{"id":199,"date":"2026-11-03T07:43:38","date_gmt":"2026-11-03T06:43:38","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-dienstag-3-november\/"},"modified":"2026-11-03T10:33:25","modified_gmt":"2026-11-03T09:33:25","slug":"patchwork-dienstag-3-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-dienstag-3-november\/","title":{"rendered":"Patchwork \u2013 Dienstag, 3. November"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe geht es um VPN, NAS und Netzwerkger\u00e4te. Angreifer verketten drei L\u00fccken in Ivanti Connect Secure zu Root-Zugriff und umgehen dabei die Integrit\u00e4tspr\u00fcfung, w\u00e4hrend Tausende GitLab-Server die aktiv ausgenutzte CI\/CD-L\u00fccke noch nicht gepatcht haben. Synology warnt vor C3RB3R-Ransomware auf veralteten NAS-Systemen, das niederl\u00e4ndische NCSC meldet Angriffe auf K\u00fchlanlagen in Europa und Zyxel schlie\u00dft eine L\u00fccke in GS1900-Switches.<\/strong><\/p>\n<ul>\n<li><a href=\"#ivanti\">Ivanti Connect Secure: Angreifer verketten drei L\u00fccken zu Root-Zugriff und umgehen den Integrity Checker<\/a><\/li>\n<li><a href=\"#gitlab\">GitLab: Kritische L\u00fccke im CI\/CD-Regex-Compiler wird aktiv ausgenutzt, auch in den Niederlanden sind noch Server offen<\/a><\/li>\n<li><a href=\"#synology\">Synology warnt vor C3RB3R-Ransomware auf NAS-Systemen mit veralteten DSM-Versionen<\/a><\/li>\n<li><a href=\"#koeling\">Angriffe auf K\u00fchlanlagen in Europa: Auch niederl\u00e4ndische Systeme \u00fcber Internetexposition und Standardpassw\u00f6rter getroffen<\/a><\/li>\n<li><a href=\"#zyxel\">Zyxel schlie\u00dft L\u00fccke in GS1900-Switches, \u00fcber die ein Angreifer im LAN Befehle ausf\u00fchren kann<\/a><\/li>\n<\/ul>\n<h4 id=\"ivanti\">Ivanti Connect Secure: Angreifer verketten drei L\u00fccken zu Root-Zugriff und umgehen den Integrity Checker<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Kette aus drei L\u00fccken in Ivanti Connect Secure: ein Authentifizierungs-Bypass mit Befehlsausf\u00fchrung, eine lokale Rechteausweitung und ein Datei-Upload in einen bekannten Pfad. Zusammen verschaffen sie einem Angreifer ohne Konto Root-Zugriff. Betroffen sind 25.1.1.2 und \u00e4lter sowie 22.8R2.5 und \u00e4lter<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-104935, CVE-2026-111357 und CVE-2026-118527<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">8,6 (CVE-2026-104935), 8,8 (CVE-2026-111357) und 4,3 (CVE-2026-118527), laut Ivanti<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut Volexity seit dem 3. Oktober 2026. CISA hat zwei der L\u00fccken am 30. Oktober in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja. 25.1.1.3 bzw. 22.8R2.6 behebt die beiden neuen L\u00fccken. Die Fixes vom 13. Oktober (25.1.1.2 und 22.8R2.5) decken diese nicht ab<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Laut <a href=\"https:\/\/www.rapid7.com\/blog\/post\/etr-additional-ivanti-connect-secure-zero-days-exploited-in-the-wild-cve-2026-111357-cve-2026-118527\" target=\"_blank\" rel=\"noopener\">Rapid7<\/a> nutzte die Bedrohungsgruppe UTA0576 eine Exploit-Kette, um sich ohne Authentifizierung Root-Zugriff auf eine Connect-Secure-Appliance zu verschaffen. Volexity beobachtete die Ausnutzung auf einem Ger\u00e4t mit 22.8R2.4; anschlie\u00dfend sammelten die Angreifer Passw\u00f6rter und fragten im Active Directory Windows-LAPS-Passw\u00f6rter und BitLocker-Wiederherstellungsschl\u00fcssel ab. Ivanti zufolge fand die Ausnutzung bei einer begrenzten Zahl von Kunden bereits vor Erscheinen des Advisorys statt. Die erste L\u00fccke der Kette wurde bereits am 13. Oktober gepatcht, die beiden neuen L\u00fccken wurden am 29. Oktober in das Advisory aufgenommen.<\/p>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Die Angreifer senden eine manipulierte Anfrage an die Anmeldeseite des VPN und nutzen anschlie\u00dfend die beiden anderen L\u00fccken, um Root-Rechte zu erlangen. Laut Volexity umgeht diese Aktivit\u00e4t das Integrity Checker Tool von Ivanti, und Logs werden gezielt manipuliert \u2013 ein sauberer Scan beweist also nichts. Die Anfrage l\u00e4uft \u00fcber <em>\/dana-na\/auth\/url_default\/welcome.cgi<\/em>, mit einem auff\u00e4lligen <em>X-DSCGI-PATH<\/em>-Header.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Ein VPN-Gateway steht zwischen dem Internet und dem internen Netzwerk Ihres Kunden. Ein Angreifer, der die Appliance \u00fcbernimmt, sieht die Anmeldedaten der Mitarbeitenden und kann sich von dort aus im Netzwerk bewegen. Die <a href=\"https:\/\/www.rapid7.com\/blog\/post\/etr-additional-ivanti-connect-secure-zero-days-exploited-in-the-wild-cve-2026-111357-cve-2026-118527\" target=\"_blank\" rel=\"noopener\">Rapid7-Meldung<\/a> nennt den Diebstahl von AD-Daten ausdr\u00fccklich. Das NCSC warnte bereits am 13. Oktober vor der ersten L\u00fccke der Kette.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie au\u00dferhalb des regul\u00e4ren Patchzyklus auf 25.1.1.3 bzw. 22.8R2.6. Sichern Sie nach M\u00f6glichkeit Arbeitsspeicher und Logs, bevor Sie ein Ger\u00e4t neu starten oder zur\u00fccksetzen. Suchen Sie in den Logs nach Anfragen an den oben genannten Pfad mit auff\u00e4lligen Headern, pr\u00fcfen Sie <em>\/tmp\/<\/em> und <em>\/data\/.icscap\/<\/em> auf fremde Dateien und blockieren Sie die IP-Adresse 108.165.147[.]64. Bei Verdacht auf einen Einbruch folgen Sie den Wiederherstellungsschritten von Ivanti und ersetzen die Passw\u00f6rter, die die Appliance gesehen haben k\u00f6nnte, darunter die von Servicekonten und LAPS.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"gitlab\">GitLab: Kritische L\u00fccke im CI\/CD-Regex-Compiler wird aktiv ausgenutzt, auch in den Niederlanden sind noch Server offen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow im Regular Expression Compiler f\u00fcr CI\/CD-Konfigurationen von GitLab CE\/EE, \u00fcber den ein Angreifer ohne Konto aus der Ferne Code ausf\u00fchren kann. Eine zweite L\u00fccke im selben Compiler wurde bereits fr\u00fcher gepatcht<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-97229 (zweite L\u00fccke: CVE-2026-110264)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, CISA hat die L\u00fccke Ende Oktober in den KEV-Katalog aufgenommen. Shadowserver sieht mehr als 1.000 ungepatchte Server, die angegriffen werden<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, GitLab 19.4.2, 19.3.5 und 19.2.8 (12. Oktober 2026). GitLab.com ist bereits gepatcht, bei GitLab Dedicated ist nichts zu tun<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/over-1-000-gitlab-servers-vulnerable-to-code-execution-attacks\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> berichtet, dass der Patch bereits seit drei Wochen verf\u00fcgbar ist, laut Shadowserver aber noch mehr als 1.000 aus dem Internet erreichbare Server verwundbar sind und angegriffen werden. Die zweite L\u00fccke (CVE-2026-110264), die einen Monat fr\u00fcher gepatcht wurde, ist laut Shadowserver noch auf mehr als 11.300 Instanzen offen. Das niederl\u00e4ndische Portal <a href=\"https:\/\/www.security.nl\/posting\/959933\/Duizend+GitLab-servers+missen+update+voor+actief+misbruikt+beveiligingslek\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> meldet auf Basis derselben Scans, dass es in den Niederlanden um 14 Server bei der ersten und 175 bei der zweiten L\u00fccke geht.<\/p>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Ein Angreifer platziert einen speziell pr\u00e4parierten regul\u00e4ren Ausdruck in einer CI\/CD-Konfiguration. Bei dessen Verarbeitung l\u00e4uft der Compiler \u00fcber, woraufhin der Angreifer Code auf dem GitLab-Server ausf\u00fchren kann. Unter bestimmten Bedingungen ist daf\u00fcr kein Konto n\u00f6tig.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Auf einem GitLab-Server liegen Quellcode, Pipeline-Secrets und h\u00e4ufig Zugangsschl\u00fcssel zu Produktions- und Kundenumgebungen. Eine \u00dcbernahme verschafft Angreifern also ein Sprungbrett zu allem, was die Pipelines erreichen d\u00fcrfen. GitLab-Server wurden bereits fr\u00fcher bei Ransomware-Angriffen genutzt, und CISA f\u00fchrt inzwischen sechs GitLab-L\u00fccken im KEV-Katalog.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie bei sich selbst und bei Ihren Kunden, welche selbstverwalteten GitLab-Installationen laufen, und aktualisieren Sie auf eine der gefixten Versionen oder neuer. L\u00e4uft eine Installation schon seit Monaten ungepatcht, behandeln Sie sie als m\u00f6glicherweise kompromittiert: Rotieren Sie CI\/CD-Variablen, Deploy-Schl\u00fcssel und Tokens und suchen Sie in der Pipeline-Historie nach auff\u00e4lligen Konfigurationen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"synology\">Synology warnt vor C3RB3R-Ransomware auf NAS-Systemen mit veralteten DSM-Versionen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ransomware-Angriffe (C3RB3R, auch Cerber genannt) auf Synology-NAS-Ger\u00e4te mit veraltetem DiskStation Manager. Synology zufolge wird eine im Dezember 2024 gepatchte Schwachstelle ausgenutzt, welche, nennt das Unternehmen jedoch nicht<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nicht best\u00e4tigt. Das referenzierte Advisory SA-24-20 nennt CVE-2024-10441, CVE-2024-50629 und CVE-2024-10445<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Synology meldet laufende Angriffe. Die ersten Meldungen gingen gut zwei Wochen vor der Warnung ein<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, DSM 7.2.2-72806-1, 7.2.1-69057-6, 7.2-64570-4, 7.1.1-42962-7 oder 6.2.4-25556-8 bzw. neuer<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Laut <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/synology-warns-customers-of-ongoing-c3rb3r-ransomware-attacks\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> hat Synology seit August 2019 keine vergleichbare Warnung mehr herausgegeben. Betroffene Nutzer finden eine L\u00f6segeldforderung (<em>read-me3.txt<\/em>) und verschl\u00fcsselte Dateien mit der Endung <em>.L0CK3D<\/em>. F\u00fcr den \u201eC3rb3r Decryptor\u201c verlangen die Angreifer mehrere Tausend Dollar. Die Zahl der betroffenen Ger\u00e4te ist nicht bekannt.<\/p>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Die Angreifer haben es auf Ger\u00e4te abgesehen, die nicht aktualisiert wurden und \u00fcber das Internet erreichbar sind. Shadowserver z\u00e4hlt mehr als 380.000 Synology-Systeme, die aus dem Internet erreichbar sind; wie viele davon verwundbar oder Honeypots sind, ist allerdings unbekannt.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Ein NAS ist bei vielen KMU der Ort f\u00fcr Dateifreigaben und Back-ups. Wird es verschl\u00fcsselt und liegen die Back-ups auf demselben Ger\u00e4t, gibt es nichts mehr, woraus sich etwas wiederherstellen lie\u00dfe. Die Angreifer warnen zudem, dass eine Wiederherstellung mit Software von Drittanbietern die Dateien irreparabel besch\u00e4digen k\u00f6nne.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Inventarisieren Sie die Synology-Ger\u00e4te bei Ihren Kunden und aktualisieren Sie DSM auf die gefixte Version oder neuer. Aktivieren Sie automatische Updates und nehmen Sie die Verwaltungsoberfl\u00e4che vom Internet. Bewahren Sie au\u00dferdem mindestens eine Back-up-Kopie au\u00dferhalb des NAS selbst auf, damit ein verschl\u00fcsseltes Ger\u00e4t nicht zugleich Ihr einziger Wiederherstellungspunkt ist.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"koeling\">Angriffe auf K\u00fchlanlagen in Europa: Auch niederl\u00e4ndische Systeme \u00fcber Internetexposition und Standardpassw\u00f6rter getroffen<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">K\u00fchlanlagen verschiedener Hersteller, die direkt am Internet h\u00e4ngen oder Standard- bzw. schwache Passw\u00f6rter verwenden, sodass Angreifer aus der Ferne Einstellungen wie Temperatur und Abtauzyklen \u00e4ndern k\u00f6nnen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, am 2. November 2026 meldet das NCSC Angriffe in Europa, darunter in den Niederlanden<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es gibt keinen zentralen Patch. Das NCSC r\u00e4t, beim Hersteller nachzufragen, ob die Anlage verwundbar ist, sofort zu aktualisieren und die Anlage vom Internet zu trennen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Das <a href=\"https:\/\/www.ncsc.nl\/nieuws\/in-het-nieuws-cyberaanvallen-op-koelinstallaties-in-europa\" target=\"_blank\" rel=\"noopener\">NCSC<\/a> untersucht mehrere Angriffe auf K\u00fchlanlagen in Europa und beobachtet die Lage. <a href=\"https:\/\/www.security.nl\/posting\/959936\/\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> berichtete fr\u00fcher am Tag, dass bei belgischen Superm\u00e4rkten die Temperatureinstellungen ver\u00e4ndert wurden.<\/p>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Angreifer melden sich an K\u00fchlsystemen an, die aus dem Internet erreichbar sind, oder nutzen Schwachstellen bzw. schwache und Standardpassw\u00f6rter aus. Damit \u00e4ndern sie Temperatur oder Abtauzyklen, sodass die K\u00fchlung nicht mehr richtig funktioniert.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Produkte k\u00f6nnen sich \u00fcberhitzen und verderben, was ein Risiko f\u00fcr die Lebensmittelsicherheit darstellt. Hinzu kommen finanzielle Sch\u00e4den, entsorgte Ware und m\u00f6glicherweise ein Betriebsstillstand. F\u00fcr MSPs mit Kunden in Einzelhandel, Gastronomie oder Lebensmittelproduktion entsteht hier eine neue Verantwortung: Ger\u00e4te eines Installateurs h\u00e4ngen oft unbemerkt im selben Netzwerk oder an einer eigenen Internetverbindung.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Fragen Sie Ihre Kunden und deren Lieferanten, welche K\u00fchlanlagen mit dem Internet verbunden sind, und erkundigen Sie sich beim Hersteller, ob die Anlage verwundbar ist. Nehmen Sie Systeme vom Internet oder beschr\u00e4nken Sie den Zugriff auf vertrauensw\u00fcrdige IP-Adressen, ersetzen Sie Standardpassw\u00f6rter durch starke Passw\u00f6rter, installieren Sie Sicherheitsupdates und \u00fcberwachen Sie die Systeme. Vorf\u00e4lle k\u00f6nnen Sie freiwillig beim NCSC melden.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"zyxel\">Zyxel schlie\u00dft L\u00fccke in GS1900-Switches, \u00fcber die ein Angreifer im LAN Befehle ausf\u00fchren kann<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Out-of-Bounds-Write im CGI-Programm der Firmware der Zyxel-GS1900-Serie (GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 und -48HPv2), Firmware 2.90(xxxx.2)C0 und \u00e4lter<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-107441<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Zyxel meldet keine Ausnutzung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Firmware 2.90(xxxx.3)C0 (f\u00fcr den GS1900-8 ist das 2.90(AAHH.3)C0), nur f\u00fcr Modelle, die sich noch im Support-Zeitraum f\u00fcr Schwachstellen befinden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Laut dem <a href=\"https:\/\/www.zyxel.com\/global\/en\/support\/security-advisories\/zyxel-security-advisory-for-out-of-bounds-write-vulnerability-in-gs1900-series-switches-11-03-2026\" target=\"_blank\" rel=\"noopener\">Advisory von Zyxel<\/a>, das am 3. November erschien, kann ein Angreifer im LAN ohne Authentifizierung \u00fcber eine speziell pr\u00e4parierte HTTP-Anfrage m\u00f6glicherweise OS-Befehle ausf\u00fchren. Gemeldet wurde das Problem von Yegor Vasilenko von Binarly. Zyxel ver\u00f6ffentlichte am selben Tag zudem ein Advisory zu einem Buffer Overflow in diversen Access Points, FWA7-Ger\u00e4ten und einem Security-Router.<\/p>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Der Angreifer ben\u00f6tigt Zugang zum lokalen Netzwerk und sendet eine pr\u00e4parierte HTTP-Anfrage an die Verwaltungsoberfl\u00e4che des Switches. Ein Konto ist nicht erforderlich.<\/p>\n<p><strong>Was kann die Folge sein?<\/strong><\/p>\n<p>Der GS1900 ist ein im Mittelstand weit verbreiteter Switch. Ein Angreifer, der sich bereits im Netzwerk befindet, etwa \u00fcber einen gehackten Laptop oder einen Gastport, kann \u00fcber diesen Switch dauerhaft im Netzwerk Fu\u00df fassen und von dort aus Datenverkehr einsehen oder umleiten.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie, welche GS1900-Modelle bei Ihren Kunden im Einsatz sind, und installieren Sie die gefixte Firmware. Modelle au\u00dferhalb des Support-Zeitraums erhalten keinen Patch; beschr\u00e4nken Sie dort den Zugriff auf die Weboberfl\u00e4che auf ein separates Managementnetz und planen Sie einen Austausch.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ivanti Connect Secure wird \u00fcber drei verkettete L\u00fccken \u00fcbernommen, GitLab-Server bleiben ungepatcht, Synology warnt vor Ransomware, und Zyxel sowie K\u00fchlanlagen erfordern schnelles Handeln.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169529,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-dinsdag-3-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-tuesday-3-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-G.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-G-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Ivanti Connect Secure: Drei verkettete L\u00fccken erm\u00f6glichen Root-Zugriff. Au\u00dferdem GitLab, Synology, Zyxel und K\u00fchlanlagen in dieser Patchwork-Ausgabe.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-199","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/199","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=199"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/199\/revisions"}],"predecessor-version":[{"id":200,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/199\/revisions\/200"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=199"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=199"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=199"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=199"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}