke im Update-Prozess, die Angreifer bereits auszunutzen versuchten, eine kritische L\u00fccke in Drupal Commerce wird gegen Onlineshops ausgenutzt, und die CISA nimmt zwei weitere L\u00fccken aus der Ivanti-Connect-Secure-Kette in den KEV-Katalog auf. Au\u00dferdem trifft Ransomware Synology-NAS-Systeme mit veraltetem DSM, und eine L\u00fccke in TeamViewer erm\u00f6glicht die \u00dcbernahme eines Helpdesks.<\/strong><\/p>\n<ul>\n<li><a href=\"#wordpress\">WordPress 7.1.4 schlie\u00dft RCE-L\u00fccke im Update-Prozess: Angreifer versuchten es bereits Stunden nach dem Patch<\/a><\/li>\n<li><a href=\"#drupal\">Drupal Commerce Core: Kritische L\u00fccke im Shop-Modul wird bereits ausgenutzt<\/a><\/li>\n<li><a href=\"#ivanti\">Ivanti Connect Secure: CISA nimmt zwei weitere L\u00fccken aus der ausgenutzten Kette in den KEV-Katalog auf<\/a><\/li>\n<li><a href=\"#synology\">Synology-NAS-Systeme \u00fcber L\u00fccke aus dem Jahr 2024 von Ransomware getroffen<\/a><\/li>\n<li><a href=\"#teamviewer\">TeamViewer-L\u00fccke l\u00e4sst Angreifer das System eines Helpdesk-Mitarbeiters \u00fcbernehmen<\/a><\/li>\n<\/ul>\n<h4 id=\"wordpress\">WordPress 7.1.4 schlie\u00dft RCE-L\u00fccke im Update-Prozess: Angreifer versuchten es bereits Stunden nach dem Patch<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nicht authentifizierte Remote Code Execution in WordPress Core 4.7 bis einschlie\u00dflich 7.1.3 w\u00e4hrend eines Core-Updates mit dem vollst\u00e4ndigen WordPress-Paket. Bei einem solchen Update werden Dateien in ein vorhersehbares Verzeichnis unter wp-content\/upgrade entpackt, einschlie\u00dflich des Installationsskripts. Es handelt sich um eine Race Condition<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben (Advisory GHSA-4w3m-c66w-69mg)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,1<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Wordfence blockierte innerhalb von 24 Stunden 62.969 Angriffe, kurz nach dem Patch vom 28. Oktober 2026<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, WordPress 7.1.4 (28. Oktober 2026); Sicherheitsfixes werden auf alle unterst\u00fctzten Zweige zur\u00fcckportiert, derzeit bis einschlie\u00dflich 4.7<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Das Zeitfenster, in dem die L\u00fccke funktioniert, ist klein: Nur w\u00e4hrend eines Core-Updates mit dem vollst\u00e4ndigen Paket liegt das Installationsskript vor\u00fcbergehend in einem erreichbaren Verzeichnis. Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/wordpress-rce-flaw-draws-nearly-63000.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> blockierte Wordfence innerhalb von 24 Stunden 62.969 Angriffe, wobei zwei der gr\u00f6\u00dften Quellen mehr als vierzehn Stunden lang kleine Gruppen von Websites abklapperten. Das niederl\u00e4ndische Portal <a href=\"https:\/\/www.security.nl\/posting\/959744\/WordPress+dicht+lek+dat+aanvaller+code+laat+uitvoeren%2C+aanvallen+gemeld\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> berichtet, dass die Angreifer das Installationsskript immer wieder aufrufen, in der Hoffnung, dass ein Versuch genau mit einem Update zusammenf\u00e4llt. Im Labor dauerte das Zeitfenster nur Sekunden. Gemeldet wurde der Fehler von Umut Bayram, wie aus den <a href=\"https:\/\/wordpress.org\/news\/2026\/10\/wordpress-7-1-4\/\" target=\"_blank\" rel=\"noopener\">Release Notes von WordPress 7.1.4<\/a> hervorgeht.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Ein erfolgreicher Angriff f\u00fchrt zur Codeausf\u00fchrung auf dem Webserver, ohne dass sich der Angreifer anmelden muss. F\u00fcr MSPs, die viele WordPress-Sites von Kunden verwalten, ist das relevant, weil Updates oft geb\u00fcndelt und zu festen Zeiten ausgerollt werden. Dasselbe Release schlie\u00dft zudem eine Reihe von Stored-XSS-L\u00fccken sowie eine L\u00fccke, durch die unver\u00f6ffentlichte Customizer-\u00c4nderungen f\u00fcr nicht angemeldete Besucher sichtbar sein k\u00f6nnen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie alle Sites auf 7.1.4. Durchsuchen Sie die Zugriffslogs nach Anfragen an PHP-Dateien unter wp-content\/upgrade (etwa setup-config.php) und pr\u00fcfen Sie die Sites auf unbekannte Administratorkonten, Plugins und PHP-Dateien. Rollen Sie Full-Package-Updates in m\u00f6glichst kurzer Zeit aus, vorzugsweise hinter einer Firewallregel, die das Installationsskript von au\u00dfen blockiert.<br \/>\n<a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"drupal\">Drupal Commerce Core: Kritische L\u00fccke im Shop-Modul wird bereits ausgenutzt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Access Bypass im Drupal-Modul Commerce Core: Bestimmte Routen und Entity-Felder sind unzureichend gesch\u00fctzt. Betroffen sind Versionen vor 8.x-2.41 sowie die Versionen 3.0.0 bis 3.3.13. Drupal bewertet die L\u00fccke mit einem Risikowert von 21 von 25 (hochkritisch); sie ist ohne Authentifizierung ausnutzbar<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-118539 (Drupal-Advisory SA-CONTRIB-2026-254)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut der Drupal-Advisory vom 28. Oktober 2026<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Commerce Core 3.3.13 f\u00fcr den 3.x-Zweig und 8.x-2.41 f\u00fcr \u00e4ltere Sites<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Drupal nennt keine Details zu den betroffenen Routen und Feldern. Laut der <a href=\"https:\/\/www.drupal.org\/sa-contrib-2026-254\" target=\"_blank\" rel=\"noopener\">Advisory von Drupal<\/a> kann ein Angreifer ohne Konto Zugriffskontrollen umgehen, was f\u00fcr den Shop-Betreiber m\u00f6glicherweise finanziellen Schaden bedeutet. <a href=\"https:\/\/www.security.nl\/posting\/959769\/Drupal+waarschuwt+voor+misbruik+van+kritiek+lek+dat+webshops+financieel+raakt\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> berichtet, dass Drupal die Ausnutzung in freier Wildbahn best\u00e4tigt. Die Advisory wurde vom Drupal Security Team ver\u00f6ffentlicht; gemeldet wurde die L\u00fccke von Dan Puccetti, Marcus Johansson und Robert Snyder.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/itdaily.com\/news\/security\/drupal-commerce-cve-2026-118539-access-flaw\/\" target=\"_blank\" rel=\"noopener\">ITdaily<\/a> k\u00f6nnen Angreifer nicht \u00f6ffentliche Daten einsehen und Daten ver\u00e4ndern. Bei einem Onlineshop betrifft das Bestellungen und Betr\u00e4ge \u2013 und damit direkten finanziellen Schaden und Kundenbeschwerden.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Ermitteln Sie, welche Kunden Drupal Commerce einsetzen, und aktualisieren Sie Commerce Core auf 3.3.13 oder 8.x-2.41. Drupal fordert ausdr\u00fccklich dazu auf, Bestellungen auf Unregelm\u00e4\u00dfigkeiten zu pr\u00fcfen; sehen Sie sich also auch die Bestellungen seit dem 28. Oktober an. Der Drupal-7-Zweig (1.x) f\u00e4llt laut ITdaily nicht unter die Advisory.<br \/>\n<a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"ivanti\">Ivanti Connect Secure: CISA nimmt zwei weitere L\u00fccken aus der ausgenutzten Kette in den KEV-Katalog auf<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Drei miteinander verkettbare L\u00fccken in Ivanti Connect Secure. Neben dem bereits bekannten Authentifizierungs-Bypass stehen nun auch eine L\u00fccke, \u00fcber die ein authentifizierter Angreifer Dateien mit eigenem Inhalt an einem bekannten Ort ablegen kann (vorhersehbare Identifier), sowie eine lokale Privilege Escalation (fehlende Authentifizierung f\u00fcr eine kritische Funktion) im Katalog<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-104935 (Authentifizierungs-Bypass und RCE), CVE-2026-118527 und CVE-2026-111357<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,6 f\u00fcr CVE-2026-104935; f\u00fcr die beiden neu aufgenommenen L\u00fccken nennt die CISA keinen Score<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, die CISA hat CVE-2026-118527 und CVE-2026-111357 am 30. Oktober 2026 in den KEV-Katalog aufgenommen; die Kette wird seit Anfang Oktober ausgenutzt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Teilweise, Ivanti hat einen Teil der Kette in Release 25.1.3.0 behoben; die CISA fordert Mitigationen gem\u00e4\u00df den Anweisungen von Ivanti<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.cybersecuritydive.com\/news\/hacker-ivanti-connect-secure-chained-exploitation\/832983\/\" target=\"_blank\" rel=\"noopener\">Cybersecurity Dive<\/a> beschrieb Volexity am 13. Oktober eine Kette aus drei L\u00fccken, die von einer Gruppe genutzt wird, die Volexity UTA0576 nennt. Der Angreifer suchte nach Active-Directory-Daten, BitLocker-Wiederherstellungsschl\u00fcsseln und LAPS-Passw\u00f6rtern und l\u00f6schte Spuren aus Debug- und Audit-Logs. Im <a href=\"https:\/\/www.cisa.gov\/sites\/default\/files\/feeds\/known_exploited_vulnerabilities.json\" target=\"_blank\" rel=\"noopener\">KEV-Katalog der CISA<\/a> stehen seit dem 30. Oktober auch die beiden anderen Bestandteile dieser Kette, mit dem 13. November als Frist f\u00fcr den Datei-Upload und dem 2. November f\u00fcr die Privilege Escalation.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Eine Connect-Secure-Appliance steht am Netzwerkrand und h\u00e4lt den Zugang zum internen Netzwerk. Wer die Appliance \u00fcbernimmt, kann von dort aus Dom\u00e4nendaten sammeln. Die CISA warnt zudem, dass das Integrity Checker Tool von Ivanti einen Einbruch \u00fcbersehen kann, weil Befehle im Arbeitsspeicher laufen. Bei der Privilege Escalation verlangt die CISA eine forensische Untersuchung.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Stellen Sie fest, welche Kunden Connect Secure einsetzen, und folgen Sie der <a href=\"https:\/\/hub.ivanti.com\/s\/article\/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935\" target=\"_blank\" rel=\"noopener\">Advisory von Ivanti<\/a>. Verlassen Sie sich nicht allein auf den Integrity Checker: Lassen Sie die Appliances forensisch untersuchen, tauschen Sie Passw\u00f6rter und Schl\u00fcssel aus, die \u00fcber die Appliance erreichbar waren, und pr\u00fcfen Sie Active Directory auf verd\u00e4chtige LDAP- und Kerberos-Aktivit\u00e4ten.<br \/>\n<a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"synology\">Synology-NAS-Systeme \u00fcber L\u00fccke aus dem Jahr 2024 von Ransomware getroffen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ransomware (C3rb3r\/Locked3d), die aus dem Internet erreichbare Synology-NAS-Systeme mit veralteten DSM-Versionen verschl\u00fcsselt. Ein Opfer nennt die L\u00fccke aus Advisory Synology-SA-24:20 als wahrscheinlichen Einstiegspunkt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2024-10441 (laut einem Opfer der wahrscheinliche Einstiegspunkt, nicht best\u00e4tigt)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Synology hat dies am 29. Oktober 2026 best\u00e4tigt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit Dezember 2024; welche DSM-Versionen sicher sind, steht in Advisory Synology-SA-24:20<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.security.nl\/posting\/959731\/Synology+NAS-systemen+via+oud+beveiligingslek+getroffen+door+ransomware\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> meldeten sich betroffene Nutzer auf Reddit. Synology schreibt in einer <a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/C3RB3R\" target=\"_blank\" rel=\"noopener\">Stellungnahme<\/a>, dass Angreifer eine L\u00fccke aus dem Dezember 2024 auf Ger\u00e4ten mit veraltetem DSM ausnutzen, um Daten zu verschl\u00fcsseln und L\u00f6segeld zu fordern. \u00dcber die Zahl der Opfer ist nichts bekannt.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Ein verschl\u00fcsseltes NAS bedeutet den Verlust von Dateien und oft auch von lokalen Backups, die auf demselben Ger\u00e4t liegen. F\u00fcr KMU ohne separate Kopie ist das sofort eine Betriebsst\u00f6rung. Einige Opfer k\u00f6nnen laut einer GitHub-Anleitung (c3rb3r-rescue) in bestimmten F\u00e4llen selbst entschl\u00fcsseln.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Inventarisieren Sie die Synology-Systeme bei Ihren Kunden, pr\u00fcfen Sie die DSM-Version anhand von <a href=\"https:\/\/www.synology.com\/zh-tw\/security\/advisory\/Synology_SA_24_20\" target=\"_blank\" rel=\"noopener\">Synology-SA-24:20<\/a> und aktualisieren Sie. Nehmen Sie NAS-Systeme vom offenen Internet, machen Sie sie per VPN zug\u00e4nglich, aktivieren Sie automatische Updates und bewahren Sie Backups offline oder auf einem anderen System auf.<br \/>\n<a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"teamviewer\">TeamViewer-L\u00fccke l\u00e4sst Angreifer das System eines Helpdesk-Mitarbeiters \u00fcbernehmen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow bei der Verarbeitung des Remote-Control-Bildschirms in TeamViewer Full Client (einschlie\u00dflich Portable) f\u00fcr Windows, Linux und macOS sowie in der Remote Control App f\u00fcr Android, Versionen vor 15.83. Dies kann zu einem Denial of Service oder m\u00f6glicherweise zur Codeausf\u00fchrung auf dem System f\u00fchren, das die Verbindung aufbaut<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-111585 (TeamViewer-Bulletin TV-2026-1011)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,8<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, TeamViewer meldet keine bekannte Ausnutzung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, TeamViewer 15.83 (Bulletin vom 27. Oktober 2026); f\u00fcr \u00e4ltere Branches sind eigene Fix-Versionen verf\u00fcgbar<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.security.nl\/posting\/959774\/TeamViewer-lek+laat+aanvaller+systeem+van+helpdesk+overnemen\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> kann ein Angreifer Code auf dem System eines Helpdesk-Mitarbeiters ausf\u00fchren, der sich mit einem System des Angreifers verbindet. Nutzer m\u00fcssen nichts anklicken, und es werden keine Passw\u00f6rter gestohlen; der Mitarbeiter muss lediglich die Verbindung akzeptieren. Remedio meldete die L\u00fccke am 14. August an TeamViewer, siehe die <a href=\"https:\/\/remedio.io\/research\/vulnerability-disclosures\/remote-code-execution-in-teamviewer\/\" target=\"_blank\" rel=\"noopener\">Erl\u00e4uterung von Remedio<\/a>.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Betroffen ist der Arbeitsplatz von Technikern, und der verf\u00fcgt oft \u00fcber weitreichende Rechte bei Kunden. Dasselbe Bulletin schlie\u00dft au\u00dferdem CVE-2026-92372, einen Out-of-Bounds-Write im Decoder f\u00fcr das Bildschirmbild unter Linux und macOS, sowie eine Privilege Escalation unter macOS. Ein infizierter Helpdesk-PC kann so zum Sprungbrett in mehrere Kundenumgebungen werden. Eine Ausnutzung wurde nicht gemeldet.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie die TeamViewer-Clients von Technikern und Servicedesk auf 15.83 oder neuer, gem\u00e4\u00df dem <a href=\"https:\/\/www.teamviewer.com\/en\/resources\/trust-center\/security-bulletins\/tv-2026-1011\/\" target=\"_blank\" rel=\"noopener\">Bulletin TV-2026-1011<\/a>. Akzeptieren Sie bis dahin keine eingehenden Verbindungen von unbekannten Parteien und unterscheiden Sie zwischen Verbindungen zu einem Kunden und Verbindungen zu einem unbekannten System.<br \/>\n<a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>WordPress schlie\u00dft RCE-L\u00fccke im Update-Prozess, Drupal Commerce wird ausgenutzt, Ivanti-Connect-Secure-Kette w\u00e4chst im KEV-Katalog, Synology-Ransomware schl\u00e4gt zu und TeamViewer-L\u00fccke bedroht Helpdesks.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169503,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-zaterdag-31-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-saturday-31-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"WordPress 7.1.4 schlie\u00dft eine bereits angegriffene RCE-L\u00fccke; auch Drupal Commerce, Ivanti, Synology und TeamViewer erfordern sofortiges Handeln.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-125","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=125"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/125\/revisions"}],"predecessor-version":[{"id":126,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/125\/revisions\/126"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=125"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=125"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=125"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}