{"id":326,"date":"2026-11-13T07:49:38","date_gmt":"2026-11-13T06:49:38","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-freitag-13-november\/"},"modified":"2026-11-13T07:52:43","modified_gmt":"2026-11-13T06:52:43","slug":"patchwork-freitag-13-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-freitag-13-november\/","title":{"rendered":"Patchwork &#8211; Freitag, 13. November"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe steht eine gro\u00dfe Patchrunde von Citrix im Mittelpunkt: NetScaler ADC und Gateway erhalten Updates f\u00fcr eine Reihe kritischer Speicherl\u00fccken, von denen eine jede Installation betrifft, auch in der Standardkonfiguration. Zudem erweist sich der Hotfix von N-able f\u00fcr N-central als unzureichend, denn ein neuer Exploit wird bereits auf gepatchten Servern ausgenutzt. Au\u00dferdem schlie\u00dft Ivanti eine kritische SQL-Injection-L\u00fccke in Endpoint Manager, es gibt einen \u00f6ffentlichen Exploit f\u00fcr eine ungepatchte Windows-L\u00fccke, die SYSTEM-Rechte verschafft, und Angreifer missbrauchen einen gef\u00e4lschten Teams-Terminplaner, um per Device Code Phishing Microsoft-365-Konten zu \u00fcbernehmen.<\/strong><\/p>\n<ul>\n<li><a href=\"#citrix\">Citrix schlie\u00dft kritische L\u00fccken in NetScaler ADC, Gateway und Console<\/a><\/li>\n<li><a href=\"#ncentral\">N-able N-central: Neuer Exploit umgeht Hotfix und wird jetzt aktiv ausgenutzt<\/a><\/li>\n<li><a href=\"#ivanti\">Kritische SQL-Injection-L\u00fccke in Ivanti Endpoint Manager erm\u00f6glicht \u00dcbernahme ohne Anmeldung<\/a><\/li>\n<li><a href=\"#signdrop\">SignDrop: \u00d6ffentlicher Exploit f\u00fcr ungepatchte Windows-L\u00fccke verschafft SYSTEM-Rechte<\/a><\/li>\n<li><a href=\"#teams\">Angreifer tarnen Device Code Phishing als Teams-Terminplaner<\/a><\/li>\n<\/ul>\n<h4 id=\"citrix\">Citrix schlie\u00dft kritische L\u00fccken in NetScaler ADC, Gateway und Console<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Reihe von Speicherl\u00fccken in NetScaler ADC und NetScaler Gateway 14.1 vor 14.1-73.57, 13.1 vor 13.1-64.39, ADC 14.1-FIPS vor 14.1-73.58 FIPS und 13.1-FIPS\/NDcPP vor 13.1-37.293. Zudem eine Authentifizierungsumgehung in NetScaler Console 14.1 vor 14.1-74.34 sowie eine Rechteausweitung im Secure Access Client f\u00fcr Windows und Linux<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Unter anderem CVE-2026-120868 (alle Installationen), CVE-2026-107412 (Gateway und AAA), CVE-2026-120869 (Console), CVE-2026-118268 und CVE-2026-118269 (Secure Access Client)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,3 (CVE-2026-120868), 9,5 (CVE-2026-107412), 9,4 (CVE-2026-120869), 8,5 (Secure Access Client)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Citrix ist am 12. November keine Ausnutzung bekannt, und es gibt keinen best\u00e4tigten \u00f6ffentlichen Proof of Concept<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja: ADC und Gateway 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS und 13.1-37.293; Console 14.1-74.34; Secure Access Client Windows 26.11.1.6 und Linux 26.10.4<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Cloud Software Group ver\u00f6ffentlichte am 12. November Bulletins zu insgesamt 28 Speicherfehlern in NetScaler ADC und Gateway, so <a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-020\/\" target=\"_blank\" rel=\"noopener\">CERT-EU<\/a>. Die schwerwiegendste L\u00fccke steckt im Kern der Paketverarbeitung: Daf\u00fcr ist weder eine Anmeldung noch eine spezielle Funktion n\u00f6tig, sodass jede Installation gef\u00e4hrdet ist. Eine zweite Reihe von \u00dcberl\u00e4ufen ist ohne Authentifizierung auf Ger\u00e4ten erreichbar, die als Gateway (SSL VPN, ICA Proxy, CVPN oder RDP Proxy) oder als AAA-Server eingerichtet sind. Andere L\u00fccken h\u00e4ngen von Funktionen wie SAML, LDAP, Email OTP, Endpoint Analysis, DNS-over-HTTPS und HTTP\/2 ab. In NetScaler Console kann ein Angreifer ohne Anmeldung die Authentifizierungspr\u00fcfung umgehen, berichtet <a href=\"https:\/\/thehackernews.com\/2026\/11\/citrix-patches-12-netscaler-and-secure.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a>. Laut Citrix gehen die Fixes auf eine tiefergehende Codepr\u00fcfung mit KI-gest\u00fctzter Analyse zur\u00fcck; unter den Meldenden sind laut dem <a href=\"https:\/\/support.citrix.com\/external\/article\/CTX697305\" target=\"_blank\" rel=\"noopener\">Citrix-Bulletin<\/a> auch Forscher unter anderem von watchTowr.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Citrix beschreibt die Auswirkungen als unvorhersehbares Verhalten und Denial of Service. Bei Speicher\u00fcberl\u00e4ufen in einer Appliance am Netzwerkrand ist das ein beunruhigendes Bild: Fr\u00fchere NetScaler-L\u00fccken wurden kurz nach ihrer Ver\u00f6ffentlichung ausgenutzt, und ein Ausfall des Gateways legt den externen Zugang einer ganzen Organisation lahm. \u00dcber die L\u00fccke im Secure Access Client kann ein normaler Benutzer an einem Arbeitsplatzrechner SYSTEM- oder Root-Rechte erlangen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie alle selbst verwalteten NetScaler-ADC- und Gateway-Appliances auf die gepatchten Builds, und beginnen Sie mit den Ger\u00e4ten, die als Gateway oder AAA-Server am Internet h\u00e4ngen. Von Citrix verwaltete Cloud-Dienste aktualisiert der Hersteller selbst. Betreiben Sie NetScaler Console in einem abgeschotteten Managementnetz, patchen Sie sie gleich mit, und verteilen Sie den neuen Secure Access Client auf die Arbeitspl\u00e4tze. Das niederl\u00e4ndische <a href=\"https:\/\/advisories.ncsc.nl\/advisory?id=NCSC-2026-0491\" target=\"_blank\" rel=\"noopener\">NCSC<\/a> hat eine eigene Empfehlung zu den Updates ver\u00f6ffentlicht.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"ncentral\">N-able N-central: Neuer Exploit umgeht Hotfix und wird jetzt aktiv ausgenutzt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">\u201e4EverAble2Shell\u201c: Kombination einer Apache-Axis-L\u00fccke mit einer Rechteausweitung in N-central, mit der ein Angreifer ohne Anmeldung Root-Rechte auf On-Premises-N-central-Servern erlangt, auch unter 2026.4 Hotfix 2 (Build 2026.4.1.26). Voraussetzung ist, dass die Legacy API aktiviert ist. Gehostete Umgebungen sind laut N-able nicht betroffen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-90436 (Apache Axis); f\u00fcr die Rechteausweitung in N-central wurde keine CVE vergeben (Previdian: VULN-2026-0009)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,8 (CVE-2026-90436)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit 12. November, 09:16 UTC; Huntback z\u00e4hlte an diesem Tag 21 Server mit einem Cryptominer, davon 19 bereits mit Hotfix 2<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, N-able arbeitet an zus\u00e4tzlichen Fixes. Ma\u00dfnahme: Legacy API deaktivieren (standardm\u00e4\u00dfig aus); N-able hat die Intune-Integration deaktiviert<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde das ausgenutzt?<\/strong><\/p>\n<p>Im <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-donderdag-12-november\/\" target=\"_blank\" rel=\"noopener\">Patchwork vom Donnerstag<\/a> berichteten wir, dass N-able einen Hotfix f\u00fcr die geleakten Zero-Days in N-central ver\u00f6ffentlicht hatte. Am selben Tag ver\u00f6ffentlichte der Forscher Sean Bales neue Exploits, die auch gegen diesen Hotfix funktionieren. Laut <a href=\"https:\/\/huntback.io\/blog\/ncentral-4everable2shell-miners-on-live-servers\" target=\"_blank\" rel=\"noopener\">Huntback<\/a> erschien der Exploit um 03:58 UTC, der erste erfolgreiche Angriff mit Root-Eskalation folgte um 09:16 UTC. Um 12:50 UTC sch\u00fcrften 21 N-central-Server f\u00fcr die Angreifer, unter anderem in den USA, Gro\u00dfbritannien, Deutschland, Frankreich und Schweden. <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/new-n-able-4everable2shell-zero-day-exploited-hours-after-poc-released\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> berichtet, dass auch Previdian die Angriffe beobachtet hat. Ein zweiter Exploit, \u201eAgent2Shell\u201c, soll laut dem Forscher die Ausf\u00fchrung als SYSTEM auf verwalteten Windows-Agents erm\u00f6glichen, sofern der Angreifer die Appliance-ID kennt, schreibt <a href=\"https:\/\/thehackernews.com\/2026\/11\/new-n-central-exploits-work-against.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a>.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Die Angreifer installieren vorerst einen XMRig-Miner. Mit Root-Rechten auf dem RMM-Server steht jedoch der Weg in jede verwaltete Kundenumgebung offen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie umgehend, ob die Legacy API deaktiviert ist, und aktualisieren Sie Agents und Probes gem\u00e4\u00df den fr\u00fcheren Hotfix-Anweisungen. Suchen Sie nach POST-Anfragen an \/dms\/services\/ServerUI mit jline.internal.TerminalLineSettings, nach \/tmp\/.xvd oder \/var\/tmp\/.xvd, einem systemd-Service xvd.service, \/etc\/cron.d\/xvd sowie nach Verbindungen zu 157.20.241[.]16. Werten Sie einen Treffer als vollst\u00e4ndige Kompromittierung des Servers.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"ivanti\">Kritische SQL-Injection-L\u00fccke in Ivanti Endpoint Manager erm\u00f6glicht \u00dcbernahme ohne Anmeldung<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection im Core von Ivanti Endpoint Manager (EPM) vor 2024 SU8, die zur Remote-Codeausf\u00fchrung ohne Anmeldung f\u00fchren kann. Zudem \u00fcbertr\u00e4gt der EPM-Agent in denselben Versionen sensible Daten unverschl\u00fcsselt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-121653 (SQL-Injection), CVE-2026-18128 (unverschl\u00fcsselter Datenverkehr des Agents)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,8 (CVE-2026-121653)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Ivanti ist am 12. November keine Ausnutzung bekannt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, EPM 2024 SU8<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut der Empfehlung des <a href=\"https:\/\/advisories.ncsc.nl\/advisory?id=NCSC-2026-0493\" target=\"_blank\" rel=\"noopener\">NCSC<\/a> kann ein entfernter Angreifer ohne Anmeldung b\u00f6sartige SQL-Befehle in den Core von EPM einschleusen, was die Ausf\u00fchrung beliebigen Codes zur Folge haben kann. Die zweite L\u00fccke steckt im Agent: Er \u00fcbertr\u00e4gt sensible Informationen unverschl\u00fcsselt, sodass ein Angreifer in einer Man-in-the-Middle-Position HTTP-Datenverkehr abfangen, mitlesen und ver\u00e4ndern kann. Details finden Sie im <a href=\"https:\/\/hub.ivanti.com\/s\/article\/Security-Advisory-Ivanti-Endpoint-Manager-EPM-November-2026?language=en_US\" target=\"_blank\" rel=\"noopener\">Sicherheitsbulletin von Ivanti<\/a>.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Mit EPM verwalten Organisationen Laptops, Smartphones und Server und verteilen Software und Updates, merkt die niederl\u00e4ndische Sicherheitsplattform <a href=\"https:\/\/www.security.nl\/posting\/961439\/\" target=\"_blank\" rel=\"noopener\">Security.nl<\/a> an. Ein \u00fcbernommener EPM-Server verschafft einem Angreifer damit einen Kanal zu allen verwalteten Ger\u00e4ten. EPM war in der Vergangenheit bereits mehrfach Ziel von Angriffen.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie EPM auf 2024 SU8, sowohl den Core als auch die Agents. Sorgen Sie daf\u00fcr, dass der EPM-Server nicht unn\u00f6tig aus dem Internet erreichbar ist, und pr\u00fcfen Sie die Logs des Core auf ungew\u00f6hnliche Datenbankanfragen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"signdrop\">SignDrop: \u00d6ffentlicher Exploit f\u00fcr ungepatchte Windows-L\u00fccke verschafft SYSTEM-Rechte<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Lokale Rechteausweitung \u00fcber die Authentifizierungsmitigation des Common-Log-File-System-Treibers (CLFS) in Windows. Getestet unter Windows 11 26H2 und Windows Server 2025 (Experimental); der Forscher sch\u00e4tzt, dass rund 80 Prozent der Windows-Installationen verwundbar sind<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, nicht gemeldet; der Proof of Concept ist seit 12. November \u00f6ffentlich auf GitHub verf\u00fcgbar<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Microsoft hat noch kein Update und keinen Workaround ver\u00f6ffentlicht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Der Forscher Abdelhamid Naceri, bekannt als Nightmare Eclipse, ver\u00f6ffentlichte den Exploit, ohne Microsoft vorab zu informieren, berichtet <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/new-windows-signdrop-zero-day-gives-hackers-system-privileges\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a>. Die L\u00fccke steckt in der Mitigation, die Microsoft im Oktober 2025 in CLFS eingef\u00fchrt hat. Die Zugriffspr\u00fcfung greift beim Anlegen einer Logdatei, doch ein privilegierter Prozess wie Windows Defender kann sp\u00e4ter gezwungen werden, die Datei zu \u00f6ffnen, woraufhin eine Authentifizierungsdatei mit SYSTEM-Rechten entsteht. Laut <a href=\"https:\/\/thehackernews.com\/2026\/11\/new-signdrop-zero-day-exploit-turns.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> behauptet der Forscher, dass die Technik auch den Manipulationsschutz von Sicherheitssoftware umgehen kann.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein Angreifer, der bereits als normaler Benutzer Code ausf\u00fchren kann, etwa nach einem Phishing-Anhang, kann bis zur vollst\u00e4ndigen Kontrolle \u00fcber das System vordringen. Mit einem fertigen Exploit auf GitHub ist die H\u00fcrde f\u00fcr eine Ausnutzung niedrig.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie den Registry-Wert HKLM\\SYSTEM\\CurrentControlSet\\Services\\CLFS\\Authentication\\Mode: Der Wert 0 oder 1 bedeutet laut dem Forscher, dass das System verwundbar ist. Deaktivieren Sie die CLFS-Mitigation nicht, denn sonst werden Systeme wieder anf\u00e4llig f\u00fcr \u00e4ltere Speicherangriffe. Lassen Sie Ihre EDR verd\u00e4chtige Prozesse, die SYSTEM-Rechte erhalten, genau \u00fcberwachen, und verteilen Sie das Update, sobald Microsoft es ver\u00f6ffentlicht.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"teams\">Angreifer tarnen Device Code Phishing als Teams-Terminplaner<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Missbrauch der Device-Code-Anmeldung von Microsoft 365 \u00fcber einen nachgebauten \u201eMicrosoft Teams Meeting Scheduler\u201c, wobei der Device Code als Buchungsreferenz ausgegeben wird. Es handelt sich um den Missbrauch bestehender Funktionen; ein Softwarefehler liegt nicht vor<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, von Huntress im Oktober 2026 bei einem Bauunternehmen beobachtet und am 12. November beschrieben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, nicht zutreffend. Ma\u00dfnahme: Device-Code-Anmeldung mit Conditional Access einschr\u00e4nken und phishingresistente MFA erzwingen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde das ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.huntress.com\/blog\/crafty-microsoft-teams-booking-flow-disguises-device-code-phishing\" target=\"_blank\" rel=\"noopener\">Huntress<\/a> (Andrea Hatcher, Matt Poto und Lindsey O\u2019Donnell-Welch) erhielt ein Mitarbeiter eine E-Mail von einer Typosquatting-Domain, die sich als Gesch\u00e4ftsf\u00fchrer eines anderen Bauunternehmens ausgab. Der Link f\u00fchrte \u00fcber Microsoft Safe Links und einen Google-Kurzlink zu einem nachgebauten Teams-Planer. Nach der Auswahl eines Zeitpunkts forderte das Backend der Seite einen echten Microsoft Device Code an und zeigte ihn als \u201eBooking Reference\u201c an. Der Code wurde in die Zwischenablage kopiert, und ein Pop-up \u00f6ffnete die legitime Microsoft-Anmeldeseite. Indem das Opfer den Code dort eingab, genehmigte es die Sitzung des Angreifers. Anschlie\u00dfend landete das Opfer auf einer Calendly-Seite. Bei einem MFA-Fehler startete das Kit automatisch eine neue Sitzung, und die Phishing-Seite war verschl\u00fcsselt, sodass Scanner ohne JavaScript nichts sahen, berichtet <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/11\/13\/microsoft-teams-device-code-phishing\/\" target=\"_blank\" rel=\"noopener\">Help Net Security<\/a>.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Der Angreifer erhielt ein g\u00fcltiges Sitzungstoken f\u00fcr das Microsoft-365-Konto und meldete sich \u00fcber einen Residential Proxy an, sodass der Datenverkehr wie gew\u00f6hnlicher Privatkundenverkehr aussah. Damit ist der Zugriff auf E-Mails und Dateien m\u00f6glich, ohne dass das Passwort bekannt ist.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Blockieren oder beschr\u00e4nken Sie den Device-Code-Flow mit Conditional Access in Tenants, in denen er nicht ben\u00f6tigt wird, und erzwingen Sie phishingresistente MFA. Durchsuchen Sie die Anmeldeprotokolle nach programmatischen User Agents wie python-requests und node, nach Anmeldungen von nicht verwalteten Ger\u00e4ten und \u00fcber Residential Proxys sowie nach Cmsi:Cmsi-Anmeldungen beim Microsoft Authentication Broker. Pr\u00fcfen Sie bei einem vermuteten Einbruch auf neue MFA-Methoden, unbekannte Ger\u00e4te, App-Berechtigungen und verd\u00e4chtige Postfachregeln.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Citrix schlie\u00dft kritische L\u00fccken in NetScaler, ein neuer N-central-Exploit umgeht den Hotfix von N-able, und bei Ivanti, Windows und Microsoft 365 besteht Handlungsbedarf.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169664,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-vrijdag-13-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-friday-13-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Citrix NetScaler erh\u00e4lt Patches f\u00fcr kritische L\u00fccken, N-able N-central wird trotz Hotfix ausgenutzt und Ivanti EPM schlie\u00dft eine SQL-Injection-L\u00fccke.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-326","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/326","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=326"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/326\/revisions"}],"predecessor-version":[{"id":327,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/326\/revisions\/327"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=326"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=326"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=326"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=326"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}