{"id":99,"date":"2026-10-26T07:42:28","date_gmt":"2026-10-26T06:42:28","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-montag-26-oktober\/"},"modified":"2026-10-26T11:03:18","modified_gmt":"2026-10-26T10:03:18","slug":"patchwork-montag-26-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-montag-26-oktober\/","title":{"rendered":"Patchwork \u2013 Montag, 26. Oktober"},"content":{"rendered":"<p id=\"top\"><strong>Diese Ausgabe fasst die Entwicklungen des Wochenendes und des heutigen Tages zusammen. Am schwersten wiegt die aktiv ausgenutzte SQL-Injection-L\u00fccke in Arista VeloCloud Orchestrator, gefolgt von Web Shells \u00fcber Collabora Online in Nextcloud. Au\u00dferdem kapert der Akteur k0t Firewalls und VPN-Gateways von Fortinet und Palo Alto, GitLab behebt eine L\u00fccke mit CVSS 10,0, und eine Forscherin demonstriert eine Root-Eskalation in Tailscale SSH, f\u00fcr die es noch keinen Patch gibt.<\/strong><\/p>\n<ul>\n<li><a href=\"#arista\">Arista VeloCloud Orchestrator aktiv ausgenutzt: SQL-Injection mit CVSS 9,9 in der SD-WAN-Verwaltungsumgebung<\/a><\/li>\n<li><a href=\"#collabora\">Collabora Online in Nextcloud wird f\u00fcr Web Shells missbraucht: kritische L\u00fccke im integrierten CODE-Server<\/a><\/li>\n<li><a href=\"#k0t\">Angreifer k0t kapert Firewalls und VPN-Gateways: \u00fcber 70.000 Zugangsdaten von FortiGate und GlobalProtect offengelegt<\/a><\/li>\n<li><a href=\"#gitlab\">GitLab behebt kritische L\u00fccke mit CVSS 10,0: Unbekannte Angreifer k\u00f6nnen ohne Anmeldung Code auf Self-Managed-Servern ausf\u00fchren<\/a><\/li>\n<li><a href=\"#tailscale\">Tailworm: Forscherin demonstriert Root-Eskalation \u00fcber Tailscale SSH, noch kein Patch und keine CVE<\/a><\/li>\n<\/ul>\n<h4 id=\"arista\">Arista VeloCloud Orchestrator aktiv ausgenutzt: SQL-Injection mit CVSS 9,9 in der SD-WAN-Verwaltungsumgebung<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">SQL-Injection im On-Premise-Arista VeloCloud Orchestrator (VCO), der Verwaltungsumgebung von VeloCloud SD-WAN. Ein Angreifer erh\u00e4lt Zugriff auf privilegierte interne Funktionen. Betroffen sind On-Premise-Versionen von VCO vor den gepatchten Releases<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-114625<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,9<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Arista meldet aktive Ausnutzung, und die CISA hat die Schwachstelle am 23. Oktober 2026 in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, im Oktober 2026: Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-flags-two-actively-exploited.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> ben\u00f6tigt ein Angreifer Netzwerkzugriff auf die Weboberfl\u00e4che von VCO sowie eine g\u00fcltige angemeldete Sitzung. Die niedrigste Rolle, die daf\u00fcr ausreicht, ist Enterprise Read Only. Schon eine eingeschr\u00e4nkte Rolle gen\u00fcgt also, um an privilegierte Funktionen zu gelangen. Arista teilt keine technischen Details mit und nennt keinen T\u00e4ter. Ver\u00f6ffentlicht wurden jedoch zwei IP-Adressen, von denen die Aktivit\u00e4t ausgeht, beide in Japan geolokalisiert: 74.82.197.86 und 38.54.50.151.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein Orchestrator steuert die SD-WAN-Konfiguration s\u00e4mtlicher angebundener Kundenstandorte. Mit der Kontrolle \u00fcber den Orchestrator kann ein Angreifer Routing und Richtlinien \u00e4ndern. Zudem ist es bereits die dritte VCO-Schwachstelle, die seit Juli 2026 in freier Wildbahn ausgenutzt wird, nach zwei fr\u00fcheren L\u00fccken mit CVSS 10,0. Siehe auch die Meldung der <a href=\"https:\/\/www.cisa.gov\/news-events\/alerts\/2026\/10\/23\/cisa-adds-one-known-exploited-vulnerability-catalog\" target=\"_blank\" rel=\"noopener\">CISA<\/a>.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie On-Premise-VCO auf 5.2.3.18, 6.1.3.10 oder 6.4.2.12. Machen Sie die Weboberfl\u00e4che nicht aus dem Internet erreichbar und beschr\u00e4nken Sie den Zugriff auf Verwaltungsnetze. Durchsuchen Sie die Logs nach Datenverkehr von den beiden genannten IP-Adressen und pr\u00fcfen Sie Konten mit der Rolle Enterprise Read Only auf unerwartete Nutzung.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"collabora\">Collabora Online in Nextcloud wird f\u00fcr Web Shells missbraucht: kritische L\u00fccke im integrierten CODE-Server<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">OS-Command-Injection im integrierten CODE-Server (richdocumentscode) von Collabora Online, der innerhalb von Nextcloud genutzt wird. Codeausf\u00fchrung \u00fcber proxy.php, allerdings nur, wenn der lokale CODE-Dokumentenserver nicht l\u00e4uft<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-110447<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">9,2<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, die CISA hat die L\u00fccke am 23. Oktober 2026 in den KEV-Katalog aufgenommen<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, Version 26.4.303 vom September 2026<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p><a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-flags-two-actively-exploited.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> berichtet, dass Angreifer die L\u00fccke nutzen, um Web Shells auf Nextcloud-Servern zu platzieren. Anschlie\u00dfend suchen sie nach gespeicherten Zugangsdaten, Spuren von Passwortmanagern und Krypto-Wallets.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Eine Web Shell verschafft dem Angreifer dauerhaften Zugriff auf den Server, auf dem Nextcloud l\u00e4uft. F\u00fcr MSPs, die gehostete Nextcloud-Umgebungen f\u00fcr Kunden betreiben, bedeutet das Zugriff auf Dateien und m\u00f6glicherweise auf weitere Systeme im selben Netzwerk.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Aktualisieren Sie die Collabora-App (richdocumentscode) auf 26.4.303 oder neuer, auch in Umgebungen, die seit Monaten nicht angefasst wurden. Pr\u00fcfen Sie das Webroot auf unbekannte Dateien, insbesondere im Umfeld von proxy.php, und durchsuchen Sie die Logs nach verd\u00e4chtigen Anfragen. Finden Sie eine Web Shell, sollten Sie von einer vollst\u00e4ndigen Kompromittierung des Servers ausgehen und gespeicherte Zugangsdaten rotieren.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"k0t\">Angreifer k0t kapert Firewalls und VPN-Gateways: \u00fcber 70.000 Zugangsdaten von FortiGate und GlobalProtect offengelegt<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Kampagne gegen aus dem Internet erreichbare Netzwerkger\u00e4te, vor allem Fortinet FortiGate und Palo Alto Networks GlobalProtect. Der Angreifer nutzt bekannte Schwachstellen in FortiWeb und PAN-OS\/Prisma Access sowie zus\u00e4tzlich Brute Force mit g\u00e4ngigen Passw\u00f6rtern<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2025-64446 (FortiWeb, Path Traversal) und CVE-2026-0257 (PAN-OS und Prisma Access, Umgehung der Authentifizierung)<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, laut Group-IB und NyxLab; die meisten Einbr\u00fcche fanden zwischen Februar und Juni 2026 statt<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja f\u00fcr die genannten CVEs: Installieren Sie die aktuelle Firmware des Herstellers. Gegen Brute Force helfen ein starkes Passwort und MFA<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n<p>Forscher von Group-IB und NyxLab beschreiben in einer <a href=\"https:\/\/thehackernews.com\/2026\/10\/hackers-breach-enterprise-firewalls-and.html\" target=\"_blank\" rel=\"noopener\">gemeinsamen Untersuchung<\/a>, wie der Akteur \u201ek0t\u201c Ger\u00e4te \u00fcber Scan-Tools wie FOFA und ZoomEye aufsp\u00fcrte, \u00fcber die genannten L\u00fccken oder schwache Passw\u00f6rter eindrang und anschlie\u00dfend eine OpenConnect-VPN-Verbindung aufbaute. Im Netzwerk folgten die Auskundschaftung des Active Directory und der Diebstahl weiterer Zugangsdaten, unter anderem mit Mimikatz und Impacket. F\u00fcr die Persistenz nutzte der Angreifer legitime Verwaltungstools wie MeshCentral, Atera und AnyDesk, und Daten wurden per Rclone zu Wasabi und MEGA abgezogen.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Mehr als 70.000 Zugangsdaten von Netzwerkger\u00e4ten sowie LDAP-Dumps wurden offengelegt. Laut der Untersuchung steht k0t wahrscheinlich den Ransomware-Gruppen Qilin und The Gentlemen nahe, als Initial Access Broker oder Affiliate. Rund 15,8 Prozent der Opfer sitzen in Europa. Da es sich um bekannte RMM-Tools handelt, f\u00e4llt die Persistenz in den Logs kaum auf.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Patchen Sie FortiWeb, PAN-OS und Prisma Access, nehmen Sie Verwaltungsoberfl\u00e4chen vom Internet und erzwingen Sie MFA f\u00fcr VPN. Rotieren Sie Passw\u00f6rter, die \u00fcber LDAP oder die Firewall verwendet wurden. Erfassen Sie au\u00dferdem, welche Remote-Access-Tools (MeshCentral, Atera, AnyDesk) in Kundenumgebungen vorhanden sein sollten, und untersuchen Sie alles, was dar\u00fcber hinausgeht.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"gitlab\">GitLab behebt kritische L\u00fccke mit CVSS 10,0: Unbekannte Angreifer k\u00f6nnen ohne Anmeldung Code auf Self-Managed-Servern ausf\u00fchren<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Integer Overflow in der Regex-Engine Onigmo, die GitLab mitliefert. Ein speziell konstruierter regul\u00e4rer Ausdruck kann ohne Authentifizierung zur Codeausf\u00fchrung auf Self-Managed-GitLab f\u00fchren, von Version 7.0 bis zu den gepatchten Releases<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">CVE-2026-110264<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVSS-Score<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">10,0<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, GitLab beobachtet keine Ausnutzung, und die L\u00fccke stand am 22. Oktober 2026 nicht im KEV-Katalog<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Ja, unter anderem 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Laut <a href=\"https:\/\/thehackernews.com\/2026\/10\/critical-gitlab-flaw-cvss-100-could.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> hat GitLab die Voraussetzungen f\u00fcr eine Ausnutzung nicht ver\u00f6ffentlicht. Gemeldet wurde die L\u00fccke von einem Forscher mit dem Namen \u201ejoaxcar\u201c, demselben, der innerhalb eines Monats vier L\u00fccken in der Regex-Engine gefunden hat. GitLab.com l\u00e4uft bereits mit einer gepatchten Version, das Risiko liegt also bei selbst verwalteten Installationen.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein GitLab-Server enth\u00e4lt h\u00e4ufig Quellcode, CI\/CD-Secrets und Zugangsschl\u00fcssel von Kunden. Codeausf\u00fchrung ohne Anmeldung kann damit zum Sprungbrett auf andere Systeme werden. Achtung: Umgebungen, die am 12. Oktober gepatcht wurden (19.2 und h\u00f6her), sind erneut verwundbar, bis sie auf die neuen Versionen aktualisiert sind.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>F\u00fchren Sie ein Upgrade auf die gepatchte Version Ihrer Release-Reihe durch. GitLab bietet keinen Workaround, Aktualisieren ist also die einzige sichere Ma\u00dfnahme. Rechnen Sie bei Single-Node-Servern mit Downtime, da 19.4.3 und 19.3.6 Datenbank\u00e4nderungen enthalten. GitLab hat zwei Sigma-Erkennungsregeln (\u201eOnigmo native worker crash\u201c und \u201eOrg mode render error burst\u201c) ver\u00f6ffentlicht, mit denen sich Logs nach Ausnutzungsversuchen durchsuchen lassen.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n<h4 id=\"tailscale\">Tailworm: Forscherin demonstriert Root-Eskalation \u00fcber Tailscale SSH, noch kein Patch und keine CVE<\/h4>\n<table style=\"border-collapse: collapse; width: 100%; margin: 0.5em 0 1em;\">\n<tbody>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Schwachstelle<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Reihe von 11 Befunden in Tailscale und headscale, darunter eine Eskalation zu Root \u00fcber Tailscale SSH mit Port Forwarding. Getestet mit Tailscale 1.104.2 und headscale 0.29.5 in einer Laborumgebung<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">CVE-Nummer<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Keine CVE vergeben<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Aktiv ausgenutzt<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, es gibt lediglich eine Labordemonstration vom 25. Oktober 2026; der Proof of Concept ist nicht \u00f6ffentlich<\/td>\n<\/tr>\n<tr>\n<td style=\"border: 1px solid #999; padding: 6px 10px; font-weight: 600; vertical-align: top; width: 160px;\">Patch verf\u00fcgbar<\/td>\n<td style=\"border: 1px solid #999; padding: 6px 10px; vertical-align: top;\">Nein, Tailscale hat noch kein Bulletin und keine fehlerbereinigte Version ver\u00f6ffentlicht. Es gibt jedoch Konfigurationsma\u00dfnahmen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n<p>Die Forscherin Erica Windisch von Cyberdione Labs beschreibt in ihrem Bericht, den <a href=\"https:\/\/thehackernews.com\/2026\/10\/unpatched-tailscale-ssh-flaws-could-let.html\" target=\"_blank\" rel=\"noopener\">The Hacker News<\/a> zusammengefasst hat, dass ein Angreifer bereits ein zugelassenes Ger\u00e4t im Netzwerk kontrollieren muss und Tailscale SSH Port Forwarding erlauben muss. \u00dcber einen Socket, der nur f\u00fcr Root vorgesehen ist, gelang ihr Root-Zugriff auf das Zielsystem. Ohne Tailnet Lock konnte sie \u00fcber eine Race Condition zudem einen Enrollment-Schl\u00fcssel abgreifen und einen eigenen Rechner als vertrauensw\u00fcrdiges Ger\u00e4t hinzuf\u00fcgen.<\/p>\n<p><strong>Welche Folgen kann das haben?<\/strong><\/p>\n<p>Ein einziges gekapertes Ger\u00e4t kann sich im Labor rasend schnell auf alle Ger\u00e4te ausbreiten, die die Zugriffsregeln zulassen. Windisch bezeichnet dies als \u201ewormable\u201c, was andere bezweifeln. Tailscale hat die technischen Behauptungen noch nicht best\u00e4tigt; VP Engineering Mike Shaver sagte, das Unternehmen untersuche dieselben Bereiche und habe Probleme gefunden, die es behebe. Die Untersuchung wurde bislang nicht unabh\u00e4ngig reproduziert, und die Meldung erfolgte \u201ereported but not coordinated\u201c.<\/p>\n<p><strong>Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n<p>Formulieren Sie SSH-Regeln jeweils von einer Quelle zu einem Ziel und entfernen Sie breit gefasste Regeln auf Basis von Identit\u00e4ten oder Tags. Deaktivieren Sie SSH Port Forwarding, wo immer m\u00f6glich. Unter headscale 0.29.5 ist das nicht m\u00f6glich; behandeln Sie dort jede SSH-Berechtigung wie Root-Zugriff auf das Zielsystem. Aktivieren Sie den Ablauf von Node Keys, schalten Sie Tailnet Lock ein und entfernen Sie ein kompromittiertes Ger\u00e4t in der Control Plane, denn eine blo\u00dfe Neuinstallation widerruft kopierte Schl\u00fcssel nicht.<\/p>\n<p><a href=\"#top\">nach oben ^<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Aktiv ausgenutzte L\u00fccken in Arista VeloCloud Orchestrator und Collabora Online, eine Firewall-Kampagne von k0t, eine GitLab-L\u00fccke mit CVSS 10,0 und eine ungepatchte Tailscale-SSH-Eskalation.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169403,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-maandag-26-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-monday-26-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-B-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Arista VeloCloud Orchestrator wird aktiv ausgenutzt, dazu L\u00fccken in Nextcloud, GitLab und Firewalls: Lesen Sie, was MSPs jetzt patchen m\u00fcssen.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-99","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/99","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=99"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/99\/revisions"}],"predecessor-version":[{"id":100,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/99\/revisions\/100"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=99"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=99"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=99"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=99"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}