Weekly Cut · KW 46

Zeitraum 03.–09.11.2026 · Erschienen am 10.11.2026

Weekly Cut – Katana Sec, Kalenderwoche 46

Bei SonicWall-VPNs lässt sich die Mehrfaktor-Anmeldung umgehen – laut CISA wird das bereits ausgenutzt.

/ SonicWall-VPN – Mehrfaktor-Anmeldung lässt sich umgehen

Bei SonicWall-Firewalls mit zentraler Anmeldung (SAML) am VPN können Angreifer mit gültigen Zugangsdaten die Mehrfaktor-Prüfung umgehen; die US-Behörde CISA stuft die Lücke als bereits ausgenutzt ein.

→ Wer SonicWall für den Fernzugang nutzt, sollte das Update zeitnah einspielen lassen.

Unsere Einschätzung

Die Lücke trifft gerade Firmen, die Mehrfaktor-Anmeldung sauber über einen zentralen Identitätsanbieter eingeführt haben. Die Frage an den Dienstleister lautet: Welche anderen Anmeldewege sind an der Firewall noch aktiv, etwa lokale Konten aus der Einrichtungszeit?

Für die IT

CVE-2026-19868, CVSS 7.5 (Bewertung CISA-ADP), seit 06.11.2026 im KEV-Katalog. Betroffen ist nur der SSL-VPN-Dienst mit SAML-Anmeldung; wer Zugangsdaten für einen anderen Anmeldeweg hat, kommt an der SAML-Prüfung samt MFA vorbei. SonicWall selbst spricht von möglicher Ausnutzung. Betroffene Modelle und Fix-Versionen im Advisory SNWLID-2026-0014.

/ QNAP und Synology – Angriffe auf Netzwerkspeicher

Angreifer übernehmen QNAP-Geräte über die Medienserver-App Plex und verschlüsseln Synology-Geräte mit veralteter Software; Plex und Synology bestätigen die Angriffe.

→ Wer ein solches NAS nutzt, sollte Updates einspielen und die Erreichbarkeit aus dem Internet prüfen lassen.

Unsere Einschätzung

Ein NAS ist oft zugleich Dateiablage und Datensicherung. Trifft die Verschlüsselung das Gerät, sind beide weg – entscheidend ist, ob es eine Kopie gibt, die vom NAS aus nicht erreichbar ist.

Für die IT

QNAP: Angriffe über eine Kette von Lücken in Plex Media Server („Plex2Shell“), nicht in QTS/QuTS hero selbst. Laut QNAP auf Plex Media Server 1.43.3.10861 oder neuer aktualisieren (App Center). Das Update entfernt keine bereits eingeschleuste Schadsoftware: War Plex aus dem Internet erreichbar (Fernzugriff, Portweiterleitung, UPnP), das Gerät nach der QNAP-FAQ prüfen und Passwörter zurücksetzen. Synology: Ransomware auf Geräten mit veraltetem DSM über eine laut Hersteller seit Dezember 2024 behobene Lücke; DSM aktualisieren und automatische Updates einschalten.

/ Sabotage an Kühlanlagen im Lebensmittelhandel

Unbekannte haben in mehreren europäischen Ländern, laut BSI auch in Deutschland, Kühlsteuerungen von Supermärkten aus der Ferne verstellt; der Zugangsweg ist noch offen.

→ Wer Kühl- oder Gebäudetechnik betreibt, sollte prüfen lassen, ob die Steuerungen aus dem Internet erreichbar sind.

Unsere Einschätzung

Kühl- und Gebäudetechnik betreut meist ein externer Dienstleister, nicht die IT – deshalb taucht sie in keiner Risikobetrachtung auf. Die wichtigste Frage diese Woche ist, wer den Fernzugang verwaltet.

Für die IT

Laut Unit 42 eine erste Welle im Oktober vor allem in Frankreich, eine zweite Anfang November in mindestens zehn weiteren Ländern; Steuerungen wurden in den Abtaumodus versetzt, teils mit Bränden. Zugangsweg nicht bestätigt; pro-russische Gruppen haben sich bekannt, unbelegt. CISA und Partnerbehörden nennen Umgehung der Anmeldung, eingeschleusten Code und schwache Konfiguration. Empfohlen (BSI, CISA): kein direkter Internetzugriff auf Steuerungen, Fernwartung nur über VPN mit Mehrfaktor-Anmeldung, Standardpasswörter ändern, Updates, Sollwert-Grenzen prüfen. Siehe BSI-Cybersicherheitsempfehlung 154.

/ KI-Werkzeuge finden offengelegte Zugangsdaten

Microsoft beobachtet Angreifer, die mit einem KI-gestützten Werkzeug öffentliche Code-Ablagen nach Zugangsdaten durchsuchen und damit in Cloud-Umgebungen, Dateien und Postfächer eindringen.

→ Wer Software entwickeln lässt, sollte klären, ob je Zugangsdaten öffentlich waren – auch längst gelöschte.

Unsere Einschätzung

Das Problem steckt hier nicht in einem Produkt, sondern im Ablauf: Zugangsdaten landen im Code, weil es schnell gehen muss. Die Frage an Entwicklungsdienstleister ist, ob Code vor dem Hochladen automatisch auf Zugangsdaten geprüft wird – und wer informiert wird, wenn doch etwas durchrutscht.

Für die IT

Microsoft Threat Intelligence: Das Agenten-Framework ARTEX durchsucht seit August 2026 öffentliche GitHub-Repositories nach Client-Secrets von OAuth-Apps und KI-API-Schlüsseln; in einem Fall vergingen fünf Minuten von der Suche bis zum Abfluss von Key-Vault-Inhalten. Danach u. a. Anmeldungen als Service Principal, Zugriff auf Storage-Schlüssel, SharePoint/OneDrive und Postfächer. Empfohlen: öffentlich gewordene Secrets als kompromittiert behandeln, auch wenn sie gelöscht wurden; Secrets und alles, was die App im Key Vault lesen konnte, rotieren; OAuth-Apps auf Managed Identities umstellen.

/ OpenSSH – Anmeldung mit beliebigem Passwort auf Alpine Linux

Auf Systemen mit der schlanken Linux-Variante Alpine akzeptiert der Fernzugang per SSH bei Konten ohne eigenes Passwort ein beliebiges überlanges Passwort; erste Angriffe laufen bereits.

→ Wer Alpine einsetzt, sollte das Update einspielen lassen.

Unsere Einschätzung

Die Lücke trifft ausgerechnet Konten, die als besonders sicher gelten, weil sie gar kein Passwort haben. Die Frage an Gerätehersteller und Dienstleister ist, ob in ihren Appliances Alpine mit Passwort-Login läuft – in keiner Software-Liste steht das von selbst.

Für die IT

CVE-2026-123158 („sshole“), CVSS 8.1 (Bewertung MITRE), seit 09.11.2026 im KEV-Katalog. Betroffen: sshd auf musl libc ohne PAM (Alpine-Standard) mit PasswordAuthentication; Konten mit „*“ im Passwortfeld (Key-only-Nutzer, Verzeichnisdienst-Nutzer, root bei PermitRootLogin yes) nehmen sehr lange Passwörter an. Laut Horizon3 auch OpenWrt und andere Embedded-Geräte. Behoben in OpenSSH 10.6p2 und den Alpine-Paketen für 3.16 bis edge (Liste im Alpine-Advisory); das Update startet sshd nicht neu. Notlösung: PasswordAuthentication no. Horizon3 meldet bestätigte Ausnutzung, SANS sieht Angriffsversuche in Honeypots.

Weitere News

  • / WordPress: CISA führt eine Lücke im Kern von WordPress als aktiv ausgenutzt; Betreiber sollten prüfen lassen, ob ihre Website das Update hat. (CISA)
  • / Cisco Secure Email Gateway: Eine präparierte E-Mail kann ohne Anmeldung zur Übernahme des Geräts führen; Cisco hat Updates veröffentlicht, eine Übergangslösung gibt es nicht. (Cisco)

← Alle Ausgaben