Aufmacher · Schwachstellen

Microsoft hat diesen Monat Tausende Lücken geschlossen, und niemand kann sich auf die genaue Zahl einigen

Die Zahl ist nicht die Geschichte. Die Geschichte ist der eine Outlook-Fehler, den Angreifer bereits ausnutzten und der am Dienstag in den KEV-Katalog aufgenommen wurde.

Konfidenz 0.90

BleepingComputer meldet 1,235 Schwachstellen. SecurityWeek zählt 1,094. Das SANS Internet Storm Center nennt 1,260, davon 68 kritische und 167 Chromium-Lücken, die über Edge zu Ihnen gelangen. CyberScoop kam auf 1,093, Krebs on Security sprach von fast 1,100 mit 63 kritischen. Das sind Berichte über denselben Dienstag. Wir streiten nicht über Risiko, sondern über Arithmetik, und die wird niemand klären, denn bis sie geklärt ist, steht der nächste Dienstag an.

Unstrittig ist Folgendes: CVE-2026-124194, eine Schwachstelle in Outlook wegen fehlender Benutzerinteraktion, die es einem nicht autorisierten Angreifer erlaubt, über das Netzwerk Identitäten zu fälschen, CVSS 6.5. Microsoft erklärt, ihm sei die aktive Ausnutzung bekannt, und die CISA nahm die Lücke am 10 November in den Katalog der Known Exploited Vulnerabilities auf. Laut Dark Reading stehen darunter weitere kritische Fehler in Exchange, SharePoint, Windows Search und LDAP. Adobe lieferte am selben Tag 110 Korrekturen für neun Produkte, allein Adobe Connect trägt 24 CVEs, davon 18 kritische und sechs mit CVSS 10.0. Der SAP-Patchday im November brachte vier Schwachstellen höchster Schwere in NetWeaver und Web Dispatcher, je nach Zählweise innerhalb von 35 Korrekturen und 42 Sicherheitshinweisen.

Man installiert keine Zahl. Man installiert KB5132061 oder KB5131087 unter Windows 11, KB5131096 unter Windows 10 mit erweiterten Sicherheitsupdates, und zwar das Outlook-Update zuerst, weil es der einzige Eintrag auf der Liste mit einem bestätigten Opfer ist. Alles andere ist eine Warteschlange. Einer davon hat einen Kunden.

Warum es wichtig istEine der gut tausend Lücken dieses Monats wird bereits ausgenutzt und kommt per E-Mail. Richten Sie den Rollout danach aus, nicht nach der Gesamtzahl.

Belege

Today’s revelation

Die Größe eines Patch-Releases misst, wie gut der Hersteller darin geworden ist, Fehler zu finden. Über den Donnerstag sagt sie gar nichts.

— Sturgeon's Revelations · Probably Fine Daily No. 45

§2

Schlagzeilen

Der Rest der letzten 24 Stunden – mit Belegen.

Schwachstellen

Sechs neue KEV-Einträge, und zwei davon betreffen das System, das Ihre E-Mails liest, bevor Sie es tun

Barracuda warnt zudem, dass Angreifer begonnen haben, zwei kürzlich gepatchte ESG-Schwachstellen auszunutzen, um Befehle mit Root-Rechten auszuführen. Am Vortag hatte die CISA eine MFA-Umgehung in SonicWall SonicOS markiert, bei der Berichte über mögliche Ausnutzung vorliegen, und Google lieferte Notfall-Updates für die achte Chrome-Zero-Day-Lücke des Jahres.

Warum es wichtig istVier der sechs betreffen Perimeter-Appliances, die tagsüber niemand neu startet. Die Fristen sind der einzige Teil davon, den Ihr Auditor lesen wird.

Konfidenz 0.90

Belege

Schwachstellen

Drei Schwachstellen werden gerade ausgenutzt, ohne dass ein KEV-Eintrag es offiziell macht

Vates warnt, dass eine kritische Authentifizierungsumgehung in Xen Orchestra, verfolgt als VSA-2026-062 und noch ohne CVE, aktiv ausgenutzt wird: Die Cookie-Verarbeitung der REST-Schnittstelle macht aus authenticationToken=j:%7B%7D ein leeres Objekt, die REST-Authentifizierung akzeptiert es, und man erhält Administratorzugriff und die Übernahme von XCP-ng-Hosts auf Root-Ebene. Die OpenSSH-Authentifizierungsumgehung „SSHole“, CVE-2026-123158, wird genutzt, um Befehle auszuführen, Zugangsdaten zu stehlen und sich dauerhaft einzunisten, wobei die erste Welle Botnetzen und Kryptominern zugeschrieben wird. Und Huntress dokumentierte einen Einbruch im Oktober, bei dem zwei AhsayCBS-Schwachstellen, CVE-2026-105133 und CVE-2026-105134, verkettet wurden, um in PNG-Bildern versteckte Webshells, einen Miner und ein Sandbox-umgehendes Python-Implantat abzulegen, wobei eine Abfrage von Zugangsdaten gegen einen verwandten Veeam-Server beobachtet wurde.

Warum es wichtig istDie Ausnutzung findet in den Schichten der Hypervisor-Verwaltung und der Datensicherung statt, also dort, wo Ihr Wiederherstellungsplan liegt.

Konfidenz 0.85

Belege

Schwachstellen

N-able nimmt gehostetes N-central vom Netz und fordert Kunden mit lokaler Installation auf, ihre Server abzuschalten

Nachdem ein Forscher öffentlich mehr als 30 mutmaßliche Zero-Days in N-central offengelegt hatte, darunter Probleme, die eine vollständige Systemübernahme ermöglichen sollen, nahm N-able seine gehosteten Umgebungen vom Netz und forderte Kunden mit lokaler Installation auf, ihre Server herunterzufahren. Am selben Wochenende wies das Projekt LNbits alle Betreiber seiner Bitcoin-Lightning-Wallet-Software an, ihre Server abzuschalten, bis Korrekturen vorbereitet sind, und verwies auf eine Angriffswelle. Zwei Quellen tragen die N-able-Meldung, und die Angabe „über 30“ ist die Behauptung des Forschers, keine Herstellerzahl. Nehmen Sie sie also mit Vorsicht zur Kenntnis und handeln Sie dennoch entschlossen.

Warum es wichtig istN-central ist Werkzeug für Managed Service Provider: Eine kompromittierte Instanz ist ein ganzer Schlüsselbund, nicht ein Schlüssel, und das Abschalten ist günstiger, als es später zu erklären.

Konfidenz 0.70

Belege

Ransomware

Siebenundvierzig Inc-Ransom-Einträge an einem Tag bedeuten einen aufwachenden Scraper, keine fleißigere Gruppe

Am 10 November schlugen die Leak-Site-Tracker aus: Inc Ransom 47 Einträge gegenüber einem Median von eins an anderen Tagen, Interlock 20 gegenüber einem Median von null, Vortex 17, N0n 17, Booba Project 13, wobei Inc rund sechzig Opferseiten innerhalb einer einzigen Minute veröffentlichte. Die Tempo-Zählung von Ninja Signal für die Woche weist 306 Bekennungen von 49 der 275 beobachteten Gruppen aus, mit N0n bei 97 Bekennungen gegenüber 27.56 erwarteten nach der eigenen früheren Rate und Interlock bei 11 gegenüber 1.25. Die Wochenbilanz von Hackmanac verzeichnet 448 Angriffe in 64 Ländern, am aktivsten INC Ransom mit 34, am stärksten betroffen die USA mit 21.9 Prozent und 98 Angriffen. Die Opferlisten sind real und enthalten Schulbezirke, Kliniken und mehrere Managed-IT-Dienstleister, deren Kundenlisten in den Einträgen namentlich genannt werden. Sie sollten daher einzeln bewertet werden. Unterdessen berichtet NBC News, einige führende US-Firmen lehnten Notfalleinsätze zur Vorfallsbehandlung ab, da KI-gestützte Angriffe zunähmen. Sophos sagt, andere DFIR-Firmen hätten dort um Unterstützung bei Überlast gebeten, und die Einschätzung eines Einsatzkräfte-Verantwortlichen zum ursprünglichen Einstiegsweg lautete, er sei definitiv nicht raffiniert.

Warum es wichtig istBetrachten Sie das Veröffentlichungsvolumen als Zeitstempel der Datenerfassung und die Opfernamen als Arbeit. Wer keinen IR-Rahmenvertrag hat: In dieser Woche sind dem Markt die freien Einsatzkräfte ausgegangen.

Konfidenz 0.75

Belege

Akteure

Qubole-eigene AWS-Zugangsdaten waren der Weg zu mehr als einem Dutzend Kunden

Zwischen dem 14 und 26 Oktober nutzte ein Angreifer laut Wiz IAM-Zugangsdaten des AWS-Kontos 805246085872 von Qubole, um die Integrationsrollen zu übernehmen, die Kunden der Plattform eingeräumt hatten, und stahl anschließend gespeicherte Geheimnisse, Schlüssel, Umgebungsvariablen, Zugangsdaten und Daten. SecurityWeek beziffert die Zahl auf mehr als ein Dutzend betroffener Organisationen. Kein Exploit, keine Malware, kein Kapuzenträger: Eine Rolle, die übernommen werden sollte, wurde übernommen.

Warum es wichtig istListen Sie jede kontenübergreifende Rolle in Ihrer Umgebung mit externem Principal auf, prüfen Sie External ID und Bedingungsschlüssel und suchen Sie nach AssumeRole-Aufrufen, die Sie nicht zuordnen können.

Konfidenz 0.85

Belege

KI und Sicherheit

Gestohlene Modellschlüssel sind jetzt ein Posten in der Bilanz: 740,000 $ fremde Inferenz

Railway erklärt, Angreifer hätten Schwachstellen in seiner Infrastruktur ausgenutzt, Authentifizierungsgeheimnisse von Kunden gestohlen und rund 740,000 $ betrügerische KI-Nutzung verursacht, wodurch möglicherweise Zugangsdaten für bis zu 100,000 Workspaces offengelegt wurden; OpenRouter lehnt Erstattungen ab. Fireworks AI bestätigte einen umfassenderen Einbruch, der bei einer begrenzten Zahl von Konten Konto- und Abrechnungsdaten, Geheimnisse, Datensätze, unfertige Modelle und Notion-AI-Chats betraf, nachdem ein externer Cloud-Anbieter kompromittiert worden war. Bei NEAR AI wurde eine Schwachstelle zur Remote-Codeausführung in SGLang auf einem Inferenzserver ausgenutzt, Daten von 18 KI-Agenten und rund 100 Nutzerkonten wurden entwendet, und Anfragen im vertraulichen Modus waren für den Angreifer womöglich einsehbar. Und Einstellungsdateien von Claude Code haben stillschweigend Tausende Geheimnisse in öffentliche GitHub-Repositories übertragen, dieselbe Geschichte mit einem anderen Werkzeug.

Warum es wichtig istModell-API-Schlüssel sind jetzt Inhaber-Token mit Abrechnungsbeziehung: Rotieren Sie sie, begrenzen Sie ihren Umfang, richten Sie Alarme für Ausgaben ein und bewahren Sie sie nicht neben der Konfiguration Ihres Agenten auf.

Konfidenz 0.85

Belege

Akteure

Frankreich benennt eine IRGC-Einheit für die Kälteanlagen-Angriffe im Oktober

Frankreich hat die Cyberangriffe vom Oktober, die Kühlsysteme in mehr als 700 Supermärkten und anderen Einzelhandelsstandorten lahmlegten und Lebensmittelverluste sowie mindestens 15 Brände verursachten, iranischen staatlich unterstützten Hackern zugeschrieben und die Täter als Teil von Shahid Kaveh identifiziert, einer Cybereinheit der IRGC, die zuvor mit Angriffen auf Industriesteuerungen bei US-Wasserversorgern in Verbindung gebracht wurde. Die Pariser Staatsanwaltschaft hat ein Verfahren gegen einen Kommandeur und zwei Stellvertreter eröffnet; Teheran bestreitet dies. US-Behörden haben separat gewarnt, dass Angreifer weltweit aktiv industrielle Kälteanlagen und Überwachungssysteme für Kühlketten ins Visier nehmen und dabei Schwachstellen oder Schwächen in ungepatchten Systemen ausnutzen; als Risiken werden Dienstunterbrechungen, Brandgefahr und Warenverluste genannt.

Warum es wichtig istAus dem Internet erreichbare Kälte- und Kühlketten-Steuerungen sind nun eine benannte Zielgruppe mit einem benannten Gegner. Finden Sie Ihre, bevor es Ihr Versicherer tut.

Konfidenz 0.80

Belege

Kurioses

Zwei Automarken, ein admin:admin, jede Tür

Zwei Sicherheitsforscher fanden heraus, dass die Anmeldesysteme hinter den Mobil-Apps zweier Automarken vollständig übernommen werden konnten, was Zugriff auf das Konto jedes Kunden ermöglichte und, bei Haltern eines vernetzten Fahrzeugs, die Möglichkeit, die Türen zu entriegeln und den Motor zu starten. Der Einstieg war ein Server mit dem Standardpasswort admin:admin. Beide Apps meldeten Kunden über dasselbe System an.

Warum es wichtig istWenn Ihr Produkt eine Tonne Metall bewegen kann, verdient der dahinterliegende Authentifizierungsdienst mehr als die Werkseinstellung.

Konfidenz 0.80

Belege

1Security newsDefault 'admin:admin' Server Password Helps Researc…

§3

Verborgen

Die tägliche Tiefenlektüre: was unter den Feeds liegt, nicht obenauf.

Der Großteil der heutigen scheinbaren Bestätigung ist Syndizierung, und der Großteil der heutigen Ransomware-Welle ist ein Scraper, der aufholt.

Exception 01
Die Ausschläge der Leak-Sites sind Stapel-Uploads, keine Tempoänderung
Inc Ransom veröffentlichte am 2026-11-10 47 Einträge gegenüber einem Median von eins an anderen Tagen, Interlock 20 gegenüber null, Vortex 17, N0n 17 und Booba Project 13, wobei Inc etwa sechzig Opfer innerhalb einer Minute postete, Interlock etwa zehn in acht Minuten und drei Vortex-Einträge innerhalb einer Minute eine gemeinsame Frist am 2026-11-12 teilten. Das passt weit besser zu einem Scraper-Nachtrag, einer Seitenmigration oder einem skriptgesteuerten Upload als zu einer plötzlichen Änderung der Einbruchsrate. Die Opfer verdienen dennoch eine individuelle Bewertung.
Konfidenz 0.70Speculative
Wrong if
Offenlegungen von Opfern oder Vorfallsberichte, die diese Einbrüche auf die vergangene Woche datieren, oder dieselben Akteure, die die erhöhte Rate noch mehrere Tage aufrechterhalten.
Watch
Ob Inc Ransom, Interlock und Vortex die Rate 72 Stunden lang halten und ob die Vortex-Frist am 12 November zu veröffentlichten Daten führt.
Belege
Exception 02
ransomware.live ist die frühe Quelle, alles Nachgelagerte ist ein Echo
Bei Vortex, Interlock, Play, N0n, SilentRansomGroup, Booba Project, Dark Project, Climax und Aoqin veröffentlichte ransomware.live zuerst, und ransomlook, Atlas oder Telegram folgten zwischen 1.6 und 17.6 Stunden später. Die „Multi-Source“-Zählungen für diese Akteure sind dieselbe Behauptung auf Reisen, keine unabhängige Bestätigung.
Konfidenz 0.75
Wrong if
Über einen längeren Zeitraum führen ransomlook oder Atlas in einem vergleichbaren Anteil der Fälle.
Watch
Verzögerung bei neu benannten Akteuren in der kommenden Woche.
Belege
1. 1RansomLookaoqin leaks leaked Irwin Automotive Group
2. 2ransomware.liveBooba Project claimed Acclaim Health (Healthcare ·…
Exception 03
Die Zahlen zum Patch Tuesday widersprechen sich, und die KEV-Verknüpfung ist erschlossen, nicht belegt
CVE-2026-124194 ist die einzige Entität, die in CISA KEV, Cyber-News, Mastodon und dem KEV-Signal gleichermaßen auftaucht, und ist wahrscheinlich die ausgenutzte Outlook-Zero-Day-Lücke vom Patch Tuesday, doch keine Quelle verbindet beides ausdrücklich. Die veröffentlichten Gesamtzahlen widersprechen sich: 1,094, 1,235, 1,260 und etwa 1,093 bis 1,100, und auch die Angaben zu kritischen SAP-Lücken weichen ab. Nutzen Sie für Ihr Änderungsprotokoll die Release Notes der Hersteller, nicht die Schlagzeilen.
Konfidenz 0.60
Wrong if
Der Hinweis von Microsoft zeigt, dass CVE-2026-124194 eine andere Schwachstelle ist als die ausgenutzte Outlook-Zero-Day-Lücke.
Watch
Der eigene Advisory-Text von Microsoft und die KEV-Fristen.
Belege
Exception 04
Die Schwachstellen-Feeds enden um 00:43, und das liegt fast sicher an unserer Technik
NVD, CISA KEV und das KEV-Signal enden alle nach 2026-11-10T00:43, mit allen 100 NVD-Einträgen im frühen Zeitraum und je sechs Einträgen in den KEV-Quellen. Das sieht nach einem einzelnen Stapelimport aus und nicht nach drei verstummten Quellen, bedeutet aber, dass die Abdeckung ausgenutzter CVEs für den 10 und 11 November in diesem Zeitfenster unvollständig ist.
Konfidenz 0.60Speculative
Wrong if
NVD- oder KEV-Einträge mit späteren Zeitstempeln erscheinen im nächsten Zeitfenster.
Watch
Ob die Schwachstellenquellen beim nächsten Import wieder einsetzen.
Belege
1. 1NVDCVE-2026-103303: The Turisbook Booking System WordP…
2. 2CISA KEVCVE-2026-124194 Microsoft Office: Microsoft Office…

Nothing to seeÜber die Ausschläge der Leak-Sites hinaus wurden keine Zeitcluster festgestellt. Nichts verbindet die Beiträge zu Iran, Russland, China und Nordkorea miteinander oder mit der Ransomware-Aktivität. Das Japan-Cluster (Nitori, JCCI, Toyota) und die Einbruchsbehauptung zu Binance sind dünn und können Zufall oder Identitätsmissbrauch sein. Die massenhaften CVE-Wellen gegen OpenEMR, Craft CMS und SunRedaktion sind Artefakte der Stapelveröffentlichung ohne Hinweise auf Ausnutzung, und das ThreatFox-Volumen ist Routine.

Deep read: 700 Artikel gelesen

§4

Prognose

Datierte, widerlegbare Einschätzungen. Wir bewerten unsere Arbeit öffentlich.

Today’s calls

DueSun 15 Nov96h
Mindestens eines der drei Vortex-Opfer mit Frist am 12 November (PYRAMID HEALTHCARE, ALEXION, CRESA) erscheint auf ransomware.live oder ransomlook als veröffentlicht oder mit geleakten Daten.
Wrong ifBis zum 15 November kein Status „veröffentlicht“ oder „geleakt“ für eines der drei Opfer auf einem der beiden Tracker.
Belege
f-2026-11-11-1
Confidence0.55
DueWed 18 Nov7d
Inc Ransom veröffentlicht zwischen dem 12 und 18 November an keinem einzelnen Tag weniger als 20 neue Leak-Site-Bekennungen, was bestätigt, dass die 47 ein Nachtrag und kein Tempo waren.
Wrong ifEin beliebiger einzelner Tag in diesem Zeitraum mit 20 oder mehr neuen Inc-Ransom-Bekennungen auf ransomlook oder ransomware.live.
Belege
f-2026-11-11-2
Confidence0.70
DueSat 21 Nov10d
Die CISA nimmt die OpenSSH-Schwachstelle SSHole, CVE-2026-123158, in den KEV-Katalog auf.
Wrong ifCVE-2026-123158 ist am 21 November nicht in KEV enthalten.
Belege
f-2026-11-11-3
Confidence0.35

Scorecard

1 partly · 2 wrong

wrong
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-11 tempo report shows N0n surging at 97 claims in 7 days; Booba Project posted 6 new claims on 2026-11-10, well above 17 threshold. The tempo report covers 306 claims total and Booba Project atlas signals show escalating activity, not cooling below 17.
Belege
wrong
No corroborated, publicly available exploit tool for the three WordPress CVEs teased by @Ransomwareg (including CVE-2026-63030 and CVE-2026-60137) is confirmed by a reputable source.
Called Thu 5 Nov · due Thu 12 Nov
A Telegram post from @NeuraSCTB advertises an auto-exploit tool listing CVE-2026-63030 and CVE-2026-60137 (the teased WordPress CVEs) as working exploits for sale, constituting a publicly advertised working tool, though not from a named reputable vendor. However the falsifier requires a named vendor or researcher confirmation — the feed shows only a Telegram seller post, not reputable source confirmation. Keeping as open would be more precise, but due date is 2026-11-12 and no reputable source confirmed it.
Belege
1. 1TelegramWTS AUTO EXPLOIT TOOL FITUR : - AUTO UP SHELL - TRY…
partly
N-able either restores hosted N-central or publishes an advisory naming at least one of the 30-plus disclosed flaws by 20 November 2026.
Called Tue 10 Nov · due Fri 20 Nov
N-able took hosted N-central offline (confirmed in feed), satisfying the 'restores hosted N-central' part partially — actually it went offline not restored. No advisory naming the 30+ flaws yet. The action taken is taking offline, not restoring or publishing named-flaw advisory. Due 2026-11-20.
Belege

Glossar der Begriffe, bei denen man nicken soll

Vertrauenswürdige Integration (n.): Eine kontenübergreifende Rolle, die Sie einmal in Eile für eine Datenplattform genehmigt haben und die nun in den Händen eines Unternehmens liegt, dessen Vorfallsbericht Sie als Nachricht lesen werden, in der Vergangenheitsform, über sich selbst.

§5

Von unserem Rand

Live-Angriffe auf unsere eigenen Server in den letzten 24 Stunden. Ja, wirklich unsere.

Unser eigener Edge-Sensor hat in 24 Stunden 114 feindselige Quellen profiliert, darunter 70 Bot-Crawler, 39 Scanner, drei Brute-Force-Angreifer und zwei gezielt agierende Akteure, die zusammen 7,087 Anfragen sendeten, von denen 61 über die Aufklärung hinaus in Ausnutzungsversuche übergingen, über 9,697 Adressen aus 100 Ländern, 2,934 davon heute erstmals gesehen. Siebzehn Gruppen teilten einen Verhaltensfingerabdruck, darunter zwölf Adressen mit der DNA 18e39c4b41fb; eine davon, 34.53.218.24, fragte nach /.aws/credentials, /.aws/config, /.env und, bemerkenswert, /.env.anthropic, was zeigt, dass Modell-API-Schlüssel neben Cloud-Schlüsseln auf dem Einkaufszettel stehen. Die Eile ist echt: 195.178.110.242 feuerte 161 Anfragen in etwa 0.7 Sekunden ab und fragte nach /src/.env, /laravel/.env, /.env.bak und /.env.staging, und 195.178.110.211 brachte es auf 513 Anfragen mit 315 pro Minute. Die höchste Feindseligkeit auf der Tafel lag bei 7.0 von 10 für einen IPv6-Scanner, dessen Kette bis zur Ausnutzung reichte, und zwei Adressen sprühten weiterhin /hnap1 in der Form von CVE-2015-2051, was verrät, was das Internet von Ihren Patch-Hinweisen hält. Rohprotokolle haben den Server nie verlassen, nur diese Erkenntnisse.

114feindselige Quellen profiliert

7,087Anfragen von ihnen

61bis zur Ausnutzung gelangt

17Cluster mit gemeinsamer DNA

8.2/10höchste Feindseligkeit

9,697Adressen an unserem Edge

2,934heute erstmals gesehen

100Länder

Die WTF-Liste

WTF #1
Auf der Suche nach Ihren KI-Schlüsseln
34.53.218.24, ein Scanner (Feindseligkeit 5.4/10), sandte 122 Anfragen an eine unserer Seiten und suchte nach /.aws/credentials, /.env.anthropic, /.aws/config, /.env.
Warum es seltsam istGriff direkt nach KI-Zugangsdaten: /.env.anthropic. Modell-API-Schlüssel stehen nun neben Cloud-Schlüsseln auf dem Einkaufszettel der Scanner.
attribution: unbekanntTue 10 Nov, 06:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 18e39c4b41fb
```
WTF #2
Der hartnäckigste Besucher
2a02:c207:2298:6410::1, ein Scanner (Feindseligkeit 7.0/10), sandte 21 Anfragen mit 18 pro Minute an eine unserer Seiten und suchte nach /.env.backup, /.aws/credentials, /.docker/config.json, /.env.
Warum es seltsam istHöchste Feindseligkeit auf der Tafel; seine Kill Chain erreichte die Ausnutzung.
attribution: unbekanntTue 10 Nov, 06:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenbereitstellung → Ausnutzung · DNA 3268dda94501
```
WTF #3
CVE-2015-2051 gegen uns im Einsatz
2 Adressen sandten 2 Anfragen in der Form einer Ausnutzung von CVE-2015-2051 (/hnap1), darunter 113.138.242.19, 171.14.129.134.
Warum es seltsam istEin bekannter, benannter Exploit wird weiter ins Internet gesprüht; unser Edge sah ihn heute, was auch immer die Patch-Hinweise über das Jahr sagen.
attribution: unbekannt
Detail
```
Sondierungsfamilie: dlink-hnap
```
WTF #4
Gleiche DNA, andere Adressen
195.178.110.211, ein Scanner (Feindseligkeit 5.9/10), sandte 513 Anfragen mit 315 pro Minute an eine unserer Seiten und suchte nach /.env, /vendor/.env, /lib/.env, /lab/.env.
Warum es seltsam ist12 IPs teilen einen Verhaltensfingerabdruck (DNA 18e39c4b41fb): ein Werkzeug oder ein Betreiber mit rotierenden Adressen: 195.178.110.211, 2400:6180:100:d0:0:1:c071:6001, 2400:6180:100:d0:0:1:c072:1001, 34.53.218.24, 207.175.165.55 und weitere.
attribution: unbekanntTue 10 Nov, 06:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenbereitstellung · DNA 18e39c4b41fb
```
WTF #5
Der seltsamste Einkaufszettel
20.92.243.53, ein Scanner (Feindseligkeit 6.7/10), sandte 156 Anfragen mit 156 pro Minute an eine unserer Seiten und suchte nach /spip.php, /about.php, /1.php, /atomlib.php.
Warum es seltsam istFragte nach Dateien, nach denen fast niemand sonst fragt: /spip.php, /about.php, /1.php, /atomlib.php, /wp-trackback.php.
attribution: unbekanntWed 11 Nov, 02:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenbereitstellung · DNA dfef4501b216
```
WTF #6
In Eile
195.178.110.242, ein Scanner (Feindseligkeit 5.1/10), sandte 161 Anfragen an eine unserer Seiten und suchte nach /src/.env, /laravel/.env, /.env.bak, /.env.staging.
Warum es seltsam istFeuerte 161 Anfragen in etwa 0.7 Sekunden ab.
attribution: unbekanntWed 11 Nov, 02:00 UTC
Detail
```
Kill Chain: Aufklärung → Waffenbereitstellung · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

306claims, 7 days

49of 275 groups active

N0n97 this week · surging

thegentlemen25 this week

Climax Inc17 this week · new

SurgingN0n — 97 claims in 7 days against 27.6 expected from its own prior rate (p < 0.001)
Surginginterlock — 11 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 10 claims in 7 days against 3.1 expected from its own prior rate (p = 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingBYOD — 7 claims in 7 days against 2.5 expected from its own prior rate (p = 0.014)

Gone quiet: global (60 days), embargo (63 days), kazu (65 days), DYSPHOR1A (66 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 35 expected)
DownAgriculture and Food Production — 0.6× its own prior share (21 claims, 38 expected)
DownManufacturing — 0.9× its own prior share (150 claims, 174 expected)

30% of claims carry no sector label.

Brand churn

Of the 237 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 6 — newest: Climax Inc (2026-11-10, 17 claims), Vortex (2026-11-10, 14 claims), Destello (2026-11-05, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 29% of its claims on Transportation (6.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Mitfahrten

Kostenlose Live-Tools. Keine Anmeldung, kein Verkaufsgespräch.

§8

Kolophon

Wie diese Ausgabe entstanden ist – unverblümt.

Ausgabe 45 wurde maschinell erstellt und per Code geprüft. Jeder Beitrag, den 15 öffentliche Bedrohungs-Feeds in den 24 Stunden bis 05:05 britischer Zeit veröffentlicht haben (700 Beiträge), wurde vollständig gelesen: Statistiken berechnet im Code, jeder Abschnitt gelesen von Claude Sonnet, die Struktur synthetisiert von Claude Opus. Anschließend redigierte Claude Opus die Zeitung. Jede Geschichte nennt die Beiträge, auf denen sie beruht; Geschichten, deren Belege sich nicht auflösen ließen oder deren Zahlen nicht in ihren Quellen standen, wurden vor der Veröffentlichung verworfen (heute 0). Prognosen werden in späteren Ausgaben öffentlich bewertet. „Von unserem Edge“ sind Live-Angriffsdaten unserer eigenen Server. Kosten dieser Ausgabe: $1.30. Sie wird maschinell geschrieben, in der Stimme von ScottG, Autor von Everything Is Probably Fine, und niemand hat sie von Hand redigiert, was entweder der Sinn oder das Problem ist.

700items read

24hour window

$1.30cost of this edition

05:05 UTCgenerated

Quellen von heute Morgen

Security news104ok
NVD100ok
ThreatFox100ok
RansomLook88ok
Signal Atlas87ok
Telegram63ok
infosec.exchange46ok
ransomware.live43ok
RSS26ok
atlas16ok
AlienVault OTX7ok
signal:ioc-family7ok
signal:kev6ok
CISA KEV6ok
Ransomware tempo · Ninja Signal graph1ok

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Sechs neue KEV-Einträge, und zwei davon betreffen das System, das Ihre E-Mails liest, bevor Sie es tun

Drei Schwachstellen werden gerade ausgenutzt, ohne dass ein KEV-Eintrag es offiziell macht

N-able nimmt gehostetes N-central vom Netz und fordert Kunden mit lokaler Installation auf, ihre Server abzuschalten

Siebenundvierzig Inc-Ransom-Einträge an einem Tag bedeuten einen aufwachenden Scraper, keine fleißigere Gruppe

Qubole-eigene AWS-Zugangsdaten waren der Weg zu mehr als einem Dutzend Kunden

Gestohlene Modellschlüssel sind jetzt ein Posten in der Bilanz: 740,000 $ fremde Inferenz

Frankreich benennt eine IRGC-Einheit für die Kälteanlagen-Angriffe im Oktober

Zwei Automarken, ein admin:admin, jede Tür

Die Ausschläge der Leak-Sites sind Stapel-Uploads, keine Tempoänderung

ransomware.live ist die frühe Quelle, alles Nachgelagerte ist ein Echo

Die Zahlen zum Patch Tuesday widersprechen sich, und die KEV-Verknüpfung ist erschlossen, nicht belegt

Die Schwachstellen-Feeds enden um 00:43, und das liegt fast sicher an unserer Technik

Today’s calls

Scorecard

Glossar der Begriffe, bei denen man nicken soll

Die WTF-Liste

Auf der Suche nach Ihren KI-Schlüsseln

Der hartnäckigste Besucher

CVE-2015-2051 gegen uns im Einsatz

Gleiche DNA, andere Adressen

Der seltsamste Einkaufszettel

In Eile

Direkt in Ihr Postfach. Jeden Morgen. Wahrscheinlich.

Quellen von heute Morgen