{"id":175,"date":"2026-10-28T07:41:16","date_gmt":"2026-10-28T06:41:16","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-mittwoch-28-oktober\/"},"modified":"2026-11-02T16:19:04","modified_gmt":"2026-11-02T15:19:04","slug":"patchwork-mittwoch-28-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-mittwoch-28-oktober\/","title":{"rendered":"Patchwork \u2013 Mittwoch, 28. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>Diese Ausgabe dreht sich um zwei Hersteller, die mitten in der MSP-Landschaft stehen. WatchGuard hat gestern achtzehn Advisories f\u00fcr Fireware OS ver\u00f6ffentlicht, davon sieben kritisch, unter anderem mit Pre-Auth-Codeausf\u00fchrung im SIP-Proxy und im Access Portal. Veeam schlie\u00dft einen Autorisierungs-Bypass ohne Authentifizierung in Backup &amp; Replication 13. Au\u00dferdem steht die Brotli-L\u00fccke seit gestern auf der CISA-Liste aktiv ausgenutzter Schwachstellen, mit Exploit-Traffic von einer niederl\u00e4ndischen IP-Adresse, die Patches f\u00fcr die Tailscale-SSH-L\u00fccken sind erschienen, und wir greifen kurz die neuen Fakten rund um PHP2Shell auf: CISA best\u00e4tigt die Ausnutzung, und NetScaler und PAN-OS sind jetzt gepatcht.<\/strong><\/p>\n<ul>\n<li><a href=\"#watchguard\">WatchGuard schlie\u00dft achtzehn L\u00fccken in Fireware OS, sieben davon kritisch<\/a><\/li>\n<li><a href=\"#veeam\">Veeam Backup &amp; Replication 13 anf\u00e4llig f\u00fcr Autorisierungs-Bypass ohne Authentifizierung<\/a><\/li>\n<li><a href=\"#brotli\">Brotli-L\u00fccke in Node.js, .NET und PAN-OS wird aktiv ausgenutzt, CISA nimmt sie in den KEV-Katalog auf<\/a><\/li>\n<li><a href=\"#tailscale\">Tailscale ver\u00f6ffentlicht Patches f\u00fcr SSH-L\u00fccken, die Root-Rechte innerhalb eines Tailnets verschaffen<\/a><\/li>\n<li><a href=\"#php2shell\">PHP2Shell: CISA best\u00e4tigt Ausnutzung, NetScaler und PAN-OS jetzt gepatcht<\/a><\/li>\n<\/ul>\n<h4 id=\"watchguard\">WatchGuard schlie\u00dft achtzehn L\u00fccken in Fireware OS, sieben davon kritisch<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Achtzehn Schwachstellen in WatchGuard Fireware OS 2025.1 bis 2026.4, 12.0 bis 12.12.4 und (T15\/T35) 12.0 bis 12.5.22, dazu eine L\u00fccke im Mobile VPN with SSL-Client f\u00fcr Windows. Sieben sind kritisch, darunter Pre-Auth-Codeausf\u00fchrung \u00fcber den SIP-Proxy, das Access Portal und den AD-Authentifizierungsdienst sowie fehlende Authentifizierung bei der FireCluster-Synchronisation<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-103594, CVE-2026-93865, CVE-2026-93866, CVE-2026-93857, CVE-2026-112709, CVE-2026-112710, CVE-2026-103593 (kritisch); daneben unter anderem CVE-2026-90465, CVE-2026-93434, CVE-2026-111107 und CVE-2026-115495<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,5 (WireGuard-Konfiguration), 9,2 (FireCluster, Access Portal, SIP-Proxy, AD-Authentifizierung), 9,1 (Logging)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, WatchGuard meldet am 27. Oktober 2026 keine Ausnutzung, und es ist kein \u00f6ffentlicher Exploit-Code bekannt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Fireware OS 2026.4, 12.12.4 und 12.5.22; f\u00fcr den SSL-VPN-Client eine neue Client-Version<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>WatchGuard hat die achtzehn Advisories am 27. Oktober auf seinem <a href=\"https:\/\/psirt.watchguard.com\/CVE-2026-93865\" target=\"_blank\" rel=\"noopener\">PSIRT-Portal<\/a> ver\u00f6ffentlicht. Die gef\u00e4hrlichsten betreffen Komponenten, die h\u00e4ufig am Internet h\u00e4ngen. Ein Stack Overflow im SIP-Proxy und ein Integer Overflow im Access Portal lassen sich ohne Anmeldung ausnutzen, sofern eine Policy den SIP-Proxy verwendet oder das Access Portal aktiviert ist. Der AD-Authentifizierungsdienst weist zwei Heap Overflows auf, die ein Angreifer ausnutzen kann, wenn er den Datenverkehr zum AD-Server beeinflussen kann. Der h\u00f6chste Score, 9,5, entf\u00e4llt auf einen Stack Overflow in der WireGuard-Konfiguration, der allerdings TLS-entschl\u00fcsselten Zugriff zwischen der Firebox und WatchGuard Cloud voraussetzt. Bei FireCluster-Konfigurationen fehlt die Authentifizierung im Synchronisations-Daemon, sodass ein Angreifer mit Zugriff auf den Cluster-Link Root-Aktionen einschleusen kann, <a href=\"https:\/\/securityonline.info\/watchguard-fireware-os-vulnerabilities-2\/\" target=\"_blank\" rel=\"noopener\">fasst SecurityOnline zusammen<\/a>.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Codeausf\u00fchrung auf der Firewall selbst und damit die vollst\u00e4ndige Kontrolle \u00fcber den Netzwerkverkehr eines Kunden. Fr\u00fchere WatchGuard-L\u00fccken stehen im KEV-Katalog der CISA, Angreifer kennen das Produkt also, und die Appliances lassen sich \u00fcber Internetscans leicht aufsp\u00fcren. Im niederl\u00e4ndischen Mittelstand steht die Firebox vielerorts am Netzwerkrand, oft bei Kunden, die die Verwaltung vollst\u00e4ndig ihrem MSP \u00fcberlassen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie alle Fireboxen auf 2026.4, 12.12.4 oder 12.5.22 und aktualisieren Sie den Mobile VPN with SSL-Client auf den Windows-Arbeitspl\u00e4tzen. K\u00f6nnen Sie noch nicht patchen, deaktivieren Sie das Access Portal und den SIP-Proxy dort, wo sie nicht ben\u00f6tigt werden, beschr\u00e4nken Sie die Verwaltungsoberfl\u00e4che auf vertrauensw\u00fcrdige Adressen und isolieren Sie den FireCluster-Link. Gehen Sie auch die Liste der T15- und T35-Ger\u00e4te durch, denn diese laufen auf einem eigenen Branch.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"veeam\">Veeam Backup &amp; Replication 13 anf\u00e4llig f\u00fcr Autorisierungs-Bypass ohne Authentifizierung<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Autorisierungs-Bypass im CDP Coordinator Service von Veeam Backup &amp; Replication 13.1.1.18 und \u00e4lter (13.1) sowie 13.0.2.29 und \u00e4lter (13.0), sowohl unter Windows als auch auf der Veeam Software Appliance. Version 12.x ist nicht betroffen. Dasselbe Release schlie\u00dft zwei Path-Traversal-L\u00fccken und eine lokale Privilege Escalation in Veeam Agent for Linux 13.1.1.4 und \u00e4lter<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-108142; daneben CVE-2026-108140, CVE-2026-108141 und CVE-2026-105477<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,1 (CVSS v4); die \u00fcbrigen 5,9 und 7,3<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Veeam meldet am 27. Oktober 2026 keine bekannte Ausnutzung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Backup &amp; Replication 13.1.2 (Build 13.1.2.57) und 13.0.3 (Build 13.0.3.63); Agent for Linux 13.1.2 (Build 13.1.2.11)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.veeam.com\/kb4948\" target=\"_blank\" rel=\"noopener\">Veeam KB4948<\/a> kann ein Angreifer ohne g\u00fcltige Anmeldedaten die Autorisierungspr\u00fcfung des CDP Coordinator Service umgehen und so Operationen auf dem Backup-Server ausf\u00fchren. Die beiden Path-Traversal-L\u00fccken erfordern dagegen ein Konto mit der Rolle Restore Operator und erlauben das Schreiben von Dateien au\u00dferhalb des vorgesehenen Verzeichnisses. Veeam warnt, dass der Patch schnell per Reverse Engineering analysiert werden kann, und fr\u00fchere Veeam-L\u00fccken wurden innerhalb weniger Wochen von Ransomware-Gruppen aufgegriffen.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Der Backup-Server ist f\u00fcr Ransomware-Gruppen das erste Ziel, weil zerst\u00f6rte Backups dem Opfer jede Verhandlungsposition nehmen. Zugriff auf die CDP-Koordination bedeutet Zugriff auf Replikationsjobs und die zugeh\u00f6rigen Umgebungen. F\u00fcr MSPs, die Veeam f\u00fcr Dutzende Kunden betreiben, betrifft ein einziger ungepatchter Server direkt mehrere Umgebungen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie auf 13.1.2 oder 13.0.3 und bringen Sie die Linux-Agents \u00fcber den Backup-Server auf den neuesten Stand. Pr\u00fcfen Sie, ob der Backup-Server aus dem Internet oder aus Kundennetzen \u00fcber die Ports des CDP-Dienstes erreichbar ist, und sperren Sie diesen Zugang, wo er nicht ben\u00f6tigt wird. Die sekund\u00e4re Meldung \u00fcber eine L\u00fccke in Veeam ONE (KB4951, CVSS 8,5) ist zum Zeitpunkt der Ver\u00f6ffentlichung nur aus zweiter Hand bekannt; pr\u00fcfen Sie dieses Bulletin selbst, wenn Sie Veeam ONE 13.1 einsetzen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"brotli\">Brotli-L\u00fccke in Node.js, .NET und PAN-OS wird aktiv ausgenutzt, CISA nimmt sie in den KEV-Katalog auf<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Out-of-Bounds-Write im Brotli-Decoder von Google (Versionen 1.0.3 bis einschlie\u00dflich 1.2.0), mitgeliefert unter anderem in Node.js (vor 22.23.4, 24.22.1 und 26.12.1), .NET (vor 8.0.33, 9.0.22 und 10.0.14), den Windows-Builds von PHP, Bun, Envoy und Istio. Palo Alto Networks PAN-OS 11.2 und 12.x mit Brotli-Inspektion und TLS-Entschl\u00fcsselung sowie VMware SDDC Manager 9.1.1 (CVSS 9,8) sind ebenfalls betroffen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-111497<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2 (CVSS v4, Google); Microsoft setzt 8,1 an<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, CISA hat die L\u00fccke am 27. Oktober 2026 in den KEV-Katalog aufgenommen; ELLIO beobachtete Exploit-Traffic von einer in den Niederlanden geolokalisierten IP-Adresse, Previdian einen Versuch auf einem Honeypot<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja f\u00fcr Brotli (1.0.10, 1.1.1, 1.2.1), Node.js und .NET; PAN-OS teilweise, mehrere Hotfixes folgen zwischen dem 27. und 30. Oktober; VMware SDDC Manager noch ohne Patch, Mitigation in KB460732 und KB460734<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Ein Server, der mit Brotli komprimierte Daten entpackt, kann mit einem pr\u00e4parierten Datenstrom dazu gebracht werden, au\u00dferhalb des Puffers zu schreiben, was zur Codeausf\u00fchrung f\u00fchrt. Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/adobe-commerce-polyshell-attacks-breach.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> beobachtete das Sicherheitsunternehmen ELLIO Exploit-Traffic von der Adresse 94.154.43.7, einer in den Niederlanden geolokalisierten IP, von der zuvor auch PHP2Shell-Angriffe ausgingen. <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/27\/node2shell-broccoli2shell-vulnerability-cve-2026-111497\/\" target=\"_blank\" rel=\"noopener\">Help Net Security<\/a> weist darauf hin, dass die L\u00fccke weit \u00fcber Node.js hinausreicht: Der Decoder steckt auch in .NET, Python-Paketen, Container-Images und Netzwerkger\u00e4ten. Palo Alto Networks hat <a href=\"https:\/\/security.paloaltonetworks.com\/CVE-2026-111497\" target=\"_blank\" rel=\"noopener\">sein Advisory<\/a> am 27. Oktober aktualisiert, und Cisco untersucht noch, welche Produkte betroffen sind.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Das niederl\u00e4ndische NCSC hatte bereits vergangene Woche gewarnt, damals noch ohne bekannte Ausnutzung. Mit der Aufnahme in den KEV-Katalog hat sich das ge\u00e4ndert. Das T\u00fcckische: Ein Update der Systembibliothek erfasst die geb\u00fcndelten Kopien in Node.js, .NET und Container-Images nicht. Jede Anwendung und jedes Image muss separat neu gebaut oder aktualisiert werden. Auf einer Firewall mit Brotli-Inspektion und TLS-Entschl\u00fcsselung ist zudem gerade die Inspektion selbst verwundbar.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Erfassen Sie, wo Brotli mitl\u00e4uft: Node.js-Runtimes, .NET-Dienste, PHP unter Windows, Reverse Proxies und Container-Images. Aktualisieren Sie Node.js auf 22.23.4, 24.22.1 oder 26.12.1 und .NET auf die genannten Runtimes, und bauen Sie Images neu, statt nur das Basis-OS zu patchen. Bei PAN-OS: Pr\u00fcfen Sie, welcher Hotfix f\u00fcr Ihre Version bereits verf\u00fcgbar ist, und deaktivieren Sie die Brotli-Inspektion vor\u00fcbergehend, falls er noch fehlt. F\u00fcr SDDC Manager gilt der Workaround von Broadcom, bis ein Patch vorliegt.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"tailscale\">Tailscale ver\u00f6ffentlicht Patches f\u00fcr SSH-L\u00fccken, die Root-Rechte innerhalb eines Tailnets verschaffen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Elf L\u00fccken in Tailscale SSH, tailscale serve, dem experimentellen App Connector und Headscale, zusammen als Tailworm bezeichnet. Ein autorisierter Benutzer kann \u00fcber SSH-Forwarding Root-only-Sockets erreichen, etwa den Docker-Socket und die API von tailscaled. Gefunden in Tailscale 1.104.2 und Headscale 0.29.5<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben; Tailscale-Bulletins TS-2026-014 bis einschlie\u00dflich TS-2026-017<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Tailscale meldet keine Ausnutzung; der Proof of Concept ist nicht \u00f6ffentlich<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Tailscale 1.104.4; f\u00fcr Headscale war am 28. Oktober noch kein Fix gemeldet. Workaround: SSH-Forwarding mit TS_SSH_DISABLE_FORWARDING=1 deaktivieren<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Die L\u00fccken wurden von Cyberdione Labs entdeckt und am 27. Oktober von den niederl\u00e4ndischen IT-Portalen <a href=\"https:\/\/www.security.nl\/posting\/959265\/\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> und <a href=\"https:\/\/internet.headliner.nl\/item\/tailscale-waarschuwt-voor-lek-waarmee-hackers-rootrechten-kunnen-krijgen-tweakers-223995\" target=\"_blank\" rel=\"noopener\">Tweakers<\/a> gemeldet; Tailscale best\u00e4tigte sie in <a href=\"https:\/\/tailscale.com\/blog\/tailscale-ssh-findings-fixes\" target=\"_blank\" rel=\"noopener\">einem eigenen Blogbeitrag<\/a> zusammen mit dem Fix-Release. Der Kern: Tailscale SSH l\u00e4uft als Root und lie\u00df einen angemeldeten Benutzer per Unix-Socket-Forwarding an Sockets gelangen, f\u00fcr die dieser Benutzer normalerweise keine Rechte hat. \u00dcber den Docker-Socket oder die tailscaled-API sind das nur wenige Schritte bis zu Root auf dem Host, und von diesem Host aus kann ein Angreifer denselben Trick auf anderen Nodes im selben Tailnet wiederholen. Daher der Name, der auf Wurmf\u00e4higkeit anspielt.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Viele MSPs und kleine IT-Teams nutzen Tailscale als Verwaltungsschicht zu Kundenservern, gerade weil es so einfach ist. Ein einziges kompromittiertes Ger\u00e4t mit SSH-Zugang gen\u00fcgt dann, um \u00fcber das Tailnet auf anderen Servern Root zu werden. Wie gro\u00df die Angriffsfl\u00e4che ist, h\u00e4ngt von den SSH-Policies ab: Je gro\u00dfz\u00fcgiger der Zugang, desto gr\u00f6\u00dfer die Reichweite.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie alle Nodes auf 1.104.4 und \u00fcberpr\u00fcfen Sie die SSH-Policies, damit nur die Konten SSH-Zugang erhalten, die ihn wirklich ben\u00f6tigen. Betreiben Sie Headscale als Control Server, deaktivieren Sie SSH-Forwarding \u00fcber die Umgebungsvariable, bis ein Fix vorliegt. Pr\u00fcfen Sie auf Nodes mit Docker, ob der Socket unbeabsichtigt erreichbar war, und durchsuchen Sie die Audit-Logs von Tailscale nach unerwarteten SSH-Sitzungen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"php2shell\">PHP2Shell: CISA best\u00e4tigt Ausnutzung, NetScaler und PAN-OS jetzt gepatcht<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Die beiden PHP-L\u00fccken der vergangenen Woche, jetzt auch in Citrix NetScaler und Palo Alto Networks PAN-OS gepatcht<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-109618, CVE-2026-109619<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit 26. Oktober 2026 von CISA best\u00e4tigt (KEV-Katalog); erste unabh\u00e4ngig best\u00e4tigte erfolgreiche Shells auf Honeypots<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; jetzt auch Updates f\u00fcr NetScaler und PAN-OS<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Was ist neu?<\/strong><\/p>\n<p>Patchwork <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-woensdag-21-oktober\/\" target=\"_blank\" rel=\"noopener\">hat bereits vergangene Woche \u00fcber PHP2Shell berichtet<\/a>; seitdem hat sich dreierlei ge\u00e4ndert. CISA hat beide L\u00fccken am Montag in den KEV-Katalog aufgenommen und damit die Ausnutzung best\u00e4tigt, nachdem die Beh\u00f6rde vergangene Woche noch keine erfolgreichen Angriffe gesehen hatte, <a href=\"https:\/\/www.theregister.com\/cyber-crime\/2026\/10\/27\/cisa-confirms-php2shell-under-attack-as-researchers-clock-successful-exploits\/5305681\" target=\"_blank\" rel=\"noopener\">berichtet The Register<\/a>. Der Forscher Adel Karimi z\u00e4hlte am 24. Oktober 35 erfolgreiche Shell-Ausf\u00fchrungen auf Honeypots, und das Threat Intelligence Lab der TU Delft registrierte gut 50.000 Exploit-Anfragen von mehr als 600 IP-Adressen aus siebzig L\u00e4ndern. Sophos und Palo Alto haben fr\u00fchere Angaben zu erfolgreichen Einbr\u00fcchen dagegen zur\u00fcckgezogen. Zudem haben Citrix (NetScaler, kritisch) und Palo Alto Networks (PAN-OS, hoch) eigene Patches ver\u00f6ffentlicht, <a href=\"https:\/\/www.security.nl\/posting\/959263\/\" target=\"_blank\" rel=\"noopener\">schreibt Security.nl<\/a>, wobei Palo Alto geplante Releases vorgezogen hat.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Stand NetScaler oder PAN-OS bei Ihnen noch auf der Liste als \u201eWarten auf den Hersteller\u201c, k\u00f6nnen Sie diesen Punkt jetzt abhaken. Das NCSC sch\u00e4tzt die Wahrscheinlichkeit einer gro\u00dffl\u00e4chigen Ausnutzung inzwischen geringer ein, doch Shadowserver z\u00e4hlt in den Niederlanden noch fast 20.000 PHP-Installationen ohne Support, die keinen Patch mehr erhalten. Dort helfen nur ein Upgrade oder das Abschalten.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>WatchGuard ver\u00f6ffentlicht 18 Advisories f\u00fcr Fireware OS, sieben davon kritisch, mit Pre-Auth-Codeausf\u00fchrung. Veeam schlie\u00dft einen Autorisierungs-Bypass ohne Authentifizierung in Backup &#038; Replication 13.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169449,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-woensdag-28-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-wednesday-28-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Diese Ausgabe dreht sich um zwei Hersteller, die mitten in der MSP-Landschaft stehen: WatchGuard und Veeam.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-175","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/175","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=175"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/175\/revisions"}],"predecessor-version":[{"id":176,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/175\/revisions\/176"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=175"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=175"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=175"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=175"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}