{"id":338,"date":"2026-11-14T07:47:16","date_gmt":"2026-11-14T06:47:16","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-samstag-14-november\/"},"modified":"2026-11-14T07:49:27","modified_gmt":"2026-11-14T06:49:27","slug":"patchwork-samstag-14-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-samstag-14-november\/","title":{"rendered":"Patchwork &#8211; Samstag, 14. November"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe steht eine aktiv ausgenutzte Zero-Day-L\u00fccke in Check-Point-Gateways an erster Stelle. Die Angreifer drangen \u00fcber das Mobile-Access-Portal ein, verschafften sich Root-Rechte und l\u00f6schten bei einem Teil der Opfer auch ESXi-Hosts. Au\u00dferdem tauchen auf mehr als hundert selbst gehosteten ScreenConnect-Servern Fake-Sitzungen mit Namen von Kryptob\u00f6rsen auf, das niederl\u00e4ndische NCSC warnt vor kritischen L\u00fccken in Zoom Workplace f\u00fcr Windows, und in Tactical RMM steckt eine ungepatchte L\u00fccke, \u00fcber die Angreifer Befehle an alle verwalteten Agents senden k\u00f6nnen.<\/strong><\/p>\n<ul>\n<li><a href=\"#checkpoint\">Check-Point-Gateways per Zero-Day \u00fcbernommen: Angreifer erlangen Root-Rechte und l\u00f6schen ESXi-Hosts<\/a><\/li>\n<li><a href=\"#screenconnect\">Fake-Sitzungen mit Namen von Kryptob\u00f6rsen auf mehr als hundert selbst gehosteten ScreenConnect-Servern<\/a><\/li>\n<li><a href=\"#zoom\">NCSC warnt vor kritischen L\u00fccken in Zoom Workplace f\u00fcr Windows<\/a><\/li>\n<li><a href=\"#tacticalrmm\">Ungepatchte L\u00fccke in Tactical RMM verschafft Zugriff auf alle verwalteten Agents<\/a><\/li>\n<\/ul>\n<h4 id=\"checkpoint\">Check-Point-Gateways per Zero-Day \u00fcbernommen: Angreifer erlangen Root-Rechte und l\u00f6schen ESXi-Hosts<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Lokale Rechteausweitung auf root im DynamicCLI-Daemon (dynamic_server) von Gaia OS. Betroffen sind Check Point Security Gateway, Security Management Server, Multi-Domain Security Management, Scalable Platforms und Maestro Orchestrator, Versionen R81 bis einschlie\u00dflich R82.20<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-123039 (Erstzugriff \u00fcber die PHP2Shell-L\u00fccken CVE-2026-109618 und CVE-2026-109619)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">7,8<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, bei einigen Dutzend Kunden von Check Point, seit dem 30. Oktober 2026. Die CISA hat die L\u00fccke am 13. November in den Katalog Known Exploited Vulnerabilities aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Hotfixes \u00fcber sk1000362, unter anderem in R82.20 Take 14, R82.10 Take 52, R82 Take 132 und R81.20 Take 174. \u00dcbergangsma\u00dfnahme: den Prozess dynamic_server stoppen und einen Neustart verhindern<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut der <a href=\"https:\/\/research.checkpoint.com\/2026\/php2shell-exploitation-on-check-point-gateway\/\" target=\"_blank\" rel=\"noopener\">Untersuchung von Check Point Research<\/a> drangen die Angreifer \u00fcber die PHP2Shell-L\u00fccken im Mobile-Access-Portal ein, etwa eine Woche nachdem daf\u00fcr ein Update erschienen war. Vom Servicekonto des Portals aus nutzten sie anschlie\u00dfend die neue Zero-Day-L\u00fccke, um Root-Rechte zu erlangen. Der DynamicCLI-Daemon l\u00e4uft als root und lauscht auf einem lokalen Socket, auf den jeder Prozess schreiben darf, ohne zu pr\u00fcfen, wer sich verbindet. Eine erste Welle am 30. Oktober traf israelische Organisationen, eine zweite am 2. November war breiter angelegt und betraf Organisationen in mehreren L\u00e4ndern und Branchen. Laut <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/check-point-patches-zero-day-that-lets-hackers-get-root-access\/\" target=\"_blank\" rel=\"noopener\">BleepingComputer<\/a> beobachtete Check Point den Missbrauch bei \u201ea couple of dozen customers\u201c.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Nach der \u00dcbernahme platzierten die Angreifer Webshells, die Backdoor TSGA mit der Proxy-Komponente TSProxy sowie den Scanner gogo. Bei einem Teil der Opfer aus der ersten Welle gelangten sie per SSH mit dem Konto vpxuser weiter auf einen VMware-ESXi-Host und f\u00fchrten dort den Wiper destroy_v6 aus, der Dateien mit Nullen \u00fcberschreibt und anschlie\u00dfend l\u00f6scht. Laut <a href=\"https:\/\/thehackernews.com\/2026\/11\/hackers-exploit-php2shell-flaws-in.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> \u00e4hneln TSGA und TSProxy Bestandteilen des PhiliKit-Toolkits, das ESET zuvor einer chinesischen Gruppe zugeordnet hatte. Check Point h\u00e4lt die Beweislage f\u00fcr zu d\u00fcnn, um die Kampagne dieser Gruppe zuzuschreiben.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Installieren Sie den Hotfix aus sk1000362 auf Gateways und Management-Servern, und pr\u00fcfen Sie, ob auch die PHP2Shell-Updates f\u00fcr Mobile Access installiert sind. K\u00f6nnen Sie noch nicht patchen, stoppen Sie dynamic_server und verhindern Sie einen Neustart des Prozesses; dadurch werden allerdings die DynamicCLI-Befehle deaktiviert. Suchen Sie auf dem Gateway nach zz*.tpl-Dateien im Template-Verzeichnis des Portals, nach \/lib\/libcpfwcommon.so, nach slot_CPconfigdaemon und nach einem unbekannten Listener auf TCP-Port 11072. Pr\u00fcfen Sie ESXi-Hosts auf SSH-Anmeldungen mit vpxuser und blockieren Sie die IP-Adressen 130.94.19.204 und 130.94.19.168. Das <a href=\"https:\/\/wid.cert-bund.de\/portal\/wid\/securityadvisory?name=WID-SEC-2026-4562\" target=\"_blank\" rel=\"noopener\">deutsche CERT-Bund<\/a> hat die gepatchten Versionen zusammengestellt.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"screenconnect\">Fake-Sitzungen mit Namen von Kryptob\u00f6rsen auf mehr als hundert selbst gehosteten ScreenConnect-Servern<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Missbrauch \u00f6ffentlich herunterladbarer Guest-Installer selbst gehosteter ConnectWise-ScreenConnect-Server. Ein automatisierter Client meldet sich als Fake-Endpoint mit Namen wie KUCOIN-SRV und LAPTOP-BINANCE an. Vermutlich ein K\u00f6der f\u00fcr Techniker mit einem ungepatchten ScreenConnect-Client<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">F\u00fcr die Fake-Sitzungen wurde keine CVE vergeben. Das vermutliche Ziel ist CVE-2026-84869 im Technician-Client<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Fake-Sitzungen seit dem 3. November 2026 auf mindestens 118 Servern bei 109 Organisationen (Huntress, 13. November). Aus den Sitzungen heraus wurde bislang keine b\u00f6sartige Aktivit\u00e4t beobachtet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, f\u00fcr CVE-2026-84869: Technician-Clients auf 26.6.5 oder h\u00f6her aktualisieren. \u00dcbergangsweise Alternative: die Berechtigung TransferFiles entziehen. Die Fake-Sitzungen selbst m\u00fcssen Sie manuell bereinigen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde das ausgenutzt?<\/strong><\/p>\n<p>Huntress-Forscher John Hammond beschreibt in <a href=\"https:\/\/www.huntress.com\/blog\/fake-crypto-exchange-sessions-screenconnect\" target=\"_blank\" rel=\"noopener\">einer Analyse<\/a>, wie ein MSP nach unbekannten Rechnern in der eigenen ScreenConnect-Konsole fragte. Bei genauerer Untersuchung stellte sich heraus, dass seit dem 3. November Tausende Fake-Sitzungen angelegt worden waren, mit mehr als tausend verschiedenen Namen, die eine Kryptob\u00f6rse mit einer Rolle kombinieren, etwa SRV-BINANCE oder BACKUP-PROBIT. Fast 98 Prozent der Verbindungen kamen von einer einzigen IP-Adresse beim Hoster IONOS. Huntress nennt keine Softwarel\u00fccke als Ursache: Der Guest-Installer enth\u00e4lt die Relay-Adresse des Servers und l\u00e4sst sich standardm\u00e4\u00dfig ohne Anmeldung herunterladen. Auf dem ersten untersuchten Server hatte ein Online-Scandienst den Access-Installer bereits Mitte Oktober abgerufen. Die Kampagne steht in keinem Zusammenhang mit den <a href=\"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-donderdag-12-november\/\" target=\"_blank\" rel=\"noopener\">SCKit-Angriffen auf Kunden von sechs MSPs<\/a>; Huntress fand keine \u00dcberschneidungen bei den Indikatoren.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Die Fake-Sitzungen \u00fcbertrugen keine Dateien und f\u00fchrten keine Befehle aus. Sie bleiben jedoch als online sichtbar, weil der Angreifer sich etwa st\u00fcndlich neu verbindet. Die wichtigste Hypothese von Huntress lautet, dass sie Techniker dazu verleiten sollen, eine Sitzung zu \u00f6ffnen. Ein b\u00f6sartiger Guest kann \u00fcber CVE-2026-84869 einen ungepatchten Technician-Client dazu bringen, Dateien auszuf\u00fchren, m\u00f6glicherweise mit erh\u00f6hten Rechten. In einigen F\u00e4llen \u00f6ffneten Techniker eine solche Sitzung, und einer von ihnen \u00fcbermittelte zweimal Text. Huntress behandelt das als m\u00f6glicherweise abgeflossene Zugangsdaten.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie alle Technician-Clients auf 26.6.5 oder h\u00f6her, einschlie\u00dflich betroffener Access-Agents. Erstellen Sie eine Kopie von App_Data\\Session.db und der zugeh\u00f6rigen WAL-Datei, bevor Sie Fake-Sitzungen l\u00f6schen, und pr\u00fcfen Sie im Sitzungsverlauf, ob jemand eine davon ge\u00f6ffnet hat. Suchen Sie nach neuen Guest-Sitzungen mit der Client-Version 25.3.4.9288 oder einem leeren \u00f6ffentlichen Schl\u00fcssel sowie nach vielen neuen Guests von 74.208.158.106. Halten Sie Installer-Links privat, erstellen Sie m\u00f6glicherweise abgeflossene Installer neu und vereinbaren Sie, dass Techniker keine Sitzung \u00f6ffnen, die sie keinem Kunden zuordnen k\u00f6nnen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"zoom\">NCSC warnt vor kritischen L\u00fccken in Zoom Workplace f\u00fcr Windows<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Zwei L\u00fccken in Zoom Workplace f\u00fcr Windows, \u00fcber die ein Angreifer ohne Konto \u00fcber das Netzwerk h\u00f6here Rechte erlangt: unzureichende Eingabepr\u00fcfung in den Versionen 7.1.0 bis 7.1.8 und ein Fehler bei der Pr\u00fcfung der Herkunft in Versionen vor 7.1.5<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-108186 und CVE-2026-108187<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,6 (CVE-2026-108186) und 8,1 (CVE-2026-108187)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, laut NCSC (13. November 2026) ist kein Missbrauch bekannt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Zoom Workplace f\u00fcr Windows 7.1.8 oder h\u00f6her schlie\u00dft beide L\u00fccken<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Zoom ver\u00f6ffentlichte am 10. November die Bulletins <a href=\"https:\/\/www.zoom.com\/en\/trust\/security-bulletin\/ZSB-26023\" target=\"_blank\" rel=\"noopener\">ZSB-26023<\/a> und <a href=\"https:\/\/www.zoom.com\/en\/trust\/security-bulletin\/ZSB-26024\" target=\"_blank\" rel=\"noopener\">ZSB-26024<\/a>. Die schwerwiegendste L\u00fccke steckt in der Eingabepr\u00fcfung des Windows-Clients und erm\u00f6glicht es einem Angreifer ohne Anmeldung, \u00fcber das Netzwerk seine Rechte auszuweiten. Laut CVSS-Vektor ist daf\u00fcr allerdings eine Aktion des Benutzers erforderlich. Die zweite L\u00fccke ist ein Fehler bei der Pr\u00fcfung der Herkunft von Anfragen. Das <a href=\"https:\/\/www.ncsc.nl\/alerts\/kwetsbaarheden-in-zoom-workplace-voor-windows-update-nu\" target=\"_blank\" rel=\"noopener\">NCSC gab am 13. November einen gesonderten Alert heraus<\/a> und stuft die Wahrscheinlichkeit eines Missbrauchs als mittel und den Schaden als hoch ein.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Laut NCSC kann ein Angreifer mit den erlangten Rechten beispielsweise Einstellungen \u00e4ndern oder auf sensible Informationen zugreifen. Zoom l\u00e4uft auf vielen Arbeitspl\u00e4tzen, die MSPs verwalten, oft in einer Version, die Benutzer selbst aktualisieren \u2013 oder eben nicht.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Verteilen Sie Zoom Workplace f\u00fcr Windows 7.1.8 oder h\u00f6her \u00fcber Ihr RMM- oder Softwareverteilungstool. Nutzen Sie eine Version vor 7.1.5, sind Sie f\u00fcr beide L\u00fccken anf\u00e4llig. Pr\u00fcfen Sie auch Arbeitspl\u00e4tze, auf denen Benutzer Zoom selbst installiert und automatische Updates deaktiviert haben.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"tacticalrmm\">Ungepatchte L\u00fccke in Tactical RMM verschafft Zugriff auf alle verwalteten Agents<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Beliebiges Lesen von Dateien \u00fcber den Endpoint \/reporting\/templates\/preview\/ in Tactical RMM von AmidaWare, Versionen 0.17.0 bis einschlie\u00dflich 1.6.1. Erfordert ein Konto mit Berechtigung zur Verwaltung von Berichten<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-129165<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,4 (CVSS 4.0, VulnCheck)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es ist kein Missbrauch bekannt, und die L\u00fccke steht nicht im KEV-Katalog der CISA (13. November 2026)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, die neueste Version 1.6.1 liegt im betroffenen Bereich, und eine gepatchte Version wurde noch nicht genannt. Schr\u00e4nken Sie die Berechtigung zur Verwaltung von Berichten ein<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/www.vulncheck.com\/advisories\/tactical-rmm-0.17.0-through-1.6.1-arbitrary-file-read-via-report-preview\" target=\"_blank\" rel=\"noopener\">dem Advisory von VulnCheck<\/a> \u2013 das Unternehmen ver\u00f6ffentlichte die L\u00fccke am 13. November \u2013 verarbeitet die Berichtsfunktion das vom Benutzer eingegebene Template mit WeasyPrint. Dieses folgt file:\/\/-Links im Template und \u00fcbernimmt den Inhalt lokaler Dateien in das zur\u00fcckgegebene PDF. So kann ein Benutzer mit Berichtsrechten den Django-SECRET_KEY des Servers auslesen. Entdeckt wurde die L\u00fccke von dem Forscher Wu Yulun.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Tactical RMM verwendet denselben SECRET_KEY als Passwort f\u00fcr den NATS-Messaging-Server. Mit diesem Schl\u00fcssel kann ein Angreifer runscript-Befehle an jeden verwalteten Agent ver\u00f6ffentlichen. Ein Konto mit eingeschr\u00e4nkten Rechten wird so zum Einfallstor f\u00fcr Codeausf\u00fchrung auf allen Endpoints aller Kunden in der Umgebung.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Solange es keine gepatchte Version gibt, vergeben Sie die Berechtigung zur Verwaltung von Berichten nur an Konten, die sie wirklich ben\u00f6tigen, und pr\u00fcfen Sie, welche Konten diese Berechtigung derzeit haben. Behalten Sie die <a href=\"https:\/\/github.com\/amidaware\/tacticalrmm\/releases\" target=\"_blank\" rel=\"noopener\">Release-Seite von Tactical RMM<\/a> im Auge und installieren Sie das Update, sobald es verf\u00fcgbar ist. Haben Sie Grund zu der Annahme, dass ein Konto mit Berichtsrechten missbraucht wurde, sollten Sie in Erw\u00e4gung ziehen, den SECRET_KEY und damit das NATS-Passwort zu ersetzen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Check-Point-Gateways werden per Zero-Day \u00fcbernommen, Fake-Sitzungen tauchen auf ScreenConnect-Servern auf, das niederl\u00e4ndische NCSC warnt vor Zoom Workplace, und Tactical RMM hat eine ungepatchte L\u00fccke.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169674,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-zaterdag-14-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-saturday-14-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Check-Point-Zero-Day bis auf ESXi-Hosts aktiv ausgenutzt, Fake-Sitzungen in ScreenConnect, kritische Zoom-L\u00fccken, ungepatchte L\u00fccke in Tactical RMM.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-338","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/338","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=338"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/338\/revisions"}],"predecessor-version":[{"id":339,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/338\/revisions\/339"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=338"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=338"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=338"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=338"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}