Auch diese Woche stehen wieder Fernzugriffs-Lösungen im Visier der Angreifer: Eine neue Zero-Day-Lücke im VPN Ivanti Connect Secure wird bereits ausgenutzt, und bei SonicWall-SMA-1000-Geräten wurden kurz nach dem Update erste Angriffsversuche beobachtet. Dazu kommen gute Nachrichten zur FortiMail-Lücke aus der Vorwoche sowie die monatlichen Updates von Microsoft (Stand: 13. Oktober 2026).
1. Ivanti Connect Secure – CVE-2026-104935 (hoch, CVSS 8.6)
Im VPN-Gateway Ivanti Connect Secure können Angreifer ohne Anmeldung die Authentifizierung umgehen und Befehle auf dem Gerät ausführen. Laut dem Sicherheitsforscher Volexity laufen die Angriffe seit dem 3. Oktober; Ivanti bestätigt eine begrenzte Zahl betroffener Kunden. In Kombination mit einer weiteren, noch nicht behobenen Lücke zur Rechteausweitung erhielten die Angreifer volle Kontrolle (Root) über das Gerät, stahlen gespeicherte Zugangsdaten – darunter Active-Directory-Konten – und verwischten ihre Spuren. Die CISA hat die Lücke am 13. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
Betroffen sind die Versionen 22.8R2.4, 25.1.1.1 und 25.1.2.2 sowie jeweils ältere Stände dieser Versionslinien. Korrigiert ist die Lücke in 22.8R2.5, 25.1.1.2, 25.1.3.0 und 25.1.3.1. Die Versionen 22.7.x und älter sind laut Hersteller nicht betroffen.
- Das Update sofort einspielen – ausserhalb des normalen Wartungsfensters.
- Auch nach dem Update nach Spuren eines Einbruchs suchen. Achtung: Der Integrity Checker von Ivanti erkennt diesen Angriff laut Volexity nicht zuverlässig.
- Vorsorglich die Passwörter aller Konten erneuern, die über das VPN-Gerät laufen oder darauf gespeichert sind (insbesondere LDAP-/AD-Dienstkonten).
- Den angekündigten Patch für die zweite Lücke im Auge behalten und ebenfalls umgehend installieren.
Quellen: Ivanti-Advisory · Volexity · Rapid7 · The Hacker News
2. SonicWall SMA 1000 – CVE-2026-102255 (kritisch, CVSS 10.0)
Die Fernzugriffs-Appliances SonicWall Secure Mobile Access (SMA) 1000 enthalten eine Lücke, über die Angreifer ohne Anmeldung das Gerät dazu bringen können, Anfragen in ihrem Auftrag zu senden (Server-Side Request Forgery). SonicWall hat am 6. Oktober Hotfixes veröffentlicht: 12.4.3-03670 und 12.5.0-03082. Bereits zwei Tage später meldeten Sicherheitsfirmen erste Angriffsversuche. SonicWall selbst hat die aktive Ausnutzung zum Zeitpunkt dieses Beitrags noch nicht bestätigt. Bei früheren Angriffen auf SMA-1000-Geräte wurden unter anderem Zugangsdaten und MFA-Schlüssel gestohlen.
- Den passenden Hotfix umgehend installieren.
- Die Verwaltungsoberfläche nur aus dem internen Netz erreichbar machen.
- Protokolle seit dem 6. Oktober auf ungewöhnliche Zugriffe prüfen; bei Verdacht Passwörter und MFA-Registrierungen erneuern.
Quellen: SonicWall-Advisory SNWLID-2026-0017 · The Hacker News · BleepingComputer
3. Nachtrag FortiMail – CVE-2026-104286: korrigierte Versionen genannt
Über die aktiv ausgenutzte Lücke im Mail-Gateway FortiMail (CVSS 9.8) haben wir letzte Woche berichtet. Fortinet hat das Advisory am 7. Oktober aktualisiert: Die Cloud-Variante FortiMail Cloud ist bereits korrigiert, für lokal betriebene Geräte nennt Fortinet die Versionen 8.0.2, 7.6.7 und 7.4.9 als Lösung. Wer noch Version 7.2 einsetzt, muss auf 7.4 oder neuer wechseln.
- Im Fortinet-Supportportal prüfen, ob das Update für Ihre Version bereitsteht, und es umgehend einspielen.
- Bis dahin den Workaround beibehalten: IBE-Funktion deaktivieren und Weboberfläche nicht aus dem Internet erreichbar machen.
- Da die Lücke schon vor dem Patch ausgenutzt wurde: Gerät auf verdächtige Dateien und Konfigurationsänderungen prüfen.
Quellen: Fortinet-Advisory FG-IR-26-175 · Help Net Security
4. Alte Lücken in Linux-Serverdiensten wieder im Visier
Am 8. Oktober hat die CISA fünf teils über zehn Jahre alte Schwachstellen neu als aktiv ausgenutzt eingestuft: im FTP-Server ProFTPD (CVE-2015-3306), im DNS-Server ISC BIND (CVE-2015-5477), im Java-Framework Apache Struts (CVE-2016-3081), im Office-Server ONLYOFFICE Docs (CVE-2021-3199) und im CMS Strapi (CVE-2023-22894). Updates gibt es für alle seit Jahren – gefährdet sind vergessene oder nie aktualisierte Server.
- Prüfen, ob solche Dienste bei Ihnen (oder bei Ihrem Hoster) laufen – auch auf älteren Test- oder Altsystemen.
- Nicht mehr benötigte Server abschalten, alle übrigen auf den aktuellen Stand bringen.
Quellen: CISA-Katalog aktiv ausgenutzter Schwachstellen
5. Patch Tuesday und Browser-Updates
Heute, am 13. Oktober, veröffentlicht Microsoft die monatlichen Sicherheitsupdates für Windows, Office und Server-Produkte. Zum Zeitpunkt dieses Beitrags lagen noch keine verlässlichen Angaben zu allfälligen Zero-Days vor. Bereits am 6. Oktober hat Google mit Chrome 155.0.8059.39/.40 ein grosses Sicherheitsupdate mit 247 Korrekturen verteilt, darunter vier kritische Lücken; eine aktive Ausnutzung ist dafür nicht bekannt.
- Die Microsoft-Updates zuerst auf einigen Testgeräten, danach zeitnah auf allen Clients und Servern installieren.
- Sicherstellen, dass Chrome und Edge aktuell sind und der Browser nach dem Update neu gestartet wurde.
Quellen: Microsoft Security Update Guide · Cybersecurity News
Unsere Empfehlungen für KMU
- VPN- und Fernzugriffs-Geräte zuerst: Sie sind das bevorzugte Einfallstor – Updates hier sofort einspielen.
- Nicht nur patchen, auch prüfen: Wurde ein Gerät schon vor dem Update angegriffen, schützt der Patch allein nicht mehr.
- MFA überall aktivieren und Admin-Oberflächen nicht ins Internet stellen.
- Altlasten aufräumen: Vergessene Server und Dienste regelmässig inventarisieren und abschalten.
- Bewusst teilen: Der Oktober ist Cyber Security Month – das BACS sensibilisiert dieses Jahr für das Thema «Oversharing», auch beim Einsatz von KI-Tools am Arbeitsplatz.
Sie sind unsicher, ob Ihre Systeme betroffen sind? Eröffnen Sie ein Ticket – wir prüfen Ihre Umgebung und spielen die notwendigen Updates ein.