~/radar / 2026-43
Patch-Radar KW 43/2026
Die Woche vom 19. Oktober 2026 bis 25. Oktober 2026: was gepatcht werden muss und was sonst wichtig war.
Diese Woche prüfen
- Microsoft Teams erhält KI‑gestützte, kontextbezogene Phishing‑Erkennung
- BlackX UEFI‑Bootkit nutzt Baton‑Drop‑Lücke zum Umgehen von Secure Boot
- Brotli‑Decoder‑Fehler verursacht RCE in Node.js – betrifft auch Bun, Python und andere Software
- Offengelegte Infrastruktur zeigt, wie Ransomware‑Affiliates KI‑Agenten für Intrusionen nutzten
- Ruby behebt drei Regex‑Engine‑Fehler, die vier kritische GitLab‑RCE‑Lücken verursachten
- BlackX UEFI‑Bootkit umgeht Secure Boot auf gepatchten Windows‑Systemen ohne Widerrufe
- LiteLLM‑Release‑Pipeline gehackt, um Info‑Stealer‑Malware zu verbreiten
- Railway warnt Entwickler, nach möglichem Vorfall Geheimnisse zu rotieren
Sicherheit & Patches
Microsoft Teams erhält KI‑gestützte, kontextbezogene Phishing‑Erkennung
Microsoft plant KI‑gestützte Phishing‑Erkennung in Teams. IT‑Support sollte die neue Funktion testen, Nutzer über mögliche Warnungen informieren und prüfen, ob bestehende E‑Mail‑Filter mit Teams‑Nachrichten kompatibel bleiben.
Quelle ↗BlackX UEFI‑Bootkit nutzt Baton‑Drop‑Lücke zum Umgehen von Secure Boot
Der neue UEFI‑Bootkit BlackX nutzt die Baton‑Drop‑Lücke, um Secure Boot zu umgehen und schädliche Treiber zu laden. System‑Admins sollten Firmware‑Updates prüfen, Secure‑Boot‑Konfigurationen verifizieren und betroffene Geräte neu signieren.
Quelle ↗Brotli‑Decoder‑Fehler verursacht RCE in Node.js – betrifft auch Bun, Python und andere Software
Ein Speicher‑Korruptionsfehler im Brotli‑Decoder betrifft Node.js, Bun, Python‑Pakete und Envoy‑Proxies. Betreiber von Web‑Apps und CI‑Umgebungen sollten betroffene Bibliotheken aktualisieren und Eingaben, die Brotli‑Daten entpacken, prüfen.
Quelle ↗Offengelegte Infrastruktur zeigt, wie Ransomware‑Affiliates KI‑Agenten für Intrusionen nutzten
Forscher fanden ein KI‑gesteuertes Red‑Team‑Framework, das von Ransomware‑Gruppen eingesetzt wird. Sicherheits‑ und SOC‑Teams sollten nach ähnlichen Command‑and‑Control‑Mustern suchen und KI‑basierte Anomalien überwachen.
Quelle ↗Ruby behebt drei Regex‑Engine‑Fehler, die vier kritische GitLab‑RCE‑Lücken verursachten
Ruby hat drei Bugs im Onigmo‑Regex‑Engine gepatcht, die GitLab zu Remote‑Code‑Execution verwundbar machten. Betreiber von GitLab‑Instanzen sollten Ruby‑Versionen aktualisieren und die GitLab‑Patches prüfen.
Quelle ↗BlackX UEFI‑Bootkit umgeht Secure Boot auf gepatchten Windows‑Systemen ohne Widerrufe
Ein neuer UEFI‑Bootkit umgeht Secure Boot, selbst wenn Windows‑Updates installiert sind und Revocation‑Listen fehlen. Windows‑Admins sollten Firmware‑ und Secure‑Boot‑Konfiguration prüfen, Revocation‑Daten aktualisieren und betroffene Geräte isolieren.
Quelle ↗LiteLLM‑Release‑Pipeline gehackt, um Info‑Stealer‑Malware zu verbreiten
Die LiteLLM‑Release‑Pipeline wurde kompromittiert; bösartige Docker‑Images wurden veröffentlicht, die Zugangsdaten und Secrets stehlen. Nutzer sollten betroffene Pakete prüfen, Images entfernen und Credentials neu generieren.
Quelle ↗Railway warnt Entwickler, nach möglichem Vorfall Geheimnisse zu rotieren
Railway hat verdächtige Aktivitäten im System zur Speicherung von Umgebungsvariablen entdeckt und empfiehlt, alle Secrets sofort zu rotieren. Betroffene Teams sollten Schlüssel erneuern und Zugriffsprotokolle prüfen.
Quelle ↗Arista warnt vor kritischer VeloCloud SQL‑Injection‑Zero‑Day, die in Angriffen ausgenutzt wird
Arista meldet eine kritische SQL‑Injection‑Zero‑Day in VeloCloud Orchestrator, die selbst Leserechte zu Operator‑Privilegien eskaliert. Kunden sollten sofort prüfen, ob ein Patch verfügbar ist und den Zugriff auf das Orchestrator‑Interface einschränken.
Quelle ↗Onamae Desktop Cloud in Japan gehackt – bis zu 27 000 Server betroffen
Die Infrastruktur von Onamae Desktop Cloud wurde kompromittiert und Malware auf bis zu 26.739 Kunden‑VPS installiert. Betreiber von VPS‑Umgebungen und Cloud‑Storage‑Dienste sollten ihre eigenen Images prüfen, nach ungewöhnlichen Prozessen suchen und ggf. Kunden informieren.
Quelle ↗LiteLLM in Supply‑Chain‑Angriff kompromittiert – Credential‑Stealer und Backdoor
Das Python‑Paket LiteLLM 1.107.0 wurde über PyPI‑Wheels und Docker‑Images mit einem Credential‑Stealer und einer Backdoor versehen. Nutzer von KI‑Automatisierung sollten das Paket aus den Repositories entfernen, auf sichere Alternativen umsteigen und Systeme auf verdächtige Zugriffe prüfen.
Quelle ↗Kritische GitLab‑Lücke (CVSS 10.0) ermöglicht unauthentifizierte RCE über 12 Jahre Releases
GitLab hat einen unauthentifizierten Remote‑Code‑Execution‑Bug, der alle selbst‑gehosteten Instanzen seit 2014 betrifft. Betreiber sollten sofort das Update vom 21. Oct. installieren – auch wenn sie bereits am 12. Oct. gepatcht haben – und die Version prüfen.
Quelle ↗China‑verbundene Hacker nutzen ARTEX‑KI‑Agenten im ConnectWise‑Supply‑Chain‑Angriff
ConnectWise Cloud Backup wurde durch die Nutzung des geschlossenen ARTEX‑Frameworks von Storm‑0940 kompromittiert. Betreiber von ConnectWise‑Backups und Kunden mit automatisierten KI‑Skripten sollten prüfen, ob das Update vom 21. Oct. installiert ist und ungewöhnliche Scan‑Aktivitäten überwachen.
Quelle ↗Node.js behebt eigene und geerbte Sicherheitslücken
Neue Node.js‑Versionen 22.x, 24.x und 26.x schließen hochriskante Schwachstellen und schützen vor manipulierten eMudhra‑Zertifikaten. Alle Server, die Node.js einsetzen, sollten sofort aktualisiert und das Zertifikats‑Handling geprüft werden.
Quelle ↗PHP veröffentlicht Notfall-Patches für kritische PHP2Shell RCE‑Schwachstellen
PHP hat Notfall‑Updates für die als PHP2Shell bezeichneten kritischen RCE‑Lücken veröffentlicht. Nur ein vollständiges Update auf die genannten Patch‑Versionen schließt die Schwachstellen – prüfen Sie Ihre PHP‑Versionen.
Quelle ↗Bronze Sandcastle nutzt Sandboxie‑DLL‑Sideloading zum Einsatz von Backdoors
Forscher haben das Bronze‑Sandcastle‑Cluster entdeckt, das über Sandboxie‑DLL‑Sideloading Backdoors installiert. Prüfen Sie Systeme auf verdächtige DLL‑Ladungen und aktualisieren Sie betroffene Sandbox‑Komponenten.
Quelle ↗Weitere Meldungen
Leck des LiteLLM‑Master‑Keys ermöglichte Diebstahl von GitHub‑Tokens und Hijacking der Release‑Pipeline
Ein versehentlich veröffentlichtes Master‑Key für LiteLLM ermöglichte das Stehlen von GitHub‑Tokens und das Einschleusen bösartiger Pakete. Entwickler von KI‑Pipelines sollten Secrets aus Repos entfernen, Schlüssel rotieren und Build‑Prozesse auditieren.
Quelle ↗Microsoft: Windows Server 2016 erreicht Ende des Supports im Januar
Windows Server 2016 erhält ab Januar 2027 keine Sicherheitsupdates mehr. Betreiber sollten Migration zu neueren Server‑Versionen planen und interimistisch kritische Systeme isolieren.
Quelle ↗Quad9-Rückzug nach Zensur-Urteil, Stellenstreichungen bei Qualcomm
Der DNS‑Dienst Quad9 hat sich nach einem Zensur‑Urteil zurückgezogen. Betreiber sollten prüfen, ob die Resolver noch erreichbar sind und bei Bedarf auf alternative DNS‑Server umstellen.
Quelle ↗Flash‑Talk: Erste Weltraum‑Rechenzentren und neue Controller‑Konzepte
Neue Architekturen sollen KI‑Rechenleistung steigern, gleichzeitig treiben Nachfrage und knappe Fertigung die Speicherpreise nach oben. Betreiber von Cloud‑Speicher‑ und AI‑Workloads sollten Preis‑ und Kapazitäts‑Planungen prüfen.
Quelle ↗Google Chrome fügt ClickFix‑Warnungen zum Schutz vor bösartigen Befehlen hinzu
Chrome rollt ClickFix‑Warnungen aus, wenn Enhanced Protection aktiviert ist, um Nutzer vor dem Kopieren/Einfügen schädlichen Codes zu schützen. Stellen Sie sicher, dass der Schutz aktiv ist und informieren Sie Anwender.
Quelle ↗Neue Artikel per E-Mail
Eine E-Mail pro neuem Artikel. Kein Tracking, jederzeit abbestellbar. Als Dankeschön nach der Bestätigung: meine Checkliste „Server-Betrieb & Patching“ (PDF).
Automatisch ausgewählt und mit KI kommentiert. Fehler bitte melden — ich ziehe Einträge bei Bedarf zurück.
Wochenrückblicke: