Anfang Oktober 2026 wurden mehrere kritische Sicherheitslücken bekannt, die bereits aktiv von Angreifern ausgenutzt werden – sogenannte Zero-Days. Betroffen sind vor allem Systeme, die direkt am Internet hängen: Mail-Gateways, Remote-Access- und Load-Balancer-Lösungen. Hier die wichtigsten Punkte im Überblick (Stand: 10. Oktober 2026).

1. Fortinet FortiMail – CVE-2026-104286 (kritisch, CVSS 9.8)

Eine Lücke im Mail-Gateway FortiMail erlaubt es Angreifern ohne Anmeldung, über präparierte HTTP-Anfragen beliebige Dateien auf das System zu schreiben. Fortinet bestätigt Angriffe in freier Wildbahn. Betroffen sind die Versionen 7.2, 7.4, 7.6 und 8.0.

• Auf die korrigierten Versionen aktualisieren, sobald verfügbar (8.0.2, 7.6.7, 7.4.9; Version 7.2 auf 7.4 oder neuer migrieren).
• Bis dahin: Den von Fortinet empfohlenen Workaround anwenden (IBE-Funktion deaktivieren).
• Die Management-Oberfläche nicht aus dem Internet erreichbar machen.

Quellen: The Hacker News · The Register

2. Citrix NetScaler ADC & Gateway – mehrere Zero-Days

Bei NetScaler ADC und Gateway werden gleich mehrere Lücken angegriffen. Zwei davon (CVE-2026-88771 und CVE-2026-88772) ermöglichen jeweils die Ausführung von Schadcode aus der Ferne. Eine weitere Lücke (CVE-2026-88779) betrifft Systeme mit SAML-Anmeldung und kann das Gerät lahmlegen oder einen Neustart erzwingen. Die US-Cybersicherheitsbehörde CISA hat die Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und ihre Warnung zuletzt am 9. Oktober aktualisiert.

• Die Updates gemäss den Citrix-Bulletins CTX697096, CTX697174 und CTX697191 so rasch wie möglich einspielen.
• Vor dem Patchen nach Anzeichen einer Kompromittierung suchen – Citrix stellt dafür Indikatoren in der NetScaler Console bereit.
• Bei Verdacht auf einen Einbruch: Spuren sichern, ein sauberes Backup von vor dem Angriff einspielen und alle Passwörter, Schlüssel und Zertifikate erneuern.
• Logs zentral speichern, da sie auf dem Gerät schnell überschrieben werden.

Quellen: CISA-Warnung · BleepingComputer · SecurityWeek

3. Weitere aktiv ausgenutzte Lücken

Ebenfalls angegriffen werden derzeit Lücken in Check Point, F5 BIG-IP APM, Cisco Catalyst SD-WAN Manager, Arista VeloCloud Orchestrator sowie im Helpdesk-System Zammad. Wer diese Produkte einsetzt, sollte die Herstellerhinweise prüfen und Updates priorisieren. Eine vollständige, laufend aktualisierte Liste bietet der CISA-Katalog der aktiv ausgenutzten Schwachstellen.

4. Warnung des BACS: Angriffe über gefälschte Fehlermeldungen

Das Bundesamt für Cybersicherheit (BACS) warnt vor sogenannten «ClickFix»-Angriffen: Auf manipulierten Websites erscheinen gefälschte Fehlermeldungen oder CAPTCHAs, die Nutzer dazu bringen, selbst Befehle auszuführen – und so Schadsoftware bis hin zu Ransomware zu installieren. Hier hilft keine Software-Aktualisierung, sondern nur Aufmerksamkeit: Niemals Befehle kopieren und ausführen, die eine Website verlangt.

Quellen: IT-Markt · BACS – Aktuelle Vorfälle

Unsere Empfehlungen für KMU

• Inventar prüfen: Welche Firewalls, VPN-, Mail- und Remote-Access-Systeme sind bei Ihnen im Einsatz – und in welcher Version?
• Internet-exponierte Systeme zuerst patchen: Alles, was aus dem Internet erreichbar ist, hat höchste Priorität.
• Management-Zugriffe abschotten: Admin-Oberflächen nur aus dem internen Netz oder per VPN erreichbar machen.
• Microsoft Patch Tuesday am 13. Oktober einplanen und Updates zeitnah verteilen.
• Backups testen: Nur ein erfolgreich getestetes Backup schützt im Ernstfall.
• Mitarbeitende sensibilisieren – insbesondere für gefälschte Fehlermeldungen und Phishing.

Sie sind unsicher, ob Ihre Systeme betroffen sind? Eröffnen Sie ein Ticket – wir prüfen Ihre Umgebung und spielen die notwendigen Updates ein.