{"id":40,"date":"2026-10-23T07:42:05","date_gmt":"2026-10-23T05:42:05","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-freitag-23-oktober\/"},"modified":"2026-10-24T22:10:57","modified_gmt":"2026-10-24T20:10:57","slug":"patchwork-freitag-23-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-freitag-23-oktober\/","title":{"rendered":"Patchwork &#8211; Freitag, 23. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe geht es um drei Sicherheitsl\u00fccken, die MSPs unmittelbar im Tagesgesch\u00e4ft betreffen. Nach einer kritischen PHP-Schwachstelle (PHP2Shell), die praktisch jede Webhosting-Umgebung betrifft, wird bereits breit gescannt. In Arista VeloCloud Orchestrator wird eine SQL-Injection aktiv ausgenutzt, und GitLab schlie\u00dft eine L\u00fccke mit dem H\u00f6chstwert von 10,0, die Releases aus zw\u00f6lf Jahren betrifft.<\/strong><\/p>\n<ul>\n<li><a href=\"#php\">PHP2Shell: Zwei kritische PHP-L\u00fccken erm\u00f6glichen Angreifern Codeausf\u00fchrung ohne Anmeldung, Scans laufen bereits<\/a><\/li>\n<li><a href=\"#arista\">Arista warnt vor aktiv ausgenutzter SQL-Injection in VeloCloud Orchestrator<\/a><\/li>\n<li><a href=\"#gitlab\">GitLab schlie\u00dft kritische L\u00fccke mit CVSS 10,0, die selbst betriebene Installationen bis zu zw\u00f6lf Jahre zur\u00fcck betrifft<\/a><\/li>\n<\/ul>\n<h4 id=\"php\">PHP2Shell: Zwei kritische PHP-L\u00fccken erm\u00f6glichen Angreifern Codeausf\u00fchrung ohne Anmeldung, Scans laufen bereits<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Zwei Fehler in der Speicherverwaltung und der Fehlerbehandlung von PHP selbst, mit denen ein Angreifer ohne Authentifizierung Code auf dem Server ausf\u00fchren lassen kann. Laut The Hacker News sind alle Releases der Reihen 7.x und 8.x betroffen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-109618 und CVE-2026-109619<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2 (beide)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut The Hacker News. Einen ersten Versuch beobachtete Amazon am 17. Oktober 2026, am 21. Oktober folgten die ersten Angriffe mit dem geleakten Proof of Concept. Nicht alle Quellen best\u00e4tigen eine erfolgreiche Ausnutzung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit 21. Oktober 2026: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (laut Sekund\u00e4rquellen; pr\u00fcfen Sie php.net). F\u00fcr End-of-Life-Branches gibt es keinen Fix<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Beide Fehler stecken in Code, den nahezu jede Anfrage durchl\u00e4uft, und laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/someone-tried-to-exploit-php2shell-4.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> bezeichnet die PHP Foundation sie als schwer zu beheben, ohne die Kompatibilit\u00e4t zu beeintr\u00e4chtigen. Entdeckt wurden sie von Forschern von Calif, OpenAI und Wiz. Details und ein Proof of Concept gelangten vor dem geplanten Release an die \u00d6ffentlichkeit, woraufhin die PHP Foundation das Release um einen Tag vorzog. Amazon beobachtete bereits am 17. Oktober einen ersten Versuch und am 21. Oktober die ersten Angriffe mit dem geleakten Code, wobei offenbar mehrere Angreifer aktiv sind. Pantheon blockierte am 21. Oktober mehr als 60.000 verd\u00e4chtige Anfragen, und Cloudflare beobachtet, dass Angreifer ihre Payloads anpassen, um Filter zu umgehen. Auf GitHub kursieren zudem gef\u00e4lschte PoCs mit Malware. Laut <a href=\"https:\/\/www.dutchitchannel.nl\/news\/763189\/diverse-websites-offline-door-kritieke-kwetsbaarheden-in-php\" target=\"_blank\" rel=\"noopener\">Dutch IT Channel<\/a> nahmen mehrere niederl\u00e4ndische Websites, darunter die der Tweede Kamer (der Zweiten Kammer des niederl\u00e4ndischen Parlaments) und des niederl\u00e4ndischen NCSC, sich vorsorglich vom Netz.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Ein erfolgreicher Angriff verschafft direkten Zugriff auf das Dateisystem und die Datenbank des Webservers. Die Erkennung ist schwierig: Laut CrowdStrike bleiben die Worker stabil, die Responses liefern HTTP 200 und das Anwendungslog bleibt leer. Die einzige Spur ist ein einzelner Memory-Limit-Fehler im Fehlerlog des Webservers, der h\u00e4ufig als Rauschen abgetan wird. VulnCheck z\u00e4hlt mehr als 2,6 Millionen aus dem Internet erreichbare Hosts mit PHP, von denen ein gro\u00dfer Teil auf veralteten Branches l\u00e4uft.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie PHP auf die gepatchte Version Ihres Branches oder installieren Sie die Pakete Ihres Hosting-Anbieters (CloudLinux etwa hat Fixes f\u00fcr ea-php52 bis einschlie\u00dflich ea-php85 ver\u00f6ffentlicht). Hosten Sie Ihre Kunden auf End-of-Life-Versionen, ist eine Migration die einzige echte L\u00f6sung; setzen Sie in der Zwischenzeit WAF-Regeln ein, zum Beispiel die von Cloudflare oder AWS. Durchsuchen Sie die Fehlerlogs nach Memory-Limit-Fehlern und pr\u00fcfen Sie, ob PHP-Prozesse unerwartet Shells starten oder Dateien herunterladen, wie es das FBI empfiehlt. Vertrauen Sie keinen PoCs von GitHub, ohne sie zu pr\u00fcfen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"arista\">Arista warnt vor aktiv ausgenutzter SQL-Injection in VeloCloud Orchestrator<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection in Arista VeloCloud Orchestrator (VCO), der zentralen Verwaltungsplattform von VeloCloud SD-WAN. Betroffen sind On-Premises-Releases vor 5.2.3.18, 6.1.3.10 und 6.4.2.12<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-114625<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,9<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, von Arista im Advisory vom 22. Oktober 2026 best\u00e4tigt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja: VCO 5.2.3.18, 6.1.3.10 und 6.4.2.12. Hosted und Dedicated Orchestrators sind bereits gepatcht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/arista-warns-of-critical-velocloud-sql.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> ben\u00f6tigt ein Angreifer Netzwerkzugriff auf die VCO-Weboberfl\u00e4che und einen g\u00fcltigen Login, wobei die niedrigste Kundenrolle (Enterprise Read Only) bereits gen\u00fcgt. Damit l\u00e4sst sich Superuser-Zugriff auf den Orchestrator erlangen. Die Oberfl\u00e4che ist standardm\u00e4\u00dfig erreichbar, und es gibt keine Einstellung, um das zu verhindern. Arista teilt nicht mit, wann die Angriffe begannen oder was die Angreifer anschlie\u00dfend taten.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Vollst\u00e4ndige Kontrolle \u00fcber den Orchestrator und die darin gespeicherten Daten. Es ist bereits die dritte VCO-L\u00fccke, die Arista seit Ende Juli als ausgenutzt meldet. Bei den beiden fr\u00fcheren warnte Arista, dass ein kompromittierter Orchestrator Zugriff auf VeloCloud-Edge-Ger\u00e4te erm\u00f6glichen kann. Ob das auch hier gilt, geht aus dem Advisory nicht hervor. Orchestrators auf Releases, die die fr\u00fcheren L\u00fccken geschlossen haben, sind weiterhin verwundbar.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie On-Premises-Umgebungen auf das gepatchte Release und beschr\u00e4nken Sie den Zugriff auf die Weboberfl\u00e4che bis dahin auf vertrauensw\u00fcrdige Verwaltungsnetze. Blockieren Sie die IP-Adressen 74.82.197[.]86 und 38.54.50[.]151 und suchen Sie in den Logs nach ihnen. Achten Sie auf Webshells, Hintert\u00fcren, unerwarteten ausgehenden Datenverkehr und k\u00fcrzlich von Administratoren vorgenommene \u00c4nderungen. Bei Verdacht auf eine Kompromittierung sichern Sie zuerst die Logs und Zeitstempel. Betreiben Sie ein \u00e4lteres, nicht mehr unterst\u00fctztes Release, wenden Sie sich an das Arista TAC.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"gitlab\">GitLab schlie\u00dft kritische L\u00fccke mit CVSS 10,0, die selbst betriebene Installationen bis zu zw\u00f6lf Jahre zur\u00fcck betrifft<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow beim Kompilieren eines speziell pr\u00e4parierten regul\u00e4ren Ausdrucks in Onigmo, der Regex-Engine von Ruby, die GitLab mitliefert. Erm\u00f6glicht Codeausf\u00fchrung ohne Authentifizierung auf selbst betriebenen GitLab-Servern, in allen Releases ab 7.0<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-110264<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">10,0<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, GitLab sieht keine Hinweise auf Angriffe, und die L\u00fccke war am 22. Oktober 2026 nicht im CISA-KEV-Katalog gelistet<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit 21. Oktober 2026: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Kein Workaround<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/critical-gitlab-flaw-cvss-100-could.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> kann ein Angreifer ohne Konto einen speziell pr\u00e4parierten regul\u00e4ren Ausdruck kompilieren lassen, woraufhin der Integer Overflow Codeausf\u00fchrung erm\u00f6glicht. GitLab sagt nicht, unter welchen Bedingungen das funktioniert. Gemeldet wurde der Fehler von einem Forscher namens \u201ejoaxcar\u201c, der innerhalb eines Monats bereits vier Codeausf\u00fchrungsl\u00fccken in derselben Regex-Engine gemeldet hat. Fr\u00fchere Fixes, etwa der vom 12. Oktober, deckten nur Version 19.2 und h\u00f6her ab, sodass auch aktualisierte Instanzen verwundbar sein k\u00f6nnen.<\/p>\n<p><strong>Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n<p>Ein GitLab-Server enth\u00e4lt Quellcode, CI\/CD-Secrets und Zug\u00e4nge zu Produktionsumgebungen, eine \u00dcbernahme ist also ein Sprungbrett in Kundenumgebungen. GitLab.com und GitLab Dedicated sind bereits abgesichert; das Risiko liegt bei selbst betriebenen Installationen, die MSPs h\u00e4ufig f\u00fcr sich selbst oder f\u00fcr Kunden betreiben.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie auf das gepatchte Release Ihres Branches. Einen Workaround gibt es nicht. Auf einem Single-Node-Server verursachen 19.4.3 und 19.3.6 wegen Datenbank\u00e4nderungen Downtime; bei Multi-Node-Installationen k\u00f6nnen Sie dem Zero-Downtime-Verfahren folgen. GitLab hat zwei Sigma-Regeln (\u201eOnigmo native worker crash\u201c und \u201eOrg mode render error burst\u201c) ver\u00f6ffentlicht, mit denen Sie die Anwendungslogs durchsuchen k\u00f6nnen. Dasselbe Release schlie\u00dft zehn weitere Schwachstellen, darunter eine Konto\u00fcbernahme und eine Cache-Poisoning-L\u00fccke in OAuth\/OpenID Connect.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine kritische PHP-L\u00fccke wird breit gescannt, Arista VeloCloud Orchestrator wird per SQL-Injection angegriffen und GitLab schlie\u00dft eine kritische L\u00fccke mit CVSS 10,0.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169373,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-vrijdag-23-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-friday-23-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-1024x576.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-P-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"PHP2Shell: Kritische PHP-L\u00fccken werden gescannt, Arista VeloCloud wird angegriffen, GitLab schlie\u00dft L\u00fccke mit CVSS 10,0. Das m\u00fcssen Sie jetzt patchen.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-40","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/40","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=40"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/40\/revisions"}],"predecessor-version":[{"id":41,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/40\/revisions\/41"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=40"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=40"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=40"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=40"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}