Top 5 Cybersicherheit-News

Die Top 5 Cybersicherheit-News dieser Woche, vom 23. Oktober 2026, drehen sich um Zeit. Angreifer brauchten Stunden, in einem Fall begannen sie vier Tage vor der Veröffentlichung. Die Wiederherstellung dauerte Tage: Restores aus sauberen Backups, rotierte Zugangsdaten, Client-Updates und bei einem Lebensmittelkonzern mehr als eine Woche ohne E-Commerce. Eine Schwachstelle in PHP, der Sprache hinter einem großen Teil des Webs, wurde mithilfe von Frontier-KI zum Exploit, und das BSI rechnet mit Massenausnutzung innerhalb weniger Stunden nach dem Patch. Die Ransomware SafePay setzt den Speicher zurück, auf dem Backups liegen. Eine Zertifizierungsstelle erzeugte Schlüssel, die so schwach waren, dass jeder sie wiederherstellen konnte. Ein Premium-WordPress-Plugin lieferte über den eigenen Download-Kanal eine sich selbst neu aufbauende Backdoor aus. Und Ahold Delhaize nahm Systeme auf zwei Kontinenten vom Netz. Fünf Angriffsflächen, eine Frage an jede Führungskraft: Wie lange würde die Wiederherstellung in Ihrem Unternehmen dauern?

1) PHP2Shell gefährdet PHP-Webserver weltweit, und ein Angriffsversuch erfolgte vier Tage vor der Veröffentlichung

Am 21. Oktober veröffentlichte das PHP-Projekt Notfall-Updates für PHP2Shell, zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619), mit denen ein Angreifer ohne Anmeldung Code auf einem Webserver ausführen kann. Die behobenen Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das BSI hatte bereits am selben Tag, vor den für den Nachmittag erwarteten Patches, gewarnt, dass alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar sind. Wiz-Forscher sagen, die Fehler existierten seit Jahrzehnten, und Frontier-KI-Modelle hätten die Hürde für einen funktionierenden Exploit gesenkt; Amazons Honeypot-Netzwerk verzeichnete am 17. Oktober einen Ausnutzungsversuch, vier Tage vor der Veröffentlichung (beides laut Help Net Security).

Betroffen ist jede PHP-Installation, die Webanfragen bedient, darunter PHP-FPM, Apache mit mod_php und LiteSpeed. Palo Alto Networks bestätigte, dass alle Versionen von PAN-OS und Panorama betroffen sind und noch kein korrigiertes Release existiert; das Risiko ist am höchsten, wenn eine Management-Oberfläche Verbindungen aus dem Internet annimmt. Fortinet prüft 12 Produkte und Cisco 31 Produkte und Cloud-Dienste, bisher ist keines als verwundbar bestätigt. VulnCheck berichtet (laut Help Net Security), dass der meiste öffentliche Proof-of-Concept-Code noch nicht funktioniert, weil die Adress-Randomisierung ihn auf x86-64 blockiert, während sie sich auf ARM64 relativ leicht per Brute Force umgehen lässt. Dennoch erwartet VulnCheck breite Angriffsversuche, sodass eine Flut von Logeinträgen wenig darüber aussagt, ob ein Server angreifbar ist.

BSI-Vizepräsident Thomas Caspers hielt eine großflächige Ausnutzung innerhalb weniger Stunden nach den Updates für wahrscheinlich, weil Angreifer Patches mit KI-gestützten Werkzeugen analysieren und schnell Exploits erzeugen können. Hier startet der Patch selbst die Uhr. Der lange Schwanz ist der schwierigere Teil: Das PHP-Projekt unterstützt 8.1 und älter nicht mehr, hat aber minimale Quellcode-Backports für 7.4, 8.0 und 8.1 veröffentlicht, und einige Hersteller liefern Backports; Appliances kann der Kunde erst absichern, wenn der Hersteller ein Release liefert. Für mittelständische Unternehmen ist der erste praktische Schritt ein Inventar von allem, was PHP ausführt, einschließlich Appliances und von Dienstleistern betriebener Seiten, danach ein verifizierter Patchstand und engerer Zugriff auf Management-Oberflächen.

Read more on: BSI Press Release · Help Net Security

2) SafePay setzt Backup-Speicher auf Werkseinstellungen zurück, und das Advisory zählt mindestens 600 Opfer

Am 20. Oktober veröffentlichten das FBI, CISA, der US Secret Service, das Landeskriminalamt Rheinland-Pfalz, die britische National Crime Agency und die North West Regional Organised Crime Unit das Advisory AA26-293A zu SafePay. Die Gruppe ist seit August 2024 aktiv und hat mindestens 600 Opfer in kritischen Infrastruktursektoren in Nord- und Südamerika, Europa und Australien getroffen. Der Zugang erfolgt über offengelegte Zugangsdaten, Brute Force und VPN-Zugänge sowie über fünf bekannte Schwachstellen: CVE-2020-3259 und CVE-2023-20269 (Cisco-Edge-Geräte), CVE-2023-27532 und CVE-2024-40711 (Veeam Backup & Replication) sowie CVE-2024-40766 (SonicWall SonicOS). Laut Advisory stoppt SafePay den Volume Shadow Copy Service und setzt netzwerkgebundenen Speicher mit Backups auf Werkseinstellungen zurück.

Die Schwachstellen stammen aus den Jahren 2020 bis 2024, und die erste Kernempfehlung des Advisorys lautet, Edge-Geräte zu patchen. Unbequemer ist die Prioritätensetzung: Die Gruppe übernimmt oder erstellt Administratorkonten, bewegt sich mit PsExec, WinRM und RDP und greift gezielt die Kopien an, aus denen ein Opfer wiederherstellen würde. Nach unserer Lesart ist jedes Backup-Ziel in Reichweite, das dieselben Administrator-Zugangsdaten wie die Domäne akzeptiert. Die Wiederherstellung löst zudem nur die Hälfte des Problems, denn SafePay exfiltriert zuerst Daten und veröffentlicht sie auf einer Leak-Seite, wenn das Opfer nicht zahlt.

Für Ransomware-Gruppen sind Backups kein Hindernis auf dem Weg zur Verschlüsselung mehr. Sie sind das Gut, das darüber entscheidet, ob Lösegeld gezahlt wird. Die Frage für die Geschäftsleitung lautet deshalb nicht, ob Backups existieren, sondern ob ein Administratorkonto sie löschen kann und wann zuletzt ein Restore von Anfang bis Ende getestet wurde. Die Antwort des Advisorys selbst: Offline-Kopien, verschlüsselt und unveränderbar, an einem physisch getrennten Ort.

Read more on: IC3 / CISA Advisory AA26-293A · HIPAA Journal

3) Acht Schlüssel einer Zertifizierungsstelle erwiesen sich als erratbar

Die privaten Schlüssel von acht Zwischenzertifikaten, die die indische Zertifizierungsstelle eMudhra im April 2025 ausgestellt hatte, wurden mit zu wenig Zufälligkeit erzeugt. Dennis Jackson von Mozilla beschrieb sie als praktisch nur Nullen bis auf das letzte Byte, nahezu sofort wiederherstellbar, und merkte an, dass mehrere Personen sie unabhängig voneinander wiederhergestellt hatten. Mozilla und Google sperrten die Zertifikate am 17. Oktober, Apple folgte am 19. und Microsoft am 20. Oktober; eMudhra widerrief sie, Sectigo leitete Widerrufsmaßnahmen für verwandte Zertifikate ein und Cloudflare patchte seine Dienste. Google warnte, die Schlüssel könnten es jedem ermöglichen, vertrauenswürdige HTTPS-Zertifikate für beliebige Websites zu fälschen, und zwar gegenüber Clients, die den Zwischenzertifikaten noch vertrauen.

Die Sperrung wirkt nur so schnell, wie Clients aktualisiert werden. SecurityWeek weist darauf hin, dass manche Software ein Update braucht, bevor sie den Zwischenzertifikaten nicht mehr vertraut, und Jackson hat ein Werkzeug zur Prüfung veröffentlicht. In der Praxis betrifft das mehr als Browser: Laufzeitumgebungen, Container, Appliances und eingebettete Geräte bringen eigene Trust Stores mit und erhalten Updates oft spät. In den Certificate-Transparency-Logs gibt es keinen Hinweis auf Missbrauch vor dem Widerruf, aber nicht jeder Client erzwingt diese Logs. eMudhra erklärt, ein Skriptfehler habe ein zweites, schwächeres Schlüsselpaar erzeugt, das wegen ähnlicher Bezeichnungen versehentlich verwendet wurde, und dass das Unternehmen in der kommenden Woche jede Key Ceremony erneut prüfen werde.

Vertrauensanker sind Infrastruktur, und dieser ist an einem Prozess gescheitert, nicht an Mathematik: ein geändertes Skript und zwei Schlüsselsätze mit ähnlichen Namen. Ein Widerruf hilft nur dort, wo die Sperrliste ankommt. Unternehmen wissen selten, welche Trust Stores in ihrer Umgebung existieren und wer sie aktualisiert, und genau dieses Inventar lässt sich erstellen, bevor die nächste Zertifizierungsstelle denselben Fehler macht.

Read more on: Mozilla Bugzilla 2083449 · SecurityWeek

4) Ein Rank-Math-PRO-Update enthielt eine Backdoor, die sich selbst neu aufbaut

Rank Math berichtet, dass die PRO-Version 3.0.123, heruntergeladen zwischen dem 15. Oktober um 20:02 UTC und dem 16. Oktober um 07:12 UTC, Schadsoftware enthielt, die eine Website nach Aktivierung des Plugins kompromittieren konnte. Das Unternehmen entfernte die Dateien und veröffentlichte 3.0.124; das kostenlose Plugin von WordPress.org ist nicht betroffen. Laut Hersteller baut die Schadsoftware bei jedem Seitenaufruf eine versteckte Backdoor neu auf. Indikatoren sind ausgehende Verbindungen zu rank1cdn.com, Administratorkonten mit dem Präfix wpsupport_, eine gefälschte Core-Datei namens class-wp-cache-util.php und .htaccess-Regeln, die .cache-Dateien als PHP ausführen. Sekundärquellen nennen CVE-2026-111862 (CVSS 9.8). Wie die Angreifer in den Verteilkanal gelangten, wurde nicht bekannt gegeben.

Wer 3.0.123 in diesem Zeitfenster aktiviert hat, sollte die Website als kompromittiert betrachten. Rank Math empfiehlt, aus einem Backup vor dem 15. Oktober, 20:02 UTC, wiederherzustellen; das Deaktivieren des Plugins genügt nicht, und das Löschen einzelner Dateien scheitert, solange der Mechanismus zum Neuaufbau aktiv ist. Der manuelle Weg beginnt damit, den gesamten Plugin-Ordner und den schädlichen Datenbankeintrag zu entfernen, bevor irgendetwas anderes bereinigt wird. Jedes Geheimnis, das die Website erreichen konnte, von Datenbank-Zugangsdaten und WordPress-Salts bis zu Zahlungs- und SMTP-Schlüsseln, Hosting- und SSH-Zugang, muss ersetzt werden. Websites, die Premium-Plugins automatisch aktualisieren, haben das Paket möglicherweise ohne bewusste Entscheidung übernommen.

Premium-Plugins kommen über den eigenen Kanal des Herstellers, außerhalb der Prüfung, die für WordPress.org gilt, und sie laufen mit den vollen Rechten der Website. Bei einem mittelständischen Unternehmen hängt die Marketing-Website oft an Formularen, einem Shop, einem Mailserver und einem Hosting-Panel; das Plugin, das Seitentitel optimiert, hat damit dieselbe Reichweite wie der Code, der Bestellungen annimmt. Das Zeitfenster von 11 Stunden klingt kurz. Die Bereinigung wird, wie die Checkliste des Herstellers zeigt, in Tagen gemessen.

Read more on: Rank Math Security Notice · SecurityWeek

5) Ahold Delhaize hielt die Filialen offen, während der E-Commerce mehr als eine Woche dunkel blieb

Am 12. Oktober nahm Ahold Delhaize Systeme vom Netz, nachdem das Unternehmen ein Sicherheitsproblem in seinem Netzwerk festgestellt hatte. Am 19. Oktober bestätigte es, dass der Vorfall „durch böswillige Handlungen Dritter verursacht“ wurde, und gab an, das niederländische National Cyber Security Centre innerhalb von 24 Stunden informiert und Anzeige bei der Polizei erstattet zu haben. Bisher gibt es keine Hinweise, dass sensible Kunden-, Mitarbeiter- oder Partnerdaten gestohlen wurden; die Untersuchung läuft. Art des Angriffs und ein mögliches Lösegeld wurden nicht offengelegt. Websites, Apps und E-Commerce waren bei den meisten Marken in Europa und den USA betroffen, alle Filialen blieben geöffnet. Website und App von Albert Heijn sind zurück, die Heimlieferungen sollen ab dem 23. Oktober wieder starten; Belgien ist wieder voll betriebsbereit, und US-Marken wie Food Lion und Stop & Shop warteten auf „die kommenden Tage“.

Ahold Delhaize betreibt 9.551 Filialen, beschäftigt mehr als 384.000 Menschen und bedient laut BleepingComputer 77 Millionen Kunden pro Woche. Dass Systeme bei den meisten Marken auf zwei Kontinenten vom Netz genommen wurden, deutet auf gemeinsame Plattformen hinter Marken hin, die für Kunden getrennt wirken. Das wissen wir nicht vom Unternehmen; so liest sich das Muster. Das Ergebnis zeigt beide Seiten: Der stationäre Handel lief weiter, während der digitale Kanal mehr als eine Woche und in den USA ein nicht benanntes Wiederherstellungsfenster brauchte. Für den Konzern ist es zudem der zweite größere Vorfall in zwei Jahren, nach einem US-Datenvorfall im November 2024, von dem mehr als zwei Millionen Menschen betroffen waren.

Das vorsorgliche Abschalten ist eine Designentscheidung, die lange vor einem Vorfall fällt: was wird isoliert, in welcher Reihenfolge, und was funktioniert ohne das Abgeschaltete weiter. Die meisten Organisationen haben nie erfasst, welche Marken, Standorte oder Geschäftsbereiche an einer Identität, einem Netzwerk oder einer Hosting-Plattform hängen. Fehlende öffentliche Details zum Angriff sind während einer Untersuchung normal und sagen nichts über die Ursache. Die Wiederherstellungszeit ist das, wonach eine Geschäftsleitung schon heute fragen kann.

Read more on: BleepingComputer · The Record

Wenn diese Woche etwas zeigt, dann dies:

Die fünf Vorfälle teilen eine Asymmetrie der Zeit. Angreifer brauchten Stunden oder weniger: ein 11-Stunden-Fenster für ein vergiftetes Plugin, Schlüssel, die fast sofort aus einem Zertifikat fielen, ein PHP-Exploitversuch vier Tage vor der Veröffentlichung, eine Ransomware-Gruppe, die Backup-Speicher zurücksetzt. Die Wiederherstellung brauchte Tage oder länger: Restores, Rotation von Zugangsdaten, Client-Updates, die schrittweise Rückkehr eines Lebensmittelkonzerns und für manche Opfer gar keine saubere Kopie. Die strukturelle Angriffsfläche ist die Zeit zwischen „etwas stimmt nicht“ und „wir laufen wieder auf sauberem Boden“, und der größte Teil dieser Zeit wird lange vor dem Vorfall entschieden, nicht durch ein einzelnes Produkt.

Für Geschäftsleitungen und CISOs ist die nützliche Frage nicht, wie viele dieser Angriffe sich verhindern ließen. Sie lautet, wie lange die Wiederherstellung der wichtigen Systeme aus einem Zustand dauern würde, den der Angreifer nicht berühren kann, wer die Backups löschen kann, welche Lieferanten, Plugins, Zertifikate und Webanwendungen unter Druck ersetzt werden müssten und ob das jemand je gemessen hat. Eine Übung beantwortet das zu einem Bruchteil der Kosten eines Vorfalls.

Wenn Sie besprechen möchten, wie die Wiederherstellungszeit in Ihrer eigenen Umgebung aussieht, erreichen Sie das DIESEC-Team über unsere Kontaktseite.