Die Box, die den Perimeter halten sollte, ist jetzt der Eingang – und diesmal wollte der Angreifer Ihre Daten gar nicht

Schwachstellen

Drei weitere KEV-Einträge, und einer davon betrifft einen IRC-Daemon, weil das Internet nie etwas wirklich löscht

Neben Check Point hat die CISA CVE-2026-114713 in UnrealIRCd aufgenommen – eine unzureichende Neutralisierung von Trennzeichen, die es jedem Nutzer in einem Netz mit zwei oder mehr verbundenen Servern erlaubt, Server-zu-Server-Befehle mit Serverautorität einzuschleusen – und heute Morgen CVE-2026-5430 in WSO2 API Control Plane, API Manager, Traffic Manager und Universal Gateway (Path Traversal, uneingeschränkter Datei-Upload, Remote-Code-Ausführung) sowie CVE-2026-71362 in Adobe Commerce und Magento (fehlerhafte Autorisierung, erhöhter Zugriff auf sensible Ressourcen, keine Nutzerinteraktion). Zugleich meldet das ISC aktive Exploit-Versuche gegen CVE-2026-102895, eine triviale Authentifizierungsumgehung in GPUStack, die alle Versionen vor 2.2.0 betrifft, das Ende Juni erschien. GPUStack verwaltet GPU-Cluster, auf denen KI-Workloads laufen, und dort liegt derzeit das Geld.

Bedrohungsakteure

N-able nimmt N-central nach 33 Schwachstellen vom Netz, und der Hotfix erweist sich als schöne Sache, die man während der Kompromittierung eingesetzt hatte

N-able hat die Plattform N-central nach der Entdeckung von 33 Schwachstellen vom Netz genommen und einen Hotfix als empfohlene Gegenmaßnahme ausgeliefert; die Angriffe begannen kurz nachdem ein Forscher über 30 Zero-Days veröffentlicht hatte, und N-able patchte die nicht authentifizierten. Dann kam die Rechnung: Angreifer infizierten 21 Server, 19 davon mit Hotfix 2, wobei die neue Schwachstellengruppe als 4EverAble2Shell und Agent2Shell geführt wird; N-able schränkt nun bestimmte N-central-Funktionen und -Integrationen ein. Auf der Nachbarspur bestätigte ConnectWise, dass der Missbrauch einer unabhängigen Drittanbieter-Erweiterung Angreifern die Umgehung der ScreenConnect-Authentifizierung ermöglichte; Forscher beobachteten Einbrüche bei fast 50 Organisationen. ThreatFox führt eine ScreenConnect.ClientSetup.msi, die in einem Cloudflare-R2-Bucket liegt – nicht als dieselbe Kampagne belegt, aber dieselbe Idee im selben Mantel.

Warum es wichtig istFernwartungswerkzeuge sind der schnellste Weg von einer Kompromittierung zu allen Ihren Kunden, und „Wir haben den Hotfix eingespielt“ ist kein Satz mehr, der ein Ticket schließt.

Ransomware

Der „Anstieg“ auf den Leak-Seiten von gestern war überwiegend ein Veröffentlichungsplan, und die Fristen sind Montag und Dienstag

Pixelleaks stellte am 13. November 14 Einträge ein, gegenüber einem Median von einem an anderen Tagen – eine Hongkonger Green-Building-Organisation, ein chinesisches Onkologie-Genomik-Unternehmen, kanadische und US-amerikanische Finanzberatungen, eine Schweißerschule – mit Zeitstempeln für die vollständige Veröffentlichung am 2026-11-16 11:45 UTC und 2026-11-17 01:36 UTC. n0n stellte zehn auf einmal ein, darunter nicht verifizierte Behauptungen gegen DraftKings, LiveRamp und LEO Pharma; Play meldete neun, Akira sechs, Qilin fünf, und die Atlas-Eskalationen von The Gentlemen tragen alle denselben Zeitstempel 17:50. Unter Qilins fünf Einträgen findet sich die University of Texas at Arlington, die separat gewarnt hat, bei einem Cyberangriff seien personenbezogene Daten gestohlen worden – hinter mindestens einer Zeile des Pakets steht also ein benennbarer menschlicher Schaden. Eine Darkfeed-Zählung für 2026 sieht Qilin bei 1171, The Gentleman bei 1026 und Akira bei 441.

Warum es wichtig istZählen Sie Opfer, nicht Posts: Ein Tag mit 14 Einträgen auf einer Leak-Seite ist eine Veröffentlichungsentscheidung, und das einzig Harte daran ist die Frist am 16./17. November.

KI & Sicherheit

Die Beschwerde des FBI über Artex lautet nicht, dass es clever ist, sondern dass es schnell ist

Eine FBI-Flash-Warnung besagt, das Open-Source-Hacking-Tool Artex „verkürzt die zum Verketten von Angriffstechniken nötige Zeit erheblich, wobei manche Einbrüche vom ersten Zielen bis zu privilegiertem Zugriff in unter drei Stunden voranschreiten“. Dark Reading liefert einen Begleitfall: Ein Angreifer, dessen von Hand getippte Befehle gegen einen US-Händler scheiterten, wechselte zu KI-generierten Skripten und erreichte laterale Bewegung innerhalb von Minuten. Auf unserer Seite des Tisches stellte OpenAI Daybreak Red Team vor, das Webanwendungen mit KI-Agenten pentestet, sowie Defense Factory, das Befunde untersucht und Patches vorbereitet; Apaches kritische mod_http2-Race-Condition CVE-2026-119618 wurde von Anthropic und Google gefunden. Und The Hacker News wirft die Frage auf, auf die kein Runbook eine Antwort hat: Das Abschalten eines abtrünnigen Agenten stoppt ihn womöglich nicht, weil Aufgaben in der Warteschlange, aktive Sitzungen und gültige Zugangsdaten auch ohne das Modell weiterlaufen.

Warum es wichtig istWenn vom ersten Zielen bis zum privilegierten Zugriff weniger als drei Stunden vergehen können, bemisst sich Ihr Detektionsbudget in Minuten und Ihr Freigabeprozess in Tagen.

Malware & IOCs

Jemand öffnete drei Trezors, fügte eine Platine hinzu und verkaufte sie trotzdem

Trezor hat bestätigt, dass drei Safe-5-Wallets, die der südostasiatische Wiederverkäufer CryptoBilis verkaufte, versteckte Hardware-Implantate enthielten: eine zusätzliche Platine, die die Wiederherstellungsphrase vom Bildschirm des Geräts abliest und über das Mobilfunknetz versendet. Ein Firmware-Fix ist verfügbar; er macht frühere Preisgabe nicht rückgängig. Am selben Tag ordnete das FBI mehr als 400 Millionen Dollar an Kryptodiebstahl über 18 Monate einer nordkoreanischen Social-Engineering-Operation namens FaceStealer zu, die auf gefälschten Videoanrufen, Deepfakes und gestohlenen Webcam-Clips von über 900 Opfern beruht, und erklärte, die Angriffsinfrastruktur beschlagnahmt zu haben – während US-Behörden separat 1,2 Milliarden Dollar in von Binance gestohlenen Kryptowährungen beschlagnahmten.

Warum es wichtig istLieferkettensicherheit bei Hardware bedeutet lückenlose Besitzkette von der Fabrik bis in die Hand, nicht ein Hologramm-Siegel und das gute Wort eines Wiederverkäufers.

Politik

Operation Endgame erwischt 235 Server und 6,4 Millionen gestohlene Zugangsdaten, und 354 Personen bekommen Besuch

Ermittler beschlagnahmten im Rahmen der Operation Endgame 235 Server und 257 Domains hinter Gootloader, CastleRAT und StealC, dazu rund 6,4 Millionen Opferzugangsdaten. In einer separaten gemeinsamen internationalen Operation wurden 354 Verdächtige festgenommen – Verkäufer und Käufer auf den Darknet-Marktplätzen Archetyp, Nemesis, Tor2Door, Bohemia und Kingdom. Deutsche Behörden nahmen zudem wiederaufgebaute Server der Malware SteaIC in diesem Jahr zum zweiten Mal vom Netz und führten das Netzwerk auf den im Oktober vom FBI ausgehobenen Bulletproof-Hoster Virtualine zurück, gemeinsam mit der Frankfurter Polizei und der niederländischen National High Tech Crime Unit. Und der Bundestag verabschiedete die größte Überarbeitung der deutschen Nachrichtendienstgesetze der Nachkriegszeit, die Hacking- und Sabotagebefugnisse einräumt, mit 308 zu 190 Stimmen bei 71 Enthaltungen.

Warum es wichtig ist6,4 Millionen sichergestellte Zugangsdaten bedeuten, dass viele davon Ihre sind, und die Zerschlagung rotiert sie nicht für Sie.

Schwachstellen

PostgreSQL behebt einen 22 Jahre alten Fehler, und der Patch ist nur die halbe Arbeit

PostgreSQL hat Korrekturen für 52 Sicherheitslücken ausgeliefert, darunter CVE-2026-6460 (CVSS 8.8), einen 22 Jahre alten Type-Confusion-Fehler, der einem authentifizierten Nutzer mit Rechten zum Anlegen von Objekten die Codeausführung auf dem Datenbankserver erlaubt – und vollständiger Schutz erfordert zudem, alle auf dem Server installierten C-Erweiterungen neu zu bauen, was der Teil ist, der übersprungen werden wird. Im Rest des Stapels: Citrix patchte 10 kritische NetScaler-Schwachstellen, Google behob 83 Lücken in Chrome 157 und Mozilla 99 in Firefox 160, und eine kritische Red-Hat-Quay-Lücke könnte private Container-Images offenlegen. Microsoft wiederum bestätigte, dass die Novemberupdates Windows-Aktivierungsfehler mit 0x80041008 verursachen und das Drucken von Dokumenten mit komplexer Formatierung stören können.

Warum es wichtig ist„Gepatcht“ und „Erweiterungen neu gebaut“ sind verschiedene Zustände, und nur einer davon ist tatsächlich behoben.

Kurioses

Am Freitag, dem 13., fiel die E-Mail aus, rebootete die Flugsicherungskommunikation, und das Benefits-Portal wählte genau diesen Abend für seine Nichtverfügbarkeit

Die FAA verhängte einen Ground Stop unter Verweis auf „außergewöhnliche Umstände“; Bundesbeamte äußerten sich nicht dazu, was die Kommunikationsstörung verursachte oder ob ein Cyberangriff untersucht wird. Unter Einsatzkräften kursierende Berichte führen sie auf ein Update des privaten, von L3Harris betriebenen Kommunikationsnetzes der Flugsicherung zurück, das einen Neustart und dann einen Absturz auslöste. Microsoft wiederum mühte sich zwei Tage lang, Outlook, Exchange Online und Teams nach fehlgeschlagenen Server-Integritätsprüfungen wiederherzustellen; Belege für einen Cyberangriff wurden nicht offengelegt. Und mittendrin versuchte eine Person auf infosec.exchange um 23 Uhr am Stichtag, ihre Zusatzleistungen für 2027 zu finalisieren, und fand Workday ausgefallen vor; vor Mitternacht war der Dienst nicht wiederhergestellt.

Warum es wichtig istDie meisten Ihrer schlimmsten Tage sind Änderungsmanagement, nicht Angreifer, und Ihr Incident-Prozess sollte den Unterschied erkennen, bevor es der Vorstand tut.