IT-Radar und Patch-Radar – Daniele Michelin https://daniele-michelin.com/radar/ Tägliche IT-Nachrichten, kurz eingeordnet, und der wöchentliche Patch-Radar. de KI‑Coding‑Agenten durch bösartige AGENTS.md im Download‑Ordner entführthttps://daniele-michelin.com/radar/#r-9e8f060397f4https://daniele-michelin.com/radar/#r-9e8f060397f4Mon, 26 Oct 2026 06:30:14 +0000Ein bösartiges AGENTS.md im Download‑Ordner täuschte KI‑Coding‑Agenten, sodass ein schädliches npm‑Paket installiert wurde. Teams, die KI‑Code‑Assistenten nutzen, sollten Dateizugriffe einschränken und npm‑Installationen prüfen. PHP2Shell‑Exploitation‑Versuche setzen sich fort – Verdacht auf globale Scans aus Nordkoreahttps://daniele-michelin.com/radar/#r-3eda0d6ae7e3https://daniele-michelin.com/radar/#r-3eda0d6ae7e3Mon, 26 Oct 2026 06:30:14 +0000Angriffe auf verwundbare PHP‑Anwendungen setzen weiterhin auf PHP2Shell‑ähnliche Schwachstellen. Betreiber von PHP‑basierten Diensten sollten ihre Anwendungen patchen, Eingaben härten und das Netzwerk auf Scans überwachen. Ungepatchte Tailscale‑SSH‑Flaws könnten einem gehackten Gerät Root‑Zugriff auf andere Server ermöglichenhttps://daniele-michelin.com/radar/#r-4a8154151413https://daniele-michelin.com/radar/#r-4a8154151413Mon, 26 Oct 2026 06:30:14 +0000Ungepatchte Tailscale‑SSH‑Flaws ermöglichen, dass ein kompromittiertes Gerät über Port‑Forwarding Root‑Zugriff auf andere Server erlangt. Admins mit Tailscale‑SSH sollten sofort Patch‑Status prüfen, Port‑Forwarding prüfen und ggf. deaktivieren. Patch-Radar KW 43/2026: Sicherheitslücken der Wochehttps://daniele-michelin.com/radar/woche/2026-43/https://daniele-michelin.com/radar/woche/2026-43/Sun, 25 Oct 2026 23:00:00 +0000Wochenrückblick KW 43/2026: 16 Sicherheitsmeldungen und weitere IT-News — kurz eingeordnet, mit dem, was Admins jetzt prüfen sollten. Microsoft Teams erhält KI‑gestützte, kontextbezogene Phishing‑Erkennunghttps://daniele-michelin.com/radar/#r-e62f85ca100bhttps://daniele-michelin.com/radar/#r-e62f85ca100bSun, 25 Oct 2026 06:30:14 +0000Microsoft plant KI‑gestützte Phishing‑Erkennung in Teams. IT‑Support sollte die neue Funktion testen, Nutzer über mögliche Warnungen informieren und prüfen, ob bestehende E‑Mail‑Filter mit Teams‑Nachrichten kompatibel bleiben. BlackX UEFI‑Bootkit nutzt Baton‑Drop‑Lücke zum Umgehen von Secure Boothttps://daniele-michelin.com/radar/#r-a6ce31709924https://daniele-michelin.com/radar/#r-a6ce31709924Sun, 25 Oct 2026 06:30:14 +0000Der neue UEFI‑Bootkit BlackX nutzt die Baton‑Drop‑Lücke, um Secure Boot zu umgehen und schädliche Treiber zu laden. System‑Admins sollten Firmware‑Updates prüfen, Secure‑Boot‑Konfigurationen verifizieren und betroffene Geräte neu signieren. Leck des LiteLLM‑Master‑Keys ermöglichte Diebstahl von GitHub‑Tokens und Hijacking der Release‑Pipelinehttps://daniele-michelin.com/radar/#r-3a1a036ef73ahttps://daniele-michelin.com/radar/#r-3a1a036ef73aSun, 25 Oct 2026 06:30:14 +0000Ein versehentlich veröffentlichtes Master‑Key für LiteLLM ermöglichte das Stehlen von GitHub‑Tokens und das Einschleusen bösartiger Pakete. Entwickler von KI‑Pipelines sollten Secrets aus Repos entfernen, Schlüssel rotieren und Build‑Prozesse auditieren. Brotli‑Decoder‑Fehler verursacht RCE in Node.js – betrifft auch Bun, Python und andere Softwarehttps://daniele-michelin.com/radar/#r-a0a9e49aec28https://daniele-michelin.com/radar/#r-a0a9e49aec28Sun, 25 Oct 2026 06:30:14 +0000Ein Speicher‑Korruptionsfehler im Brotli‑Decoder betrifft Node.js, Bun, Python‑Pakete und Envoy‑Proxies. Betreiber von Web‑Apps und CI‑Umgebungen sollten betroffene Bibliotheken aktualisieren und Eingaben, die Brotli‑Daten entpacken, prüfen. Microsoft: Windows Server 2016 erreicht Ende des Supports im Januarhttps://daniele-michelin.com/radar/#r-27be26c6f177https://daniele-michelin.com/radar/#r-27be26c6f177Sat, 24 Oct 2026 05:30:15 +0000Windows Server 2016 erhält ab Januar 2027 keine Sicherheitsupdates mehr. Betreiber sollten Migration zu neueren Server‑Versionen planen und interimistisch kritische Systeme isolieren. Offengelegte Infrastruktur zeigt, wie Ransomware‑Affiliates KI‑Agenten für Intrusionen nutztenhttps://daniele-michelin.com/radar/#r-015a882ee274https://daniele-michelin.com/radar/#r-015a882ee274Sat, 24 Oct 2026 05:30:15 +0000Forscher fanden ein KI‑gesteuertes Red‑Team‑Framework, das von Ransomware‑Gruppen eingesetzt wird. Sicherheits‑ und SOC‑Teams sollten nach ähnlichen Command‑and‑Control‑Mustern suchen und KI‑basierte Anomalien überwachen. Ruby behebt drei Regex‑Engine‑Fehler, die vier kritische GitLab‑RCE‑Lücken verursachtenhttps://daniele-michelin.com/radar/#r-4645fb818a8ehttps://daniele-michelin.com/radar/#r-4645fb818a8eSat, 24 Oct 2026 05:30:15 +0000Ruby hat drei Bugs im Onigmo‑Regex‑Engine gepatcht, die GitLab zu Remote‑Code‑Execution verwundbar machten. Betreiber von GitLab‑Instanzen sollten Ruby‑Versionen aktualisieren und die GitLab‑Patches prüfen. BlackX UEFI‑Bootkit umgeht Secure Boot auf gepatchten Windows‑Systemen ohne Widerrufehttps://daniele-michelin.com/radar/#r-077ef200d3e0https://daniele-michelin.com/radar/#r-077ef200d3e0Sat, 24 Oct 2026 05:30:15 +0000Ein neuer UEFI‑Bootkit umgeht Secure Boot, selbst wenn Windows‑Updates installiert sind und Revocation‑Listen fehlen. Windows‑Admins sollten Firmware‑ und Secure‑Boot‑Konfiguration prüfen, Revocation‑Daten aktualisieren und betroffene Geräte isolieren. LiteLLM‑Release‑Pipeline gehackt, um Info‑Stealer‑Malware zu verbreitenhttps://daniele-michelin.com/radar/#r-0151e8522bf7https://daniele-michelin.com/radar/#r-0151e8522bf7Fri, 23 Oct 2026 05:30:14 +0000Die LiteLLM‑Release‑Pipeline wurde kompromittiert; bösartige Docker‑Images wurden veröffentlicht, die Zugangsdaten und Secrets stehlen. Nutzer sollten betroffene Pakete prüfen, Images entfernen und Credentials neu generieren. Railway warnt Entwickler, nach möglichem Vorfall Geheimnisse zu rotierenhttps://daniele-michelin.com/radar/#r-6af5f5a84e31https://daniele-michelin.com/radar/#r-6af5f5a84e31Fri, 23 Oct 2026 05:30:14 +0000Railway hat verdächtige Aktivitäten im System zur Speicherung von Umgebungsvariablen entdeckt und empfiehlt, alle Secrets sofort zu rotieren. Betroffene Teams sollten Schlüssel erneuern und Zugriffsprotokolle prüfen. Arista warnt vor kritischer VeloCloud SQL‑Injection‑Zero‑Day, die in Angriffen ausgenutzt wirdhttps://daniele-michelin.com/radar/#r-23872cb1986ehttps://daniele-michelin.com/radar/#r-23872cb1986eFri, 23 Oct 2026 05:30:14 +0000Arista meldet eine kritische SQL‑Injection‑Zero‑Day in VeloCloud Orchestrator, die selbst Leserechte zu Operator‑Privilegien eskaliert. Kunden sollten sofort prüfen, ob ein Patch verfügbar ist und den Zugriff auf das Orchestrator‑Interface einschränken. Quad9-Rückzug nach Zensur-Urteil, Stellenstreichungen bei Qualcommhttps://daniele-michelin.com/radar/#r-40ccda1b01a4https://daniele-michelin.com/radar/#r-40ccda1b01a4Fri, 23 Oct 2026 05:30:14 +0000Der DNS‑Dienst Quad9 hat sich nach einem Zensur‑Urteil zurückgezogen. Betreiber sollten prüfen, ob die Resolver noch erreichbar sind und bei Bedarf auf alternative DNS‑Server umstellen. Onamae Desktop Cloud in Japan gehackt – bis zu 27 000 Server betroffenhttps://daniele-michelin.com/radar/#r-e9fd60a700e2https://daniele-michelin.com/radar/#r-e9fd60a700e2Thu, 22 Oct 2026 05:30:21 +0000Die Infrastruktur von Onamae Desktop Cloud wurde kompromittiert und Malware auf bis zu 26.739 Kunden‑VPS installiert. Betreiber von VPS‑Umgebungen und Cloud‑Storage‑Dienste sollten ihre eigenen Images prüfen, nach ungewöhnlichen Prozessen suchen und ggf. Kunden informieren. LiteLLM in Supply‑Chain‑Angriff kompromittiert – Credential‑Stealer und Backdoorhttps://daniele-michelin.com/radar/#r-f5335e20393bhttps://daniele-michelin.com/radar/#r-f5335e20393bThu, 22 Oct 2026 05:30:21 +0000Das Python‑Paket LiteLLM 1.107.0 wurde über PyPI‑Wheels und Docker‑Images mit einem Credential‑Stealer und einer Backdoor versehen. Nutzer von KI‑Automatisierung sollten das Paket aus den Repositories entfernen, auf sichere Alternativen umsteigen und Systeme auf verdächtige Zugriffe prüfen. Kritische GitLab‑Lücke (CVSS 10.0) ermöglicht unauthentifizierte RCE über 12 Jahre Releaseshttps://daniele-michelin.com/radar/#r-a9726704f0fahttps://daniele-michelin.com/radar/#r-a9726704f0faThu, 22 Oct 2026 05:30:21 +0000GitLab hat einen unauthentifizierten Remote‑Code‑Execution‑Bug, der alle selbst‑gehosteten Instanzen seit 2014 betrifft. Betreiber sollten sofort das Update vom 21. Oct. installieren – auch wenn sie bereits am 12. Oct. gepatcht haben – und die Version prüfen. China‑verbundene Hacker nutzen ARTEX‑KI‑Agenten im ConnectWise‑Supply‑Chain‑Angriffhttps://daniele-michelin.com/radar/#r-9b69347cfd29https://daniele-michelin.com/radar/#r-9b69347cfd29Thu, 22 Oct 2026 05:30:21 +0000ConnectWise Cloud Backup wurde durch die Nutzung des geschlossenen ARTEX‑Frameworks von Storm‑0940 kompromittiert. Betreiber von ConnectWise‑Backups und Kunden mit automatisierten KI‑Skripten sollten prüfen, ob das Update vom 21. Oct. installiert ist und ungewöhnliche Scan‑Aktivitäten überwachen. Flash‑Talk: Erste Weltraum‑Rechenzentren und neue Controller‑Konzeptehttps://daniele-michelin.com/radar/#r-75d505f0d852https://daniele-michelin.com/radar/#r-75d505f0d852Wed, 21 Oct 2026 16:11:50 +0000Neue Architekturen sollen KI‑Rechenleistung steigern, gleichzeitig treiben Nachfrage und knappe Fertigung die Speicherpreise nach oben. Betreiber von Cloud‑Speicher‑ und AI‑Workloads sollten Preis‑ und Kapazitäts‑Planungen prüfen. Node.js behebt eigene und geerbte Sicherheitslückenhttps://daniele-michelin.com/radar/#r-6e45f239cf9bhttps://daniele-michelin.com/radar/#r-6e45f239cf9bWed, 21 Oct 2026 16:07:00 +0000Neue Node.js‑Versionen 22.x, 24.x und 26.x schließen hochriskante Schwachstellen und schützen vor manipulierten eMudhra‑Zertifikaten. Alle Server, die Node.js einsetzen, sollten sofort aktualisiert und das Zertifikats‑Handling geprüft werden. PHP veröffentlicht Notfall-Patches für kritische PHP2Shell RCE‑Schwachstellenhttps://daniele-michelin.com/radar/#r-6478f5844cefhttps://daniele-michelin.com/radar/#r-6478f5844cefWed, 21 Oct 2026 16:07:00 +0000PHP hat Notfall‑Updates für die als PHP2Shell bezeichneten kritischen RCE‑Lücken veröffentlicht. Nur ein vollständiges Update auf die genannten Patch‑Versionen schließt die Schwachstellen – prüfen Sie Ihre PHP‑Versionen. Google Chrome fügt ClickFix‑Warnungen zum Schutz vor bösartigen Befehlen hinzuhttps://daniele-michelin.com/radar/#r-f29fd7d40b5fhttps://daniele-michelin.com/radar/#r-f29fd7d40b5fWed, 21 Oct 2026 16:07:00 +0000Chrome rollt ClickFix‑Warnungen aus, wenn Enhanced Protection aktiviert ist, um Nutzer vor dem Kopieren/Einfügen schädlichen Codes zu schützen. Stellen Sie sicher, dass der Schutz aktiv ist und informieren Sie Anwender. Bronze Sandcastle nutzt Sandboxie‑DLL‑Sideloading zum Einsatz von Backdoorshttps://daniele-michelin.com/radar/#r-c7a020f274e0https://daniele-michelin.com/radar/#r-c7a020f274e0Wed, 21 Oct 2026 16:07:00 +0000Forscher haben das Bronze‑Sandcastle‑Cluster entdeckt, das über Sandboxie‑DLL‑Sideloading Backdoors installiert. Prüfen Sie Systeme auf verdächtige DLL‑Ladungen und aktualisieren Sie betroffene Sandbox‑Komponenten.