{"id":163,"date":"2026-10-30T07:44:37","date_gmt":"2026-10-30T06:44:37","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-freitag-30-oktober\/"},"modified":"2026-11-02T16:11:36","modified_gmt":"2026-11-02T15:11:36","slug":"patchwork-freitag-30-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-freitag-30-oktober\/","title":{"rendered":"Patchwork \u2013 Freitag, 30. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe dreht sich alles um Firewalls, Unternehmenssoftware und Server. Cisco best\u00e4tigt, dass Angreifer ASA- und FTD-Firewalls \u00fcber das SSL-VPN zum Neustart bringen, Angreifer kundschaften eine kritische L\u00fccke in Oracle E-Business Suite aus, ein Kernelfehler im TCP-Stack von Linux wartet bei Ubuntu und Red Hat noch auf einen Patch und die GitLab-L\u00fccke mit CVSS 10,0 steht nun im CISA-Katalog, nachdem Alpine Linux angegriffen wurde.<\/strong><\/p>\n<ul>\n<li><a href=\"#cisco\">Cisco ASA und FTD: Angreifer bringen Firewalls \u00fcber das SSL-VPN zum Neustart<\/a><\/li>\n<li><a href=\"#oracle\">Oracle E-Business Suite: Kritische SQL-Injection-L\u00fccke wird ausgekundschaftet, Horizon3 ver\u00f6ffentlicht Indikatoren<\/a><\/li>\n<li><a href=\"#linux\">Linux-Kernel: TCP-Fehler erm\u00f6glicht wom\u00f6glich Root-Rechte, Ubuntu und Red Hat haben noch keinen Patch<\/a><\/li>\n<li><a href=\"#gitlab\">GitLab-L\u00fccke mit CVSS 10,0: Jetzt aktiv ausgenutzt und in den CISA-Katalog aufgenommen<\/a><\/li>\n<\/ul>\n<h4 id=\"cisco\">Cisco ASA und FTD: Angreifer bringen Firewalls \u00fcber das SSL-VPN zum Neustart<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Logikfehler in Cisco Secure Firewall ASA Software und Secure Firewall Threat Defense (FTD) Software beim Remote Access SSL VPN, wenn f\u00fcr eine Tunnelgruppe eine sekund\u00e4re Authentifizierung eingerichtet ist. Ein Angreifer ohne Zugangsdaten kann das Ger\u00e4t zum Neustart bringen (Denial of Service)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-76418<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,6 (hoch)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Cisco PSIRT erfuhr im Oktober 2026 von der Ausnutzung. CISA nahm die L\u00fccke am 29. Oktober 2026 in den KEV-Katalog auf<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja. ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 und 9.24.10.1. FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut dem <a href=\"https:\/\/sec.cloudapps.cisco.com\/security\/center\/content\/CiscoSecurityAdvisory\/cisco-sa-asaftd-tunnel-dos-s6mgkb75\" target=\"_blank\" rel=\"noopener\">Cisco-Advisory<\/a> vom 28. Oktober gen\u00fcgt eine speziell pr\u00e4parierte Anfrage beim Verbindungsaufbau mit dem SSL Remote Access VPN. Ein erfolgreicher VPN-Login ist daf\u00fcr nicht erforderlich. Verwundbar ist eine Firewall, auf der der VPN-Login-Dienst erreichbar ist und f\u00fcr eine Tunnelgruppe eine sekund\u00e4re Authentifizierung eingerichtet ist. Das gilt auch f\u00fcr die Standardgruppe DefaultWEBVPNGroup. <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisco-patches-actively-exploited-asa.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> berichtet, dass Cisco keine Details zum Beginn der Angriffe, zu den T\u00e4tern oder zum Ausma\u00df nennt. Es ist bereits das zweite Mal seit August, dass Cisco eine ausgenutzte Zero-Day-L\u00fccke im VPN-Dienst dieser Firewalls behebt.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Soweit bekannt, f\u00fchrt dies weder zu Datendiebstahl noch zur Ausf\u00fchrung von Code. Der Angreifer kann die Firewall jedoch wiederholt neu starten lassen, wodurch der Remote-Zugang aller Nutzer hinter diesem Ger\u00e4t ausf\u00e4llt. F\u00fcr einen MSP, der f\u00fcr viele KMU-Kunden das VPN verwaltet, bedeutet das Ausf\u00e4lle an mehreren Standorten gleichzeitig.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie auf eine der korrigierten Versionen. Ist das nicht sofort m\u00f6glich, pr\u00fcfen Sie in der Konfiguration, ob f\u00fcr eine Tunnelgruppe eine sekund\u00e4re Authentifizierung eingerichtet ist. Ist das der Fall, k\u00f6nnen Sie diese vor\u00fcbergehend deaktivieren. Cisco betrachtet dies als Notl\u00f6sung, die die Sicherheit des VPN verringert, und f\u00fcr die Standardgruppe gilt, dass das Deaktivieren der Tunnelgruppenliste nur hilft, wenn diese Gruppe selbst keine sekund\u00e4re Authentifizierung verwendet. Suchen Sie zudem in den Logs nach unerwarteten Neustarts von ASA- und FTD-Ger\u00e4ten seit Anfang Oktober.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"oracle\">Oracle E-Business Suite: Kritische SQL-Injection-L\u00fccke wird ausgekundschaftet, Horizon3 ver\u00f6ffentlicht Indikatoren<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection ohne Authentifizierung im Thin-Client-Framework-Servlet der Application Object Library in Oracle E-Business Suite 12.2.3 bis einschlie\u00dflich 12.2.15, verkettbar bis zur Codeausf\u00fchrung auf dem Applikationshost<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-101767<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,8 (kritisch)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, zumindest Erkundungsversuche: Defused beobachtete sie am 27. Oktober 2026 in seinem EBS-Honeypot. Oracle meldet, dass Angreifer bei Kunden erfolgreich waren, die den Patch nicht installiert hatten<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, im Critical Patch Update vom Oktober 2026 (20. Oktober). Vor\u00fcbergehende Abhilfe: das Servlet \/OA_HTML\/AppsTCFServer aus der URL-Allowlist der Firewall entfernen und den Webtier auf vertrauensw\u00fcrdige Netzwerke beschr\u00e4nken<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/29\/oracle-e-business-suite-cve-2026-101767-exploitation\/\" target=\"_blank\" rel=\"noopener\">Help Net Security<\/a> entdeckten die Horizon3.ai-Forscher Brandon Peterson, Jimi Sebree und Noah King den Fehler und meldeten ihn am 24. Juli an Oracle. Oracle bezeichnet die L\u00fccke als leicht ausnutzbar und \u00fcber HTTP erreichbar. Ein Angreifer, der das Servlet erreicht, f\u00fchrt SQL als Datenbankbenutzer APPS aus. Horizon3.ai ver\u00f6ffentlichte <a href=\"https:\/\/horizon3.ai\/attack-research\/vulnerabilities\/cve-2026-101767\/\" target=\"_blank\" rel=\"noopener\">Indicators of Compromise<\/a>, und Censys z\u00e4hlte 2.246 Webpr\u00e4senzen mit E-Business Suite. Dabei handelt es sich um Hostnamen und Ports, die Zahl der eindeutigen Systeme liegt also niedriger.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Je nach Installation liegen Finanzdaten, Gehaltsabrechnung, HR und Einkauf offen und k\u00f6nnen gelesen und ver\u00e4ndert werden. Anschlie\u00dfend kann der Angreifer Befehle auf dem Applikationshost ausf\u00fchren. Das <a href=\"https:\/\/www.oracle.com\/security-alerts\/cpuoct2026.html\" target=\"_blank\" rel=\"noopener\">Critical Patch Update<\/a> ist bereits seit elf Tagen verf\u00fcgbar, daher sind Umgebungen, die es noch nicht eingespielt haben, jetzt das Ziel.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie bei Kunden mit Oracle E-Business Suite, ob das Oktober-Update installiert ist. Entfernen Sie bis dahin das AppsTCFServer-Servlet aus der Allowlist und schotten Sie den Webtier vom Internet ab. Gleichen Sie die Indikatoren von Horizon3.ai mit den Logs von Webtier und Datenbank ab, insbesondere auf verd\u00e4chtige Aufrufe von \/OA_HTML\/AppsTCFServer seit dem 27. Oktober.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"linux\">Linux-Kernel: TCP-Fehler erm\u00f6glicht wom\u00f6glich Root-Rechte, Ubuntu und Red Hat haben noch keinen Patch<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Race Condition beim Aufbau von IPv4-TCP-Verbindungen im Linux-Kernel, die zu einem Use-after-free f\u00fchrt. Der Fehler steckt seit Version 4.4 im Kernel. IPv6 ist nicht betroffen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-98432<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,8 laut dem Kernel-CVE-Team. Red Hat, Oracle und SUSE kommen auf 5,9 bis 8,1 und Amazon auf 7,0, weil die Race Condition schwer zu gewinnen ist<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, keine Ausnutzung gemeldet und nicht im CISA-Katalog (Stand 29. Oktober). Allerdings hat Anthropic einen funktionierenden Exploit beschrieben, der nicht \u00f6ffentlich ist<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Teilweise. Kernel 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 und 7.3 enthalten den Fix. Debian, Oracle Linux (UEK) und Amazon Linux 2023 haben gepatcht. Ubuntu und Red Hat noch nicht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Beim Abschluss eines Verbindungsaufbaus \u00fcbergibt der Kernel die IP-Optionen der wartenden Anfrage an den neuen Socket, ohne sie zu kopieren. Wird dieser Socket zerst\u00f6rt, w\u00e4hrend ein anderer Prozessorkern die Optionen noch verwendet, liest der Kernel bereits freigegebenen Speicher. Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/linux-kernel-tcp-flaw-with-98-cvss.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> meldete Xinyang Ge von Anthropic den Fehler. Anthropic schreibt, sein KI-Modell Claude habe einen Exploit erstellt, der in zwei Phasen zun\u00e4chst die Kerneladressen (KASLR) umgeht und anschlie\u00dfend einen Befehl als Root ausf\u00fchrt, im Test nach etwa 48 Minuten plus 5 Minuten. Ziel war ein Server mit einem MPTCP-Listener. Ob das Deaktivieren von MPTCP hilft, ist nicht best\u00e4tigt, denn die CVE-Beschreibung und der <a href=\"https:\/\/git.kernel.org\/pub\/scm\/linux\/kernel\/git\/torvalds\/linux.git\/commit\/?id=e3f33b0a1d89d738e2b913dab519226eaf76e15b\" target=\"_blank\" rel=\"noopener\">Kernel-Fix<\/a> erw\u00e4hnen MPTCP nicht.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Nahezu jeder Linux-Server mit IPv4 f\u00e4llt unter die betroffenen Versionsreihen. Red Hat erwartet vor allem einen Kernel-Absturz, Speicherkorruption und damit Root-Rechte sind theoretisch jedoch m\u00f6glich. Stand 29. Oktober sind Ubuntu 22.04 bis einschlie\u00dflich 26.10 in Bearbeitung, f\u00fcr Ubuntu 16.04, 18.04 und 20.04 gibt es keinen Fix. Bei RHEL 8, 9 und 10 sowie OpenShift 4 ist der Fix zur\u00fcckgestellt. RHEL 7 ist nicht betroffen. Red Hat nennt keine Abhilfema\u00dfnahme, die den eigenen Anforderungen gen\u00fcgt.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Installieren Sie, wo m\u00f6glich, den korrigierten Kernel und starten Sie das System neu. Erstellen Sie eine Liste der Server mit Ubuntu, RHEL und Amazon Linux 2, denn dort gibt es noch keinen Patch, und verfolgen Sie die CVE-Seiten von <a href=\"https:\/\/ubuntu.com\/security\/CVE-2026-98432\" target=\"_blank\" rel=\"noopener\">Ubuntu<\/a> und <a href=\"https:\/\/access.redhat.com\/security\/cve\/cve-2026-98432\" target=\"_blank\" rel=\"noopener\">Red Hat<\/a>. Blockieren Sie bis dahin, wo m\u00f6glich, eingehenden Datenverkehr aus nicht vertrauensw\u00fcrdigen Netzwerken zu nicht \u00f6ffentlichen Diensten und setzen Sie Server mit MPTCP ganz oben auf die Liste.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"gitlab\">GitLab-L\u00fccke mit CVSS 10,0: Jetzt aktiv ausgenutzt und in den CISA-Katalog aufgenommen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow in der Regex-Engine Onigmo (Ruby) in GitLab Community und Enterprise Edition. Ein manipulierter regul\u00e4rer Ausdruck in einer CI\/CD-Konfiguration erm\u00f6glicht einem Angreifer ohne Zugangsdaten die Codeausf\u00fchrung auf dem GitLab-Server<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-97229<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">10,0 (kritisch)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja. CISA nahm die L\u00fccke am 29. Oktober 2026 in den KEV-Katalog auf. Alpine Linux registrierte am 20. und 21. Oktober Angriffsversuche auf seinen eigenen GitLab-Server<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, GitLab-Patch vom 12. Oktober und Patch-Release 19.4.2. Bei einer eigenen Ruby-Installation ist zus\u00e4tzlich Ruby 3.3.13, 3.4.12 oder 4.0.9 (oder neuer) erforderlich<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Im <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-maandag-26-oktober\/\" target=\"_blank\" rel=\"noopener\">Patchwork vom Montag, 26. Oktober<\/a> ging es um eine andere GitLab-L\u00fccke mit CVSS 10,0 in derselben Regex-Engine. Neu ist heute, dass die fr\u00fchere L\u00fccke vom 12. Oktober nun in freier Wildbahn ausgenutzt wird und dass das GitLab-Update allein nicht immer ausreicht.<\/p>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut dem <a href=\"https:\/\/alpinelinux.org\/posts\/GitLab-security-incident-CVE-2026-97229.html\" target=\"_blank\" rel=\"noopener\">Incident-Bericht von Alpine Linux<\/a> installierte das Projekt am 13. Oktober versehentlich GitLab 19.3.4 statt 19.3.5, das den Fix enthielt. Am 20. und 21. Oktober schickte ein neu registriertes Konto manipulierte CI-Konfigurationen an den Server. Die GitLab-Worker-Prozesse st\u00fcrzten achtmal ab, in vier F\u00e4llen kam der Angreifer einen Schritt weiter, doch der n\u00e4chste Schritt scheiterte. Der Angreifer lud au\u00dferdem das GitLab-Container-Image herunter, vermutlich um den Exploit auf den exakten Build abzustimmen. Alpine fand keine Belege f\u00fcr eine Codeausf\u00fchrung, kann diese aber nicht ausschlie\u00dfen und hat den Server daher neu aufgesetzt, mit neuen Passw\u00f6rtern und neuen geheimen Schl\u00fcsseln. Ein erfolgreicher Angriff hinterl\u00e4sst laut Alpine weder einen Absturz noch Spuren in den Weblogs. Das niederl\u00e4ndische Portal <a href=\"https:\/\/www.security.nl\/posting\/959619\/Linux-distributie+Alpine+Linux+aangevallen+via+kritiek+GitLab-lek\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> beschreibt den Vorfall ebenfalls.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Mit einem erfolgreichen Angriff gelangt ein Angreifer an Passwort-Hashes, 2FA-Secrets, CI\/CD-Variablen, Runner-Tokens, pers\u00f6nliche Zugriffstokens und private Repositorys. F\u00fcr einen MSP oder ein Entwicklerteam sind gerade diese CI\/CD-Secrets wertvoll, denn sie verschaffen Zugang zu Kundenumgebungen. Im KEV-Hinweis hei\u00dft es, dass auch andere Produkte denselben zugrunde liegenden Ruby-Fehler aufweisen k\u00f6nnen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie bei selbst gehostetem GitLab sowohl die GitLab-Version als auch die Ruby-Version. Offizielle GitLab-Pakete und -Images enthalten den Ruby-Fix bereits, bei einer selbst kompilierten Installation oder einem Image mit eigener Ruby-Version ist er jedoch erforderlich, wie in der <a href=\"https:\/\/www.ruby-lang.org\/en\/news\/2026\/10\/23\/regexp-fixes-for-gitlab-cves\" target=\"_blank\" rel=\"noopener\">Ruby-Ank\u00fcndigung<\/a> beschrieben. Ist der Server von au\u00dfen erreichbar und lief er in den Tagen nach dem 12. Oktober noch auf einer verwundbaren Version, behandeln Sie ihn als m\u00f6glicherweise kompromittiert: Ersetzen Sie Tokens, Secrets und Passw\u00f6rter und suchen Sie in den Logs nach Worker-Abst\u00fcrzen und neuen Konten.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Cisco-Firewalls werden \u00fcber das SSL-VPN lahmgelegt, Oracle E-Business Suite wird ausgekundschaftet, ein Linux-Kernelfehler wartet bei Ubuntu und Red Hat auf einen Patch und die GitLab-L\u00fccke wird ausgenutzt.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169490,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-vrijdag-30-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-friday-30-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Cisco ASA und FTD werden aktiv ausgenutzt, Oracle EBS und ein Linux-Kernelfehler sind kritisch, die GitLab-L\u00fccke mit CVSS 10,0 steht im CISA-Katalog.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-163","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/163","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=163"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/163\/revisions"}],"predecessor-version":[{"id":164,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/163\/revisions\/164"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=163"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=163"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=163"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=163"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}