{"id":231,"date":"2026-11-05T07:43:35","date_gmt":"2026-11-05T06:43:35","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-donnerstag-5-november\/"},"modified":"2026-11-05T07:45:06","modified_gmt":"2026-11-05T06:45:06","slug":"patchwork-donnerstag-5-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-donnerstag-5-november\/","title":{"rendered":"Patchwork &#8211; Donnerstag, 5. November"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe geht es um eine kritische L\u00fccke im Linux-Kernel, f\u00fcr die bereits Scans beobachtet wurden, eine Metabase-L\u00fccke mit CVSS 10,0, die aktiv ausgenutzt wird, und eine Kampagne mit gestohlenen Entra-App-Secrets bei Kunden von MSPs. Au\u00dferdem l\u00e4sst SonicWall seine GMS-Verwaltungssoftware ungesch\u00fctzt zur\u00fcck, und die bereits gepatchte Zyxel-GS1900-L\u00fccke wird offenbar schon seit Monaten ausgenutzt.<\/strong><\/p>\n<ul>\n<li><a href=\"#linux\">Linux-Kernel: Kritische TCP-L\u00fccke erm\u00f6glicht Root-Zugriff aus der Ferne, Scans nach verwundbaren Servern beobachtet<\/a><\/li>\n<li><a href=\"#metabase\">Metabase: Kritische SQL-Injection-L\u00fccke verschafft Administratorzugriff und wird aktiv ausgenutzt<\/a><\/li>\n<li><a href=\"#entra\">Gestohlene Entra-App-Secrets: Angreifer meldet sich als Workload bei Kunden von MSPs an<\/a><\/li>\n<li><a href=\"#sonicwall\">SonicWall GMS: Kritische L\u00fccke in End-of-Life-Verwaltungssoftware, ein Patch kommt nicht<\/a><\/li>\n<li><a href=\"#zyxel\">Zyxel GS1900: Jetzt aktiv ausgenutzt, fast 1.000 Switches gehackt<\/a><\/li>\n<\/ul>\n<h4 id=\"linux\">Linux-Kernel: Kritische TCP-L\u00fccke erm\u00f6glicht Root-Zugriff aus der Ferne, Scans nach verwundbaren Servern beobachtet<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Race Condition im IPv4-TCP-Stack des Linux-Kernels (Use-after-free beim Freigeben der IPv4-Optionen einer eingehenden Verbindung). Der bekannte Exploit funktioniert auf Servern mit einem lauschenden Dienst, der einen Multipath-TCP-Socket (MPTCP) verwendet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-98432<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,8<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Noch nicht best\u00e4tigt. Der Forscher Marcus Hutchins beobachtet allerdings einen Angreifer, der offenbar nach verwundbaren Servern scannt (4. November 2026)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, upstream unter anderem in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113 und 6.18.56. Die Distributionen liefern eigene Kernel-Updates; Ubuntu hatte am 4. November noch keinen Patch<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut der niederl\u00e4ndischen Sicherheitsplattform <a href=\"https:\/\/www.security.nl\/posting\/960326\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> kann ein Angreifer mit speziell pr\u00e4parierten Paketen Befehle als root auf einem Server mit MPTCP-Listener ausf\u00fchren, ohne Anmeldedaten und ohne Benutzerinteraktion. Anthropic hat einen funktionierenden Exploit gemeldet. Debian und andere Distributionen aktivieren MPTCP standardm\u00e4\u00dfig, und Software, die mit Go 1.24 oder neuer gebaut wurde, bindet standardm\u00e4\u00dfig MPTCP-Sockets. Damit k\u00f6nnen auch Dienste, bei denen Sie das nicht erwarten, den erforderlichen lauschenden Endpunkt bereitstellen. Hutchins z\u00e4hlte rund 2,1 Millionen Linux-Server, die \u00fcber MPTCP auf Port 443 erreichbar sind, davon etwa 763.000 mit einer vollst\u00e4ndigen TLS-Verbindung.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Ein Angreifer kann einen verwundbaren Server aus dem Internet vollst\u00e4ndig \u00fcbernehmen. F\u00fcr MSPs und Hoster betrifft das Webserver, Reverse Proxies und Go-Dienste bei Kunden. Laut <a href=\"https:\/\/www.akamai.com\/blog\/security-research\/cve-2026-98432-remote-uaf-linux-kernels-tcp-stack\" target=\"_blank\" rel=\"noopener\">Akamai<\/a> ist der zugrunde liegende Fehler nicht MPTCP-spezifisch, Systeme ohne MPTCP-Listener sind also nicht automatisch sicher.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Installieren Sie das Kernel-Update Ihrer Distribution, starten Sie neu und \u00fcberpr\u00fcfen Sie anschlie\u00dfend die laufende Kernel-Version. F\u00fcr Ubuntu fehlt der Patch noch, behalten Sie den Tracker von Canonical im Auge. Ist das Patchen noch nicht m\u00f6glich, deaktivieren Sie MPTCP f\u00fcr lauschende Dienste (Akamai nennt den sysctl net.mptcp.enabled = 0) und beschr\u00e4nken Sie den Zugriff auf vertrauensw\u00fcrdige Quellen. Das ist nur eine \u00dcbergangsl\u00f6sung: Red Hat stellt klar, dass keine der getesteten Mitigationen das Patchen ersetzen kann. Siehe auch die <a href=\"https:\/\/www.n-able.com\/blog\/cve-2026-98432-critical-linux-kernel-flaw-heres-what-to-know\" target=\"_blank\" rel=\"noopener\">Erl\u00e4uterung von N-able<\/a>.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"metabase\">Metabase: Kritische SQL-Injection-L\u00fccke verschafft Administratorzugriff und wird aktiv ausgenutzt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection ohne Authentifizierung in Metabase (Open Source und Enterprise), mit der ein Angreifer Administratorzugriff auf die Instanz erh\u00e4lt. Betroffen: 0.58.0 bis 0.58.24, 0.59.0 bis 0.59.21, 0.60.0 bis 0.60.17, 0.61.0 bis 0.61.11, 0.62.0 bis 0.62.9 und 0.63.0 bis 0.63.5 sowie die entsprechenden 1.x-Reihen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-72898<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">10,0<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut der singapurischen CSA (4. November 2026); ein \u00f6ffentlicher Proof of Concept existiert<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5 oder neuer (sowie die 1.x-Entsprechungen). \u00dcbergangsweise: Zugriff auf \/api\/session\/reset_password blockieren<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut der Warnung der <a href=\"https:\/\/www.csa.gov.sg\/alerts-and-advisories\/alerts\/al-2026-158\/\" target=\"_blank\" rel=\"noopener\">Cyber Security Agency of Singapore<\/a> kann ein Angreifer ohne Konto beliebiges SQL auf der Anwendungsdatenbank von Metabase ausf\u00fchren und so Administrator werden. Ein funktionierender Beispiel-Exploit ist \u00f6ffentlich verf\u00fcgbar, sodass Angreifer ihn leicht \u00fcbernehmen k\u00f6nnen.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Metabase ist f\u00fcr Reports und Dashboards h\u00e4ufig direkt mit Datenbanken von Kunden verbunden. Mit Administratorzugriff kann ein Angreifer auf die gespeicherten Verbindungen und die dahinterliegenden Daten zugreifen. Zudem wird Metabase oft selbst gehostet und mitunter direkt ans Internet angebunden.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie umgehend auf eine gepatchte Version. K\u00f6nnen Sie nicht sofort aktualisieren, blockieren Sie den Endpoint \/api\/session\/reset_password. Widerrufen Sie nach dem Update aktive Sessions, \u00fcberpr\u00fcfen Sie Administratorkonten und API-Schl\u00fcssel, rotieren Sie die mit Metabase verbundenen Datenbank-Credentials und durchsuchen Sie die Logs nach verd\u00e4chtigen Aktivit\u00e4ten.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"entra\">Gestohlene Entra-App-Secrets: Angreifer meldet sich als Workload bei Kunden von MSPs an<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Missbrauch gestohlener Anwendungsgeheimnisse (Secrets) von App-Registrierungen in Microsoft Entra ID, mit denen sich ein Angreifer ohne Benutzer als die Anwendung bei Microsoft-365- und Azure-Umgebungen anmeldet. Kein Softwarefehler<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, entdeckt von Todyl und laut dem Bericht vom 4. November 2026 noch andauernd; Huntress beteiligt sich an der Untersuchung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es handelt sich nicht um eine Softwarel\u00fccke. Der Bericht nennt keine festen Ma\u00dfnahmen; Administratoren m\u00fcssen Secrets selbst rotieren und Anmeldeaktivit\u00e4ten \u00fcberpr\u00fcfen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde dies ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.cybersecuritydive.com\/news\/attacker-microsoft-entra-id-downstream-msp\/873744\/\" target=\"_blank\" rel=\"noopener\">Cybersecurity Dive<\/a> nahm der Angreifer 45 App-Registrierungen bei rund 18 Organisationen ins Visier, mit mindestens 33 davon meldete er sich erfolgreich an. Die Aktivit\u00e4t geht laut Huntress von einem einzelnen Operator aus, der einen Server in Polen nutzt. Etwa 95 Prozent der Anmeldungen erfolgten per Skript, in Bursts von 24 Logins innerhalb von 10 Sekunden. Todyl beschreibt die Kampagne in einem <a href=\"https:\/\/www.todyl.com\/blog\/stolen-app-credentials-real-access-an-actor-is-signing-into-entra-id-and-azure-devops-as-your-workloads\" target=\"_blank\" rel=\"noopener\">eigenen Bericht<\/a>. Die Credentials wurden Berichten zufolge vor dem 1. November gesammelt. Eine direkte Verbindung zur fr\u00fcheren ConnectWise-Kampagne wurde nicht gefunden.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Der Angreifer verschaffte sich Zugang zu 27 Organisationen, darunter Downstream-Kunden von MSPs aus den Bereichen Energie, \u00f6ffentliche Hand, Lebensmittel und Landwirtschaft, Transport sowie Bau. In 25 Tenants wurden Suchvorg\u00e4nge durchgef\u00fchrt, 81 Dateien heruntergeladen und rund 2.300 Mailbox-Elemente aufgerufen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Erfassen Sie die App-Registrierungen und Service Principals in den von Ihnen verwalteten Tenants, rotieren Sie Client Secrets und Zertifikate, die m\u00f6glicherweise abgeflossen sind, und pr\u00fcfen Sie die Service-Principal-Sign-ins auf Anmeldungen von unbekannten IP-Adressen. Erw\u00e4gen Sie bedingten Zugriff f\u00fcr Workload Identities sowie den Einsatz von Zertifikaten oder Managed Identities anstelle von Secrets.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"sonicwall\">SonicWall GMS: Kritische L\u00fccke in End-of-Life-Verwaltungssoftware, ein Patch kommt nicht<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nicht authentifizierter Dateilesezugriff in SonicWall Global Management System (GMS), der Verwaltungssoftware f\u00fcr SonicWall-Firewalls. Laut BleepingComputer betrifft dies GMS 9.5.2 und \u00e4lter; zus\u00e4tzlich besteht eine SQL-Injection nach Authentifizierung (CVE-2026-109594, CVSS 6,8)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-109593 (Advisory SNWLID-2026-0019)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,1<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nicht gemeldet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, GMS ist seit dem 30. September 2026 End-of-Life. SonicWall empfiehlt die Migration auf Network Security Manager (NSM)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Ein Angreifer ohne Anmeldedaten kann \u00fcber die Verwaltungsoberfl\u00e4che sensible Dateien des GMS-Systems lesen, berichtet <a href=\"https:\/\/www.security.nl\/posting\/960405\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a>. SonicWall nennt nicht, um welche Daten es sich handelt. Siehe auch den Bericht von <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/sonicwall-warns-of-unpatched-flaws-in-end-of-life-gms-software\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> und das <a href=\"https:\/\/psirt.global.sonicwall.com\/vuln-detail\/SNWLID-2026-0019\" target=\"_blank\" rel=\"noopener\">SonicWall-Advisory<\/a>.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>GMS verwaltet Firewalls mehrerer Kunden von einer zentralen Stelle aus. Wer dort Dateien lesen kann, gelangt m\u00f6glicherweise an Konfigurationen und Anmeldedaten der verwalteten Ger\u00e4te. Da kein Patch kommt, bleibt jede GMS-Installation verwundbar.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Planen Sie die Migration auf NSM und nehmen Sie GMS bis dahin vom Internet oder beschr\u00e4nken Sie den Zugriff auf ein Verwaltungsnetz. Rotieren Sie in GMS gespeicherte Passw\u00f6rter und Schl\u00fcssel, wenn das System aus dem Internet erreichbar war.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"zyxel\">Zyxel GS1900: Jetzt aktiv ausgenutzt, fast 1.000 Switches gehackt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Out-of-bounds Write in der Web-Verwaltungsoberfl\u00e4che von zehn Zyxel-GS1900-Switch-Modellen, \u00fcber den ein Angreifer ohne Authentifizierung mit speziell pr\u00e4parierten HTTP-Anfragen OS-Befehle ausf\u00fchrt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-107441<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut GreyNoise seit etwa dem 17. August 2026; 996 Ger\u00e4te in 48 L\u00e4ndern kompromittiert<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Firmware vom 22. Oktober 2026; installieren Sie die neueste Firmware<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Im <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-dinsdag-3-november\/\" target=\"_blank\" rel=\"noopener\">Patchwork vom Dienstag, 3. November<\/a> haben wir \u00fcber den Patch f\u00fcr diese L\u00fccke berichtet. Neu ist, dass die L\u00fccke bereits seit August als Zero-Day in gro\u00dfem Umfang ausgenutzt wurde.<\/p>\n<p><strong>Wie wurde dies ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> beobachtete GreyNoise, wie ein mutma\u00dflich chinesischsprachiger Akteur, der unter dem Namen Kapibala verfolgt wird, ab Mitte August Befehle auf Switches ausf\u00fchrte und anschlie\u00dfend ein Skript herunterlud, das Konfigurationen, gehashte Root-Credentials und Netzwerkinformationen sammelte. GreyNoise brachte dies zun\u00e4chst mit einer fr\u00fcher gepatchten L\u00fccke in Verbindung. Binarly fand ein offenes Archiv mit einem Exploit, der die fr\u00fcheren Patches umging, und meldete die L\u00fccke am 29. September an Zyxel.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Ein Angreifer kann Befehle auf dem Netzwerkger\u00e4t ausf\u00fchren und Konfigurationen sowie Credentials abgreifen, was eine weitere Ausbreitung im Kundennetz erm\u00f6glicht.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Installieren Sie auf allen GS1900-Switches die neueste Firmware, nehmen Sie die Weboberfl\u00e4che vom Internet und \u00fcberpr\u00fcfen Sie Ger\u00e4te, die vor dem 22. Oktober exponiert waren, auf Spuren eines Einbruchs. Rotieren Sie Verwaltungspassw\u00f6rter nach einer vermuteten Kompromittierung.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kritische Linux-Kernel-L\u00fccke mit Scans, aktiv ausgenutzte Metabase-L\u00fccke, gestohlene Entra-App-Secrets bei MSP-Kunden, SonicWall GMS ohne Patch und massenhaft gehackte Zyxel-GS1900-Switches.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169567,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-donderdag-5-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-thursday-5-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Linux-Kernel CVE-2026-98432 und Metabase kritisch, Entra-App-Secrets gestohlen, SonicWall GMS ohne Patch, Zyxel-Switches massenhaft gehackt.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-231","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/231","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=231"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/231\/revisions"}],"predecessor-version":[{"id":232,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/231\/revisions\/232"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=231"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=231"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=231"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=231"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}