Was diese Woche aktiv angegriffen wird: Firewall, VPN, Shop und Server

Kurz gesagt

Die US-Behörde CISA hat diese Woche zehn Lücken als aktiv ausgenutzt gemeldet. Für kleine und mittlere Betriebe zählen vor allem Cisco-Firewalls mit VPN, Ivanti Connect Secure, eigene GitLab-Server, Magento-Shops, VMware ESX und Linux-Webserver mit PHP. Gehen Sie die Liste unten durch und fragen Sie bei jedem Treffer den Zuständigen schriftlich nach dem Update.

Was ist passiert?

Die CISA ist die Cyberschutzbehörde der USA. Sie führt einen öffentlichen Katalog von Lücken, die nachweislich angegriffen werden. Wer dort steht, ist keine theoretische Gefahr mehr. Vom 26. bis 30. Oktober kamen zehn Einträge hinzu. Eine CVE ist dabei die weltweit eindeutige Kennung einer Lücke.

Cisco Secure Firewall ASA und FTD (CVE-2026-76418). Über das VPN für Fernzugriff lässt sich die Firewall ohne Anmeldung zum Neustart zwingen. Das greift nur, wenn das SSL-VPN aus dem Internet erreichbar ist und eine zweite Authentifizierung eingerichtet ist. Cisco bestätigt Angriffe und bietet Updates, aber keinen Workaround.

Ivanti Connect Secure (CVE-2026-111357, CVE-2026-118527). Diese VPN-Lösung steht schon seit Mitte Oktober mit einer Lücke im Katalog, die Befehle ohne Anmeldung erlaubt (CVE-2026-104935). Die zwei neuen Einträge lassen sich damit verketten, eine davon bis zu vollen Rechten auf dem Gerät.

GitLab, selbst betrieben (CVE-2026-97229). Wer GitLab auf eigenen Servern betreibt, etwa als Softwarehaus oder Entwicklungsabteilung: Über die CI/CD-Konfiguration lässt sich ohne Anmeldung Code ausführen. GitLab bewertet das mit 10 von 10. Die Updates gibt es seit dem 12. Oktober.

Adobe Commerce und Magento (CVE-2026-48356). Über die Lücke lassen sich gefährliche Dateien hochladen. Die Lücke ist seit Juli bekannt, wird jetzt aber nachweislich ausgenutzt.

VMware ESX (CVE-2026-41709). Ein Administrator kann Aktionen ausführen, ohne dass sie protokolliert werden. Broadcom stuft das als niedrig ein, die CISA führt die Lücke trotzdem als ausgenutzt. Wer ESX betreibt, sollte deshalb nicht nach der Herstellerstufe priorisieren.

Linux-Kernel (CVE-2026-46300). Laut CISA wird diese Lücke zusammen mit den PHP-Lücken vom 21. Oktober genutzt, um auf Webservern Hintertüren abzulegen und Befehle mit vollen Rechten auszuführen.

Brotli (CVE-2026-111497). Brotli ist ein Verfahren zum Komprimieren von Daten und steckt in vielen Programmen, darunter Node.js. Über präparierte Daten lässt sich im schlimmsten Fall Code ausführen.

PHP (CVE-2026-109618, CVE-2026-109619). Seit dem 26. Oktober im Katalog. Unsere Anleitung dazu: PHP2Shell: Zehn Tage nach den Patches.

Was Sie jetzt tun können

1. Liste abgleichen: Nutzen wir Cisco ASA oder FTD, Ivanti Connect Secure, GitLab auf eigenem Server, Magento oder Adobe Commerce, VMware ESX, Linux-Server, Anwendungen auf Node.js? Zu jedem Treffer: Wer ist zuständig?
2. Cisco: Fragen Sie, ob das SSL-VPN mit zweiter Authentifizierung läuft und ob die Firewall auf eine Fixversion aus dem Cisco-Advisory aktualisiert ist. Cisco bietet dafür den Software Checker.
3. Ivanti Connect Secure: Update nach dem Ivanti-Advisory bestätigen lassen und das Gerät auf Einbruch untersuchen lassen. Bei einer Lücke, die seit Wochen angegriffen wird, reicht ein Patch allein nicht.
4. GitLab: Version mindestens 19.4.2, 19.3.5 oder 19.2.8. Die Erkennungsregeln von GitLab helfen bei der Prüfung, ob schon jemand eingedrungen ist.
5. Magento oder Adobe Commerce: Ihre Shop-Agentur nach dem Stand zu Adobe APSB26-73 fragen und unbekannte Dateien im Shop-Verzeichnis suchen lassen.
6. VMware ESX: Auf ESXi 8.0 U3j, 9.0.2.0100 oder 9.1.0.0 aktualisieren lassen, nach dem Broadcom-Advisory VMSA-2026-0006. Und prüfen, wer Administratorrechte auf dem Host hat.
7. Linux-Server: Kernel-Update der Distribution einspielen und neu starten lassen. Ein installierter, aber nicht gestarteter Kernel schützt nicht. Bei Webservern mit PHP zusätzlich die PHP2Shell-Anleitung abarbeiten.
8. Node.js und Brotli: Anwendungen auf Node.js brauchen v22.23.4, v24.22.1 oder v26.12.1 oder neuer, siehe Node.js Security Releases. Für andere Software mit Brotli die Updates des jeweiligen Herstellers abwarten und einspielen.

Häufige Fragen

Warum richten wir uns nach einer US-Behörde? Der CISA-Katalog ist die verlässlichste öffentliche Liste von Lücken, die tatsächlich angegriffen werden. Angreifer machen an Landesgrenzen nicht halt. Wir haben nichts davon. Sind wir fertig? Für diese Woche ja, wenn die Liste vollständig ist. Prüfen Sie das mit dem, der Ihre IT betreut, nicht aus dem Gedächtnis. Reicht es, das Update einzuspielen? Bei Lücken, die schon angegriffen werden, nicht immer. Ein Patch schließt die Tür, er wirft niemanden hinaus. Bei Ivanti, GitLab und Magento gehört eine Prüfung auf Einbruch dazu.

Quellen

• CISA: Known Exploited Vulnerabilities Catalog (Katalogversion 2026.10.30)
• Cisco: Secure Firewall ASA and FTD Remote Access SSL VPN Tunnel Denial of Service Vulnerability (28. Oktober 2026)
• Ivanti: Security Advisory Ivanti Connect Secure CVE-2026-104935
• GitLab: Critical Patch Release 19.4.2, 19.3.5, 19.2.8 (12. Oktober 2026)
• Adobe: Security Bulletin APSB26-73
• Broadcom: VMSA-2026-0006 (29. Juli 2026, aktualisiert 19. August 2026)
• Node.js: October 2026 Security Releases (21. Oktober 2026)
• NVD: CVE-2026-46300 (Linux-Kernel)

Stand: 31. Oktober 2026. Ersetzt keine Prüfung im Einzelfall. Transparenz: Diese Einordnung ist KI-generiert mit menschlicher Prüfung, gekennzeichnet nach Art. 50 der europäischen KI-Verordnung. Auswahl, Quellenprüfung und Freigabe: Schoonnect.