{"id":179,"date":"2026-10-27T07:41:05","date_gmt":"2026-10-27T06:41:05","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-dienstag-27-oktober\/"},"modified":"2026-11-02T16:21:10","modified_gmt":"2026-11-02T15:21:10","slug":"patchwork-dienstag-27-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-dienstag-27-oktober\/","title":{"rendered":"Patchwork \u2013 Dienstag, 27. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe dreht sich alles um PHP, das auf den meisten Webservern l\u00e4uft: Zwei kritische L\u00fccken werden nachweislich aktiv ausgenutzt und stehen seit gestern im CISA-Katalog. Au\u00dferdem stehlen Angreifer Microsoft-365-Tokens, gegen die MFA keine H\u00fcrde mehr darstellt, und Tailscale SSH wartet auf einen Patch gegen eine schwerwiegende Rechteausweitung.<\/strong><\/p>\n<ul>\n<li><a href=\"#php\">Kritische PHP2Shell-L\u00fccken in PHP werden aktiv ausgenutzt: CISA gibt US-Beh\u00f6rden bis zum 29. Oktober Zeit<\/a><\/li>\n<li><a href=\"#m365\">Token-Replay in Microsoft 365: 97 Konten bei 79 Organisationen trotz MFA \u00fcbernommen<\/a><\/li>\n<li><a href=\"#tailscale\">Tailscale SSH: Forscherin zeigt Rechteausweitung bis Root, Patch innerhalb von 24 Stunden erwartet<\/a><\/li>\n<\/ul>\n<h4 id=\"php\">Kritische PHP2Shell-L\u00fccken in PHP werden aktiv ausgenutzt: CISA gibt US-Beh\u00f6rden bis zum 29. Oktober Zeit<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Zwei kritische Schwachstellen in PHP (PHP2Shell), die ohne Authentifizierung die Ausf\u00fchrung von Code aus der Ferne erm\u00f6glichen: eine Speicherbesch\u00e4digung bei Speichermangel und ein veralteter interner Request-Status<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-109618 und CVE-2026-109619<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2 (beide)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja. CISA hat beide am 26. Oktober 2026 in den KEV-Katalog aufgenommen; erfolgreiche Codeausf\u00fchrung auf einem Honeypot am 24. Oktober gemeldet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (ver\u00f6ffentlicht am 21. Oktober 2026)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde das ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-confirms-active-exploitation-of.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> meldete Adel Karimi von Perplexity am 24. Oktober, dass er auf Honeypots mit einem \u00f6ffentlichen Exploit erfolgreich Code ausf\u00fchren konnte. Er weist allerdings darauf hin, dass dies in einem bewusst g\u00fcnstigen Setup mit einem einzigen mod_php-Worker geschah; wie zuverl\u00e4ssig der Angriff bei anderen Konfigurationen funktioniert, ist daher noch unklar. Unit 42 von Palo Alto Networks hat unterdessen die Behauptung zur\u00fcckgezogen, ein Einbruch bei einer europ\u00e4ischen Regierungsstelle habe mit diesen L\u00fccken zu tun gehabt.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>PHP l\u00e4uft auf rund 70 Prozent aller Websites, und Censys z\u00e4hlt mehr als 32,5 Millionen PHP-Dienste mit einer anf\u00e4lligen Version. F\u00fcr MSPs mit Hosting- oder Webkunden bedeutet das, dass CMS-Websites, Webshops und Kundenportale direkt \u00fcbernommen werden k\u00f6nnen. Dar\u00fcber hinaus warnen die PHP-Entwickler vor einem dritten RCE-Risiko, f\u00fcr das es noch keinen Patch gibt. F\u00fcr Windows-Builds erschien zudem ein zweites Update wegen eines Brotli-Fehlers, der \u00fcber cURL erreichbar ist, wenn die automatische Dekomprimierung von HTTP-Antworten aktiviert ist.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Inventarisieren Sie alle PHP-Server \u2013 Ihre eigenen und die Ihrer Kunden, einschlie\u00dflich Shared Hosting und Container \u2013 und aktualisieren Sie auf eine der gepatchten Versionen. Unter Windows installieren Sie die neu gebauten Pakete mit der korrigierten Brotli-Bibliothek. Deaktivieren Sie die automatische Dekomprimierung in cURL, wo Sie sie nicht ben\u00f6tigen, und pr\u00fcfen Sie die Logs seit dem 21. Oktober auf ungew\u00f6hnliche Requests mit gro\u00dfen Cookies.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"m365\">Token-Replay in Microsoft 365: 97 Konten bei 79 Organisationen trotz MFA \u00fcbernommen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Missbrauch gestohlener Microsoft-365-Anmeldetokens \u00fcber Phishing-Seiten, die sich zwischen Nutzer und Microsoft schalten (Adversary-in-the-Middle), sowie \u00fcber Device-Code-Phishing. Es handelt sich um den Missbrauch legitimer Anmeldeabl\u00e4ufe, nicht um einen Softwarefehler<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, von Huntress vom 14. Juli bis 22. September 2026 beobachtet (ver\u00f6ffentlicht am 26. Oktober)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es handelt sich nicht um eine Softwarel\u00fccke. Eind\u00e4mmen l\u00e4sst sich das Risiko mit Conditional Access und durch das Bereinigen verbliebener Zug\u00e4nge<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde das ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/microsoft-365-token-replay-attacks.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> st\u00fctzt sich Huntress auf fast 200.000 fehlgeschlagene Anmeldeversuche aus dem Adressbereich 193.26.115.0\/24, die zu 497 erfolgreichen Anmeldungen f\u00fchrten. Die Angreifer stahlen Tokens \u00fcber gef\u00e4lschte Anmeldeseiten, Device-Code-Phishing und Social Engineering und spielten sie innerhalb weniger Minuten von eigenen Systemen aus wieder ein. Huntress nennt dies \u201eToken Spraying\u201c. Da das Token bereits nach dem MFA-Schritt ausgestellt wurde, ben\u00f6tigt der Angreifer keinen zweiten Faktor mehr.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Insgesamt waren 97 Konten bei 79 Organisationen betroffen. In mindestens 19 Organisationen entfernten die Angreifer bestehende MFA-Methoden und registrierten innerhalb von drei Stunden eine eigene Methode. In Entra wurden 48 gef\u00e4lschte Ger\u00e4te registriert, die so lange Zugriff gew\u00e4hren, bis Sie die Ger\u00e4te entfernen. Versteckte Posteingangsregeln l\u00f6schten oder verschoben E-Mails zu Gehalt, Einzahlungen und Boni, und ein Postfach verschickte Spam an Hunderte externe Empf\u00e4nger. Das passt zur Vorbereitung von Rechnungs- und Zahlungsbetrug.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Widerrufen Sie Sitzungen und setzen Sie die Passw\u00f6rter verd\u00e4chtiger Konten zur\u00fcck. Pr\u00fcfen Sie Entra auf unbekannte Ger\u00e4te, ge\u00e4nderte MFA-Methoden, neue Unternehmensanwendungen und Posteingangsregeln mit kryptischen Namen. Schr\u00e4nken Sie den Device-Code-Flow mit Conditional Access ein und erzwingen Sie MFA f\u00fcr alle Benutzer, alle Cloud-Apps und alle Clienttypen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"tailscale\">Tailscale SSH: Forscherin zeigt Rechteausweitung bis Root, Patch innerhalb von 24 Stunden erwartet<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Mehrere Schwachstellen (\u201eTailworm\u201c, 11 Befunde) in Tailscale SSH und angrenzenden Komponenten. Ein kompromittiertes Ger\u00e4t kann im Labor Root-Rechte auf anderen Servern erlangen, wenn SSH-Forwarding aktiviert ist. Getestet mit Tailscale 1.104.2 und headscale 0.29.5<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, kein Missbrauch gemeldet; die Befunde stammen aus Labortests vom 25. Oktober 2026, und der Proof of Concept ist nicht \u00f6ffentlich<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Noch nicht. Tailscale best\u00e4tigte am 27. Oktober schwerwiegende Probleme und strebt ein Release innerhalb von 24 Stunden an; bis dahin gelten die unten genannten Ma\u00dfnahmen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/unpatched-tailscale-ssh-flaws-could-let.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> hat Erica Windisch von Cyberdione Labs die Untersuchung ver\u00f6ffentlicht. Der Angreifer muss bereits ein Ger\u00e4t im Netzwerk kontrollieren, das laut den Zugriffsregeln auf das Ziel zugreifen darf. \u00dcber SSH-Forwarding, einen vertauschten Socket und eine Race Condition erlangte sie im Labor Root-Rechte und konnte eine eigene Maschine als vertrauensw\u00fcrdigen Server aufnehmen lassen. Die Behauptung, die L\u00fccke sei \u201ewormable\u201c, wird von anderen Forschern bestritten, und der letzte Schritt funktionierte bei aktiviertem Tailnet Lock nicht.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>F\u00fcr MSPs, die Tailscale f\u00fcr den administrativen Zugriff auf Kundenserver nutzen, kann ein einziges kompromittiertes Ger\u00e4t zu Root-Rechten auf mehreren Systemen f\u00fchren. Tailscale-VP Mike Shaver r\u00e4t nicht dazu, Tailscale SSH abzuschalten, und Tailscale beschreibt die Probleme vor allem als Rechteausweitung.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Deaktivieren Sie SSH-Forwarding, entweder pro Regel im gehosteten Dienst oder mit TS_SSH_DISABLE_FORWARDING=1 in der Umgebung von tailscaled (die einzige Option unter headscale 0.29.5). Formulieren Sie Zugriffsregeln als einzelne Quell-Ziel-Paare und entfernen Sie breit gefasste Identit\u00e4ts- oder Tag-Grants. Entfernen Sie App-Connector-Rechte und Weiterleitungen per tailscale serve auf einen Unix-Socket, wenn Sie sie nicht ben\u00f6tigen, und aktivieren Sie Node-Key-Expiry. Installieren Sie das Update, sobald es verf\u00fcgbar ist.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kritische PHP-L\u00fccken werden aktiv ausgenutzt, Angreifer stehlen Microsoft-365-Tokens trotz MFA und Tailscale SSH wartet auf einen Patch gegen Rechteausweitung auf Root.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169421,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-dinsdag-27-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-tuesday-27-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"PHP2Shell-L\u00fccken in PHP aktiv ausgenutzt, Token-Replay bei Microsoft 365 trifft 79 Organisationen und Tailscale-SSH-L\u00fccken warten auf einen Patch.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-179","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/179","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=179"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/179\/revisions"}],"predecessor-version":[{"id":180,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/179\/revisions\/180"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=179"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=179"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=179"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=179"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}