{"id":97,"date":"2026-10-25T07:41:29","date_gmt":"2026-10-25T06:41:29","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-sonntag-25-oktober\/"},"modified":"2026-10-25T11:29:18","modified_gmt":"2026-10-25T10:29:18","slug":"patchwork-sonntag-25-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-sonntag-25-oktober\/","title":{"rendered":"Patchwork \u2013 Sonntag, 25. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>In dieser Ausgabe geht es um kritische L\u00fccken, die bereits ausgenutzt werden. Angreifer nutzen eine SQL-Injection in Arista VeloCloud Orchestrator, installieren \u00fcber Collabora Online Webshells auf Nextcloud-Servern und brechen in FortiGate- und GlobalProtect-Firewalls ein. Au\u00dferdem warnt PHP vor einem neuen RCE-Risiko, f\u00fcr das es keinen Notfall-Patch gibt.<\/strong><\/p>\n<ul>\n<li><a href=\"#velocloud\">Arista VeloCloud Orchestrator: SQL-Injection verschafft Angreifern Administratorrechte, dritte ausgenutzte L\u00fccke seit Juli<\/a><\/li>\n<li><a href=\"#collabora\">Collabora Online in Nextcloud: Kritische L\u00fccke wird zum Platzieren von Webshells ausgenutzt<\/a><\/li>\n<li><a href=\"#php\">PHP: Neues RCE-Risiko ohne Notfall-Patch, zwei Tage nach den PHP2Shell-Updates<\/a><\/li>\n<li><a href=\"#k0t\">Angreifer k0t knackt FortiGate- und GlobalProtect-Firewalls: \u00fcber 70.000 Zugangsdaten offengelegt<\/a><\/li>\n<\/ul>\n<h4 id=\"velocloud\">Arista VeloCloud Orchestrator: SQL-Injection verschafft Angreifern Administratorrechte, dritte ausgenutzte L\u00fccke seit Juli<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection im On-Premises-Arista VeloCloud Orchestrator (VCO). Ein Angreifer mit einer g\u00fcltigen Sitzung und mindestens der Rolle Enterprise Read Only erh\u00e4lt Zugriff auf privilegierte interne Funktionen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-114625<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,9<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Arista best\u00e4tigt, dass die L\u00fccke in freier Wildbahn ausgenutzt wird; die CISA hat sie am 23. Oktober 2026 in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, im Oktober 2026 ver\u00f6ffentlicht: Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-flags-two-actively-exploited.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> hat Arista best\u00e4tigt, dass Angreifer die L\u00fccke bereits nutzen. Der Angreifer ben\u00f6tigt Netzwerkzugriff auf die Weboberfl\u00e4che des VCO sowie eine g\u00fcltige Sitzung. Arista hat die Aktivit\u00e4ten keiner Gruppe zugeordnet und nennt keine technischen Details dazu, was Angreifer nach der Rechteausweitung tun. Allerdings hat Arista zwei IP-Adressen mit japanischer Geolokalisierung ver\u00f6ffentlicht: 74.82.197[.]86 und 38.54.50[.]151.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Der VCO verwaltet die SD-WAN-Umgebung einer Organisation; wer darauf Administratorrechte hat, kann also die Konfiguration aller angebundenen Standorte \u00e4ndern. Es ist bereits die dritte VCO-L\u00fccke, die seit Juli 2026 ausgenutzt wird, nach zwei fr\u00fcheren Schwachstellen mit dem H\u00f6chstwert von 10,0. F\u00fcr MSPs, die SD-WAN f\u00fcr Kunden betreuen, ist das ein Muster, das man ernst nehmen sollte.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie On-Premises-VCOs auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12. Schr\u00e4nken Sie den Netzwerkzugriff auf die Weboberfl\u00e4che ein, \u00fcberpr\u00fcfen Sie Konten mit der Rolle Enterprise Read Only und durchsuchen Sie die Logs nach Datenverkehr von den beiden genannten IP-Adressen. Der Bericht nennt f\u00fcr US-Bundesbeh\u00f6rden eine Frist bis zum 26. Oktober 2026; diese Frist ist auch f\u00fcr Sie ein guter Richtwert.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"collabora\">Collabora Online in Nextcloud: Kritische L\u00fccke wird zum Platzieren von Webshells ausgenutzt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">OS-Command-Injection im Collabora Online Built-in CODE Server (richdocumentscode) bei Verwendung mit Nextcloud, \u00fcber proxy.php, wenn der lokale CODE-Dokumentenserver nicht l\u00e4uft<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-110447<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Angreifer platzieren Webshells auf Nextcloud-Servern; die CISA hat die L\u00fccke am 23. Oktober 2026 in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, seit September 2026 in Version 26.4.303<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-flags-two-actively-exploited.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> f\u00fchren Angreifer \u00fcber proxy.php Befehle auf dem Server aus und installieren auf diese Weise eine Webshell. Anschlie\u00dfend erkunden sie das System und suchen nach Speicherorten f\u00fcr Zugangsdaten, Passwortmanager-Dateien und Krypto-Wallets.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein kompromittierter Nextcloud-Server verschafft Zugriff auf Gesch\u00e4ftsdokumente und oft auch auf Schl\u00fcssel und Passw\u00f6rter, die auf demselben Rechner liegen. Bei MSPs, die Nextcloud f\u00fcr KMU-Kunden hosten, betrifft schon eine einzige verwundbare Instanz schnell die Daten eines Kunden.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Pr\u00fcfen Sie, ob der Collabora Online Built-in CODE Server l\u00e4uft, und aktualisieren Sie auf 26.4.303 oder neuer. Suchen Sie auf Servern, die l\u00e4nger nicht aktualisiert wurden, nach unbekannten Dateien und Aufrufen von proxy.php, und ersetzen Sie Zugangsdaten, die auf dem Server gespeichert waren, wenn Sie eine Kompromittierung nicht ausschlie\u00dfen k\u00f6nnen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"php\">PHP: Neues RCE-Risiko ohne Notfall-Patch, zwei Tage nach den PHP2Shell-Updates<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">M\u00f6gliche Remote-Codeausf\u00fchrung in PHP bei einer bestimmten Konfiguration: session.serialize_handler steht auf php_binary oder php_serialize, wird zur Laufzeit mit ini_set() vor session_start() auf php gesetzt, und Session Upload Progress ist aktiviert. PHP selbst spricht von \u201ean unlikely risk\u201c. Betroffene Versionen wurden nicht bekanntgegeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-115560<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, keine Ausnutzung gemeldet (Stand: 23. Oktober 2026). Die Angriffe seit dem 21. Oktober richten sich gegen die fr\u00fcheren PHP2Shell-L\u00fccken<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, der Fix folgt im n\u00e4chsten regul\u00e4ren Bugfix-Release. Ma\u00dfnahme: session.upload_progress.enabled=0 setzen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Eine Ausnutzung dieser L\u00fccke wurde bislang nicht gemeldet. Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/urgent-php-warns-of-another-unpatched.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> handelt es sich um eine separate Schwachstelle neben PHP2Shell (CVE-2026-109618 und CVE-2026-109619), f\u00fcr die PHP am 21. Oktober Notfall-Updates in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 ver\u00f6ffentlicht hat. Gegen diese L\u00fccken wurden inzwischen Millionen von Angriffsversuchen beobachtet, unter anderem um eine Mirai-Variante zu installieren. Diese Versuche scheinen bislang nicht erfolgreich zu sein.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Bei einem erfolgreichen Angriff kann ein Angreifer Code auf dem Webserver ausf\u00fchren. Da Session Upload Progress standardm\u00e4\u00dfig aktiviert ist, h\u00e4ngt das Risiko vor allem davon ab, ob eine Anwendung den Session-Handler zur Laufzeit umstellt. Bei Individualentwicklungen und \u00e4lteren CMS-Plugins ist das durchaus m\u00f6glich.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Installieren Sie zuerst die PHP2Shell-Updates, falls das noch nicht geschehen ist. Setzen Sie zudem session.upload_progress.enabled=0 auf Hosting-Plattformen und Kundenservern, bis der Fix erscheint. Haben Sie diese Einstellung bereits f\u00fcr CVE-2026-109619 angepasst, m\u00fcssen Sie nichts weiter tun.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"k0t\">Angreifer k0t knackt FortiGate- und GlobalProtect-Firewalls: \u00fcber 70.000 Zugangsdaten offengelegt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Kampagne gegen aus dem Internet erreichbare Edge-Ger\u00e4te, vor allem Fortinet FortiGate und Palo Alto Networks GlobalProtect, \u00fcber bekannte L\u00fccken und Brute-Force-Angriffe mit h\u00e4ufig verwendeten Zugangsdaten. Versionsnummern werden im Bericht nicht genannt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2025-64446 (Path Traversal in FortiWeb) und CVE-2026-0257 (Authentifizierungs-Bypass in PAN-OS und Prisma Access)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut Group-IB und NyxLab, gemeldet am 23. Oktober 2026; viele Einbr\u00fcche fanden zwischen Februar und Juni 2026 statt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Der Bericht nennt keine Versionen. Installieren Sie die verf\u00fcgbaren Fixes von Fortinet und Palo Alto Networks und verwenden Sie starke, eindeutige Zugangsdaten<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/hackers-breach-enterprise-firewalls-and.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> sucht der Akteur k0t mit FOFA und ZoomEye nach exponierten VPN- und Firewall-Ger\u00e4ten, bricht \u00fcber die genannten L\u00fccken oder durch Erraten von Passw\u00f6rtern ein und baut mit OpenConnect eine VPN-Verbindung auf. Danach folgen die Erkundung des Active Directory, Persistenz mit MeshCentral, Atera, Teramind und AnyDesk sowie dem AdaptixC2-Framework und die Exfiltration von Daten mit Rclone zu Wasabi und MEGA. Group-IB und NyxLab bringen k0t mit den Ransomware-Gruppen Qilin und The Gentlemen in Verbindung.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Durch den Einsatz legitimer Verwaltungstools wie Atera und AnyDesk ist die Pr\u00e4senz des Angreifers nur schwer von normaler MSP-Administration zu unterscheiden. Rund 15,8 Prozent der Opfer sitzen in Europa, und viele Opfer tauchten sp\u00e4ter auf den Leak-Seiten von Ransomware-Gruppen auf.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Patchen Sie FortiGate-, FortiWeb- und PAN-OS-Systeme, nehmen Sie Verwaltungsoberfl\u00e4chen vom Internet und aktivieren Sie die Multi-Faktor-Authentifizierung f\u00fcr VPN-Konten. Suchen Sie in Ihrer Umgebung nach RMM-Tools, die Sie nicht selbst installiert haben, nach ausgehendem Datenverkehr in Richtung Wasabi und MEGA sowie nach unerwarteten OpenConnect-Verbindungen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Angreifer nutzen kritische L\u00fccken in Arista VeloCloud Orchestrator und Collabora Online f\u00fcr Nextcloud aus, knacken Firewalls von Fortinet und Palo Alto Networks, und PHP warnt vor neuem RCE-Risiko.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169402,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-zondag-25-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-sunday-25-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-G.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-G-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Arista VeloCloud Orchestrator wird ausgenutzt, ebenso Collabora Online in Nextcloud. Auch PHP und k0t-Angriffe auf Firewalls erfordern Handeln.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-97","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/97","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=97"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/97\/revisions"}],"predecessor-version":[{"id":98,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/97\/revisions\/98"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=97"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=97"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=97"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=97"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}