{"id":62,"date":"2026-10-22T07:41:12","date_gmt":"2026-10-22T05:41:12","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-donnerstag-22-oktober\/"},"modified":"2026-10-24T22:10:49","modified_gmt":"2026-10-24T20:10:49","slug":"patchwork-donnerstag-22-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-donnerstag-22-oktober\/","title":{"rendered":"Patchwork \u2013 Donnerstag, 22. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>Im Mittelpunkt dieser Ausgabe steht PHP2Shell: zwei kritische L\u00fccken in der PHP-Runtime selbst, f\u00fcr die bereits Angriffsversuche beobachtet wurden und wegen derer in den Niederlanden Dienste wie das staatliche Login-System DigiD und das B\u00fcrgerportal MijnOverheid vorsorglich offline genommen wurden. Au\u00dferdem hat GitLab eine L\u00fccke mit CVSS 10,0 in allen Self-Managed-Versionen seit 2014 geschlossen, und Palo Alto Networks sowie Unit 42 melden, dass Ransomware-Gruppen die GlobalProtect-L\u00fccke in PAN-OS nutzen, um \u00fcber das VPN bis zu vCenter und Veeam vorzudringen.<\/strong><\/p>\n<ul>\n<li><a href=\"#php2shell\">PHP2Shell: zwei kritische RCE-L\u00fccken in der PHP-Runtime, erste Angriffsversuche bereits beobachtet<\/a><\/li>\n<li><a href=\"#gitlab\">GitLab schlie\u00dft kritische L\u00fccke mit H\u00f6chstwertung: nicht authentifizierte Codeausf\u00fchrung auf Self-Managed-Servern<\/a><\/li>\n<li><a href=\"#panos\">Ransomware-Gruppen missbrauchen GlobalProtect-L\u00fccke in PAN-OS und greifen auf vCenter und Veeam \u00fcber<\/a><\/li>\n<\/ul>\n<h4 id=\"php2shell\">PHP2Shell: zwei kritische RCE-L\u00fccken in der PHP-Runtime, erste Angriffsversuche bereits beobachtet<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Zwei Fehler in der PHP-Runtime selbst, nicht in einer Anwendung: ein Out-of-Memory-Fehler und ein Fehler beim Upload-Fortschritt von Sessions. Sie erm\u00f6glichen nicht authentifizierte Remote Code Execution. Betroffen sind PHP 8.5 vor 8.5.12, 8.4 vor 8.4.27, 8.3 vor 8.3.36 und 8.2 vor 8.2.35 sowie Berichten zufolge nahezu alle Versionen bis zur\u00fcck zu PHP 5.4<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-109618 und CVE-2026-109619<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2 f\u00fcr beide (CVSS v4.0, laut PHP)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Angriffsversuche wurden beobachtet: Cloudflare meldete Angriffstraffic, und watchTowr meldete am 21. Oktober 2026 aktive Versuche f\u00fcr beide CVEs. Best\u00e4tigte Einbr\u00fcche wurden nicht gemeldet, und die L\u00fccken stehen noch nicht im KEV-Katalog der CISA<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. F\u00fcr 7.4, 8.0 und 8.1 wurden Quellcode-Backports ver\u00f6ffentlicht. Distributionen haben fr\u00fch gepatcht und behalten teilweise alte Versionsnummern bei<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/php-issues-emergency-patches-for-two.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> zielt der Angriff auf die Runtime, noch bevor Anwendungscode ausgef\u00fchrt wird. Bei mod_php gen\u00fcgt laut einem demonstrierten Exploit eine einzige nicht authentifizierte Anfrage. Bei PHP-FPM wurde Codeausf\u00fchrung f\u00fcr den Session-Fehler nachgewiesen, allerdings h\u00e4ngt dies von einer Aktion in der laufenden Anwendung ab. Selbst eine einfache \u201eHello World\u201c-Seite auf einer verwundbaren Version kann zum Ziel werden. Entdeckt wurden die Fehler von Wiz Research, Calif und dem Codex-Security-Team von OpenAI. Die Ver\u00f6ffentlichung verlief nicht nach Plan: Am 20. Oktober sickerte die Ank\u00fcndigung durch, und Calif ver\u00f6ffentlichte versehentlich ein Video eines funktionierenden Proof of Concept, woraufhin PHP das Release auf den 21. Oktober vorzog.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Angreifer k\u00f6nnen den Arbeitsspeicher von PHP-Workern auslesen, in dem Passw\u00f6rter, Tokens, API-Schl\u00fcssel und Zertifikate anderer Anfragen liegen k\u00f6nnen, und im schlimmsten Fall Code auf dem Server ausf\u00fchren. In den Niederlanden gingen laut dem niederl\u00e4ndischen Sender NOS unter anderem MijnOverheid, DigiD und die Website der Tweede Kamer, des niederl\u00e4ndischen Parlaments, vorsorglich offline. Das niederl\u00e4ndische NCSC stellte keinen Missbrauch fest. F\u00fcr Hoster und MSPs mit verwalteten Webservern betrifft diese L\u00fccke genau die Ebene, f\u00fcr die Sie als Administrator zust\u00e4ndig sind: Ein Update von WordPress oder Laravel aktualisiert die Runtime nicht.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie PHP \u00fcber das Serverpaket, den Host oder das Container-Image, und starten Sie anschlie\u00dfend Apache, PHP-FPM und andere langlaufende Worker neu. Pr\u00fcfen Sie bei Distributionspaketen das Changelog auf die CVEs statt auf die Versionsnummer. K\u00f6nnen Sie noch nicht patchen, setzen Sie session.upload_progress.enabled auf 0, stellen Sie memory_limit auf -1 ein und halten Sie post_max_size niedrig. Das deckt nicht alle Varianten ab. Achten Sie auf Hinweise auf einen m\u00f6glichen fr\u00fcheren Einbruch: ungew\u00f6hnliche Multipart-Anfragen gefolgt von Speicherfehlern, wiederholte HTTP-500-Meldungen, ungew\u00f6hnlich gro\u00dfe PHPSESSID-Cookies und unerkl\u00e4rliche Neustarts von Workern. Der Support f\u00fcr PHP 8.2 endet am 31. Dezember 2026, planen Sie also die Migration.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"gitlab\">GitLab schlie\u00dft kritische L\u00fccke mit H\u00f6chstwertung: nicht authentifizierte Codeausf\u00fchrung auf Self-Managed-Servern<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow beim Kompilieren eines speziell pr\u00e4parierten regul\u00e4ren Ausdrucks in Onigmo, der Regex-Engine von Ruby, die GitLab selbst mitliefert. Betrifft Self-Managed GitLab von 7.0 bis einschlie\u00dflich 18.11 (vor 18.11.13), 19.0 vor 19.0.10, 19.1 vor 19.1.9, 19.2 vor 19.2.9, 19.3 vor 19.3.6, 19.4 vor 19.4.3 und 19.5 vor 19.5.1<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-110264<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">10,0<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, GitLab sieht keine Hinweise auf Missbrauch, und die L\u00fccke steht am 22. Oktober 2026 nicht im KEV-Katalog der CISA<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. Es gibt keinen Workaround<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/critical-gitlab-flaw-cvss-100-could.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> kann ein nicht authentifizierter Angreifer \u00fcber den Overflow Code auf dem Server ausf\u00fchren lassen, und zwar \u201eunter bestimmten Voraussetzungen\u201c, die GitLab nicht n\u00e4her erl\u00e4utert. Administratoren k\u00f6nnen ihre Betroffenheit also nicht anhand ihrer Konfiguration ausschlie\u00dfen. Es ist bereits der vierte Codeausf\u00fchrungsfehler in der Regex-Engine von GitLab innerhalb eines Monats, gemeldet von einem Forscher namens joaxcar, und der erste, der auch Versionen vor 19.2 betrifft.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein kompromittierter GitLab-Server verschafft Zugriff auf Quellcode, CI\/CD-Secrets, Deploy-Tokens und oft auch auf die Umgebungen, in die diese ausgerollt werden. F\u00fcr MSPs, die GitLab f\u00fcr Kunden selbst hosten oder intern nutzen, ist das ein direkter Weg in Kundenumgebungen. GitLab.com und Dedicated-Tenants auf den gepatchten Versionen sind bereits sicher.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie auf die gepatchte Version Ihres Zweigs. Haben Sie am 12. Oktober gepatcht und betreiben Sie 19.2 oder neuer, sind Sie erneut verwundbar, denn jenes Update enthielt diesen Fix nicht. Die Versionen 19.4.3 und 19.3.6 enthalten Datenbankmigrationen; rechnen Sie bei einer Single-Node-Installation daher mit Downtime. Bis das Patchen abgeschlossen ist: Nehmen Sie GitLab vom offenen Internet oder stellen Sie es hinter ein VPN, und nutzen Sie die beiden von GitLab ver\u00f6ffentlichten Sigma-Regeln (\u201eOnigmo native worker crash\u201c und \u201eOrg mode render error burst\u201c), um die Anwendungslogs zu durchsuchen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"panos\">Ransomware-Gruppen missbrauchen GlobalProtect-L\u00fccke in PAN-OS und greifen auf vCenter und Veeam \u00fcber<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Authentifizierungs-Bypass im GlobalProtect-Portal und -Gateway von PAN-OS, mit dem Angreifer ohne g\u00fcltige Authentifizierung und unter Umgehung der MFA eine VPN-Sitzung aufbauen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-0257<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit dem 13. Mai 2026 im KEV-Katalog der CISA. Unit 42 meldete am 19. Oktober 2026 Missbrauch durch Ransomware-Gruppen, darunter Qilin und Inc<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, \u00fcber eine korrigierte PAN-OS-Version oder die Workarounds im Advisory von Palo Alto Networks. Pr\u00fcfen Sie im Advisory die passende Version f\u00fcr Ihren Zweig<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die Schwachstelle ausgenutzt?<\/strong><\/p>\n<p>Laut dem aktualisierten <a href=\"https:\/\/unit42.paloaltonetworks.com\/active-exploitation-of-pan-os-cve-2026-0257\/\" target=\"_blank\" rel=\"noopener\">Threat Brief von Unit 42<\/a> gelangen Angreifer \u00fcber den Bypass ins VPN, erkunden das Netzwerk mit legitimen Remote-Monitoring- und Management-Tools und bewegen sich lateral \u00fcber RDP und SMB. Zuvor war lediglich von Scans auf GlobalProtect die Rede, inzwischen beschreibt Unit 42 auch Aktivit\u00e4ten nach dem Zugriff. Dieselben Gruppen sind als Spikey Scorpius (Qilin) und Tarnished Scorpius (Inc) bekannt.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>In einem untersuchten Fall sprangen Angreifer vom VPN-Gateway auf eine vCenter-Appliance, deaktivierten Sicherheitsfunktionen auf ESXi-Hosts und lasen offline Credentials aus der virtuellen Festplatte eines Dom\u00e4nencontrollers aus. Einige Akteure kombinierten dies mit dem Missbrauch von Veeam-Infrastruktur (CVE-2023-27532). F\u00fcr MSPs mit Palo-Alto-Firewalls bei Kunden ist die Kette von VPN \u00fcber Hypervisor bis zum Backup genau das Szenario, in dem Verschl\u00fcsselung und der Verlust von Backups zusammenkommen.<\/p>\n<p><strong>Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Patchen Sie PAN-OS oder setzen Sie die Workarounds aus dem Advisory von Palo Alto Networks um. Durchsuchen Sie die GlobalProtect-Logs nach erfolgreichen Logins von den IP-Adressen aus dem Unit-42-Bericht sowie nach Ger\u00e4tenamen wie WINDOWS-LAPTOP-001, DESKTOP-GP01 und GP-CLIENT. Pr\u00fcfen Sie, ob GlobalProtect-Profile mit HTTP\/HTTPS-Diensten auf Management-Interfaces verkn\u00fcpft sind, und beschr\u00e4nken Sie den Administrationszugriff mit Interface-Management-Profilen. Testen Sie von au\u00dfen, ob die Ports 4443 und 3879 auf Ihrer Management-Adresse erreichbar sind. Bei einem Treffer aktivieren Sie Ihren Incident-Response-Prozess und pr\u00fcfen zus\u00e4tzlich vCenter, ESXi und Ihre Veeam-Version.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>PHP2Shell trifft die PHP-Runtime mit zwei kritischen L\u00fccken, GitLab schlie\u00dft eine L\u00fccke mit CVSS 10,0 und Ransomware-Gruppen missbrauchen die GlobalProtect-L\u00fccke in PAN-OS.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169333,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-donderdag-22-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-thursday-22-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B-1024x576.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"PHP2Shell: zwei kritische PHP-L\u00fccken, eine GitLab-L\u00fccke mit CVSS 10,0 und Missbrauch von PAN-OS durch Ransomware-Gruppen. Das sollten Sie jetzt patchen.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-62","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/62","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=62"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/62\/revisions"}],"predecessor-version":[{"id":63,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/62\/revisions\/63"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=62"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=62"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=62"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=62"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}