Artikel

Microsoft hat über 1.200 Sicherheitslücken in seiner Software behoben, darunter eine kritische, bereits ausgenutzte Schwachstelle in Outlook (CVE-2026-124194). Diese ermöglicht es Angreifern, durch speziell präparierte E-Mails Authentifizierungsinformationen wie NTLMv2-Hashes zu stehlen und sich als Benutzer auszugeben. Betroffen sind alle Outlook-Nutzer, die eine solche E-Mail öffnen. Es wird dringend empfohlen, die bereitgestellten Patches umgehend zu installieren, um sich vor potenziellen Identitätsdiebstählen und weiteren Systemzugriffen zu schützen.

Sage ist ein neuer Open-Source-KI-Assistent, der in Mythic integriert ist, um offensive Sicherheitsoperationen zu optimieren. Er hilft Betreibern, indem er Befehle generiert und die Verwaltung von Informationen übernimmt, wodurch menschliche Fehler reduziert werden. Benutzer müssen jede Aktion genehmigen, bevor sie ausgeführt wird, was eine überwachte Kontrolle gewährleistet.

Eine Cross-Site Scripting (XSS)-Schwachstelle im Shibboleth Identity Provider ermöglicht es Angreifern, Dateien zu manipulieren oder XSS-Angriffe durchzuführen. Betroffen sind Shibboleth IdP Versionen kleiner 4.3.3 auf Linux, UNIX und Windows. Nutzer sollten umgehend auf Version 4.3.3 aktualisieren, um die Sicherheitslücke zu schließen.

Mehrere Schwachstellen in MIT Kerberos ermöglichen Angreifern das Umgehen von Sicherheitsmaßnahmen, Datenmanipulation, Codeausführung oder Denial-of-Service. Betroffen sind Linux-, UNIX- und Windows-Plattformen mit MIT Kerberos Versionen kleiner oder gleich 1.22.3. Nutzer sollten umgehend auf die neueste Version aktualisieren, um diese Risiken zu mindern.

Es wurden mehrere Sicherheitslücken im OpenID Connect OpenID Provider (OIDC OP) Plugin für Shibboleth entdeckt. Diese ermöglichen Angreifern, Sicherheitsrichtlinien zu umgehen. Betroffen sind alle Plugin-Versionen vor V4.3.3. Nutzer sollten die Sicherheitspatches des Herstellers installieren, um die Schwachstellen zu beheben.

Die CISA hat eine kritische Schwachstelle (CVE-2026-19868) in SonicWall SonicOS in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, da Berichte über mögliche Ausnutzung vorliegen. Betroffen sind Nutzer des SonicOS SSL-VPN-Dienstes, deren SAML-Authentifizierung und MFA umgangen werden könnten. SonicWall-Kunden sollten dringend auf die neueste Version aktualisieren, um ihre Systeme zu schützen.

SonicWall hat eine kritische Schwachstelle (CVE-2026-19868) in SonicOS gepatcht, die es Angreifern ermöglicht, die SAML-Authentifizierung und MFA bei SSL-VPN-Diensten zu umgehen. Betroffen sind Gen7 und Gen8 TZ, NSa, NSsp und NSv Firewalls mit älteren SonicOS-Versionen. Kunden sollten dringend auf die neuesten SonicOS-Versionen 7.3.4-7013 oder 8.2.3-8015 aktualisieren, da die Schwachstelle möglicherweise bereits ausgenutzt wurde.

SonicWall hat Sicherheitsupdates für sieben Schwachstellen in SonicOS-Firewalls veröffentlicht, darunter eine SSL-VPN-Authentifizierungsumgehung (CVE-2026-19868), die bereits ausgenutzt wird. Betroffen sind SonicOS SSL-VPN-Dienste, die SAML-Authentifizierung nutzen. Kunden sollten dringend auf die neuesten Versionen aktualisieren, da keine Workarounds verfügbar sind.

Ein unbekannter Angreifer nutzte gestohlene Zugangsdaten von ConnectWise Cloud Backup, um in über 100 Microsoft 365-Umgebungen von Kunden einzudringen. Dies geschah durch Missbrauch der App-Registrierung des Anbieters, um sich als Dienstprinzipal in den betroffenen Mandanten zu authentifizieren. Nutzer sollten ihre Microsoft 365-Mandanten auf Kompromittierung prüfen und die Risiken von Multi-Tenant-Apps sowie der App-Zustimmung generell verstehen.

OpenSSH hat Notfall-Patches für eine kritische Authentifizierungslücke (CVE-2026-123158, „SSHole“) veröffentlicht. Angreifer können sich auf betroffenen Linux-Distributionen wie Alpine, die musl libc und deaktiviertes PAM nutzen, mit sehr langen Passwörtern anmelden. Besonders gefährdet sind Konten ohne Passwort, wie Root, wenn andere Konten SHA-256/512-Hashes verwenden. Nutzer sollten umgehend OpenSSH auf Version 10.6p2 aktualisieren und den SSH-Dienst neu starten, um unbefugten Zugriff zu verhindern.

Eine kritische Schwachstelle in OpenSSH, insbesondere in Kombination mit musl libc und ohne PAM, ermöglicht anonymen Angreifern das Erlangen von Administratorrechten. Betroffen sind Linux-Plattformen, insbesondere Alpine Linux und OpenSSH-Versionen vor 10.6p2. Nutzer sollten umgehend auf OpenSSH 10.6p2 aktualisieren, um diese Lücke zu schließen.

Eine kritische Schwachstelle in OpenSSH-Versionen vor 10.6p2 ermöglicht Angreifern, die SSH-Authentifizierung zu umgehen. Betroffen sind Linux-Systeme mit der musl C-Bibliothek, die ohne PAM-Unterstützung kompiliert oder mit deaktiviertem PAM betrieben werden. Benutzer sollten umgehend auf OpenSSH 10.6p2 aktualisieren oder, falls dies nicht möglich ist, die Passwort-Authentifizierung deaktivieren.

Eine Schwachstelle im iSCSI Target Server ermöglicht es Angreifern, sich als iSCSI-Initiator auszugeben und auf freigegebene virtuelle Festplatten zuzugreifen. Betroffen sind Systeme, die iSCSI-Speicher ohne CHAP-Authentifizierung nutzen. Administratoren sollten dringend die CHAP-Authentifizierung für iSCSI-Verbindungen aktivieren, um unbefugten Zugriff zu verhindern.

Angreifer gaben sich über Microsoft Teams als IT-Support aus, um Mitarbeiter dazu zu bringen, ihnen Fernzugriff auf ihre PCs zu gewähren. Sie nutzten unsichere Active Directory Certificate Services (AD CS)-Einstellungen, um Anmeldezertifikate für privilegierte Konten zu erlangen, darunter auch für einen Domänencontroller. In einem Fall wurden Unternehmensdaten auf einen externen Server kopiert. Unternehmen sollten ihre AD CS-Konfigurationen überprüfen und Mitarbeiter für Social-Engineering-Angriffe sensibilisieren.

Mehrere Schwachstellen in Heimdal, Samba, MIT Kerberos und FreeBSD OS ermöglichen Angreifern Denial of Service und die Ausführung beliebigen Codes. Betroffen sind diverse Linux-, UNIX- und Windows-Plattformen sowie spezifische Versionen von Produkten wie Amazon Linux, Debian, Dell iDRAC9 und QNAP NAS. Nutzer sollten umgehend die bereitgestellten Herstellerinformationen prüfen und entsprechende Updates einspielen, um ihre Systeme zu schützen.

Ein Hacker hat über 41.000 Datensätze von Mitarbeitern des US-Heimatschutzministeriums (DHS) online geleakt, darunter persönliche und berufliche Informationen. Betroffen sind hauptsächlich Mitarbeiter von Zoll- und Grenzschutzbehörden, aber auch CISA-Personal. Die Daten, die Namen, E-Mails, Telefonnummern und Zugangsberechtigungen umfassen, wurden angeblich aus einem Okta-System gestohlen. Das DHS untersucht den Vorfall und betont, die Sicherheit seiner Mitarbeiter ernst zu nehmen.

Das Siemens Mendix SAML-Modul weist eine Schwachstelle auf (CVE-2026-89209), die es einem nicht authentifizierten Angreifer ermöglicht, durch das Wiederholen gültiger SAML-Assertions unbefugten Zugriff zu erlangen. Betroffen sind verschiedene Versionen des Mendix SAML-Moduls für Mendix 9, 10 und 11. Siemens empfiehlt dringend, auf die neuesten Versionen zu aktualisieren oder als temporäre Maßnahme IdP-initiiertes SSO zu deaktivieren.

Microsoft fordert Entra ID-Administratoren auf, Benutzer bis Februar 2027 auf phishing-resistente Authentifizierungsmethoden wie Passkeys umzustellen. Dies betrifft alle Entra ID-Mitarbeiter-Tenants, da SMS- und Sprachanmeldung aufgrund von Sicherheitsrisiken eingestellt werden. Administratoren sollen den Entra SMS/Voice Policy Scanner nutzen und sicherstellen, dass alle Benutzer eine alternative Methode verwenden, um Anmeldeunterbrechungen zu vermeiden.

Zwei kritische Schwachstellen in PHP, bekannt als PHP2Shell, wurden entdeckt und aktiv ausgenutzt, bevor Patches verfügbar waren. Millionen von Internetdiensten, die anfällige PHP-Versionen verwenden, sind betroffen. Unternehmen sollten nicht nur auf schnelle Patches setzen, sondern auch den Zugriff nach einer Kompromittierung durch Fokus auf Identitätsmanagement und Berechtigungen reduzieren.

Angreifer nutzen PHP2Shell-Schwachstellen (CVE-2026-109618, CVE-2026-109619), um weltweit Systeme zu scannen und eine europäische Regierungsbehörde zu kompromittieren. Dabei wurden Passworthashes und MFA-Geheimnisse gestohlen, möglicherweise unter Einsatz von KI. Betroffen sind ungepatchte Hosts in Regierungs-, Finanz-, Logistik- und anderen Sektoren weltweit, mit Verdacht auf eine nordkoreanische Hackergruppe. Organisationen in den genannten Sektoren und Regionen sollten ihre Systeme dringend patchen und auf verdächtige Aktivitäten überwachen.

Eine Schwachstelle in LDAP und SMB ermöglichte NTLM-Relay-Angriffe, selbst wenn die Signierung aktiviert war. Betroffen waren alle Windows Server von 2016 bis 2025. Angreifer konnten Domänencontroller kompromittieren und so die gesamte Domäne übernehmen. Microsoft hat die Lücken im September und Oktober 2026 stillschweigend behoben; Administratoren sollten sicherstellen, dass ihre Systeme auf dem neuesten Stand sind.

Mehrere Schwachstellen in den Drupal-Modulen View Unpublished, Simple OAuth und Domain Login Restrict ermöglichen es Angreifern, Sicherheitsvorkehrungen zu umgehen. Betroffen sind Nutzer dieser Module auf verschiedenen Plattformen wie Linux und Windows. Es wird dringend empfohlen, die betroffenen Module auf die neuesten Versionen zu aktualisieren, um die Sicherheitslücken zu schließen.

Eine chinesische Hackergruppe namens Storm-0940 nutzte das KI-Tool Artex, um automatisierte Angriffe auf Hunderte von ConnectWise-Kunden durchzuführen. Dabei wurden Zugangsdaten kompromittiert und über 300 Microsoft 365-Mandanten betroffen. Unternehmen sollten Anmeldeversuche von Dienstprinzipalen und nachfolgende Microsoft Graph-Aktivitäten genau überprüfen, um verdächtige Ereignisse zu identifizieren.

LiteLLM wurde Opfer eines Supply-Chain-Angriffs, bei dem bösartige Pakete der Version 1.107.0 über PyPI und Docker verbreitet wurden. Betroffen sind Nutzer, die diese Version zwischen dem 21. Oktober und der Entfernung der Pakete heruntergeladen haben. Diese Nutzer sollten die betroffene Version umgehend deinstallieren, alle Zugangsdaten ändern und ihre Systeme auf Malware überprüfen.

Angreifer stehlen zunehmend OAuth-Tokens, um Multi-Faktor-Authentifizierung (MFA) zu umgehen und dauerhaften Zugriff auf Konten zu erhalten. Dies ermöglicht Kontoübernahmen, Datenexfiltration und lateralen Bewegung in Unternehmensnetzwerken. Unternehmen sollten Endbenutzer-App-Zustimmung deaktivieren, Admin-Genehmigungsworkflows durchsetzen und Weiterleitungs-URIs kontinuierlich prüfen, um sich zu schützen.

MITRE hat Version 20 seines ATT&CK-Frameworks veröffentlicht, das neue Techniken für den Missbrauch von KI, die Umgehung von MFA und Angriffe auf Wasserversorger enthält. Betroffen sind Unternehmen, die KI-Systeme nutzen, sowie Wasser- und Abwasserversorger. Verteidiger sollten die 15 neuen Erkennungsstrategien und 38 Analysen implementieren, um sich gegen diese Bedrohungen zu schützen.

Ein Angreifer nutzte kompromittierte Zugangsdaten von ConnectWise Cloud Backup (ehemals SkyKick), um sich bei Microsoft 365-Mandanten von Kunden anzumelden. Mindestens 162 Mandanten sind betroffen, da der Angreifer die Berechtigungen der Anwendung erbte. Betroffene sollten die ConnectWise-Anwendungen sofort deaktivieren und alle Anwendungen auf neu hinzugefügte Anmeldeinformationen seit dem 13. Oktober überprüfen.

SpecterOps hat die Benutzeroberfläche von Ghostwriter mithilfe von KI-Modellen für nur 815,50 $ überarbeitet. Dabei wurde ein Framework namens AI Engagement Model (AIEM) eingesetzt, das menschliche Interaktion, Modell-Routing und spezialisierte Tools kombiniert. Dies zeigt, dass der Mensch die Richtung vorgeben und die Verantwortung tragen muss, während die KI als Architekt fungiert. Unternehmen sollten eine klare KI-Strategie entwickeln, die über die bloße Nutzung von KI-Zugängen hinausgeht.

Eine kritische Schwachstelle (CVSS 10.0) im SAP Cloud SDK für Python ermöglicht Angreifern den Diebstahl von OAuth2-Anmeldeinformationen. Betroffen sind Multi-Tenant-Anwendungen auf der SAP Business Technology Platform (BTP), die das SDK verwenden und bei denen ein Angreifer das Tenant-Subdomain kontrollieren kann. Nutzer sollten dringend auf Version 0.45.2 oder höher (insbesondere 0.55.1 oder 0.58.4) aktualisieren; falls ein Upgrade nicht möglich ist, sollte jede Tenant-Subdomain vor der Übergabe an das SDK mit einer Liste registrierter Tenants verglichen werden.

SAP warnt vor einer kritischen OAuth2 SSRF-Sicherheitslücke (CVE-2026-89111) im Cloud SDK für Python, die es Angreifern ermöglicht, Anmeldeinformationen zu stehlen. Betroffen sind Multi-Tenant BTP-Anwendungen, die das SAP Python SDK nutzen. Kunden sollten die Oktober 2026 SAP-Patches umgehend installieren oder temporär eine Allowlist zur Validierung von `tenant_subdomain`-Werten verwenden, um die Schwachstelle zu mindern.

Mehrere Schwachstellen in MIT Kerberos ermöglichen authentifizierten Angreifern, Denial-of-Service-Angriffe durchzuführen. Betroffen sind MIT Kerberos Versionen 1.23 und älter auf UNIX- und Windows-Plattformen. Nutzer sollten die bereitgestellten Herstellerinformationen prüfen und umgehend Updates einspielen, um die Sicherheitslücken zu schließen.

Citrix hat eine kritische Sicherheitslücke (CVE-2026-107406) in NetScaler ADC und NetScaler Gateway behoben, die bei SAML-Konfigurationen zu Remote Code Execution oder Denial-of-Service führen kann. Betroffen sind spezifische Versionen, insbesondere wenn sie als SAML-Identitäts- oder Dienstanbieter konfiguriert sind. Kunden sollten ihre NetScaler-Instanzen umgehend auf die empfohlenen Versionen aktualisieren, um die Schwachstelle zu schließen.

Der Microsoft Digital Defense Report 2026 zeigt, dass Identitäten, insbesondere Cloud-Identitäten und KI-Agenten, das größte Risiko für die Cybersicherheit darstellen. Angreifer nutzen die zunehmende Komplexität und Vernetzung von Systemen, um Schwachstellen auszunutzen und Angriffswege zu beschleunigen. Unternehmen sollten ihre Identitäten und deren Beziehungen kartieren, um Engpässe zu identifizieren und zu beheben, die viele Angriffswege gleichzeitig schließen können.

Mitarbeiter erteilen häufig OAuth-Berechtigungen, die Apps Zugriff auf Unternehmensdaten gewähren, was ein erhebliches Sicherheitsrisiko darstellt. Diese Berechtigungen sind schwer zu verwalten, überdauern oft Benutzerkonten und können von Angreifern ausgenutzt werden, wie der Vercel-Hack zeigte. Unternehmen sollten automatisierte Tools zur Überprüfung und Verwaltung dieser Zugriffe einsetzen, um manuelle, zeitaufwändige Prüfungen zu vermeiden und sensible Daten zu schützen.

Eine Schwachstelle in Red Hat Enterprise Linux (pam) ermöglicht lokalen Angreifern die Offenlegung von Informationen. Betroffen sind zahlreiche Linux-Distributionen und Produkte, darunter Amazon Linux 2, Oracle Linux und SUSE Linux. Nutzer sollten umgehend die bereitgestellten Herstellerinformationen prüfen und entsprechende Updates einspielen, um das Risiko zu minimieren.

Angreifern ist es gelungen, Schwachstellen in RMM-Software (Remote Monitoring and Management) auszunutzen, was Tausende von Kundengeräten von MSPs (Managed Service Provider) gefährdet. Betroffen sind Unternehmen, die RMM-Tools wie N-central nutzen, da diese Software weitreichenden administrativen Zugriff bietet. MSPs sollten ihre RMM-Software dringend auf acht kritische Kontrollen testen, darunter Endpunkterkennung, Patch-Management und Zugriffskontrollen, um ihre Kunden zu schützen.

Eine kritische Schwachstelle (CVE-2026-88779) in Citrix NetScaler ADC und Gateway wird aktiv ausgenutzt, um Denial-of-Service-Angriffe zu verursachen. Betroffen sind Systeme, die als SAML-Dienstanbieter oder Identitätsanbieter konfiguriert sind. Citrix hat Sicherheitsupdates veröffentlicht, die umgehend installiert werden sollten, um die Verfügbarkeit der Dienste zu gewährleisten.

Citrix hat Notfall-Updates für eine Zero-Day-Schwachstelle (CVE-2026-88779) in NetScaler ADC und NetScaler Gateway veröffentlicht, die bereits für Denial-of-Service-Angriffe ausgenutzt wird. Betroffen sind Geräte, die SAML-Authentifizierung mit Gateway- oder AAA-Funktionalität nutzen. Kunden sollten die bereitgestellten Sicherheitsupdates umgehend installieren, um ihre Systeme zu schützen.

Fortra hat kritische Sicherheitslücken in seiner BoKS-Software behoben, die Unternehmen mit zentraler Verwaltung von Unix- und Linux-Systemen betrifft. Eine Schwachstelle (CVE-2026-79901) ermöglicht eine Authentifizierungsumgehung bei BoKS Manager-Bereitstellungen, die BoKS Keytab für Active Directory nutzen. Betroffene Organisationen sollten umgehend die von Fortra bereitgestellten Patches installieren, um Angriffe zu verhindern.

CISOs können dem Vorstand oft keine klaren Antworten zur Sicherheitslage, finanziellen Risiken und Verbesserungen geben. Dies liegt daran, dass relevante Daten in vielen isolierten Tools stecken und nicht zusammengeführt werden. Um dies zu beheben, sollten CISOs Berichte erstellen, die sich auf tatsächliche Risiken und finanzielle Auswirkungen konzentrieren, anstatt nur auf Aktivitätsmetriken.

Microsoft wird ab Mitte Oktober 2026 die Sicherheit von Entra ID-Anmeldungen durch eine Content Security Policy (CSP) erhöhen, um externe Skript-Injektionen zu blockieren. Dies schützt Nutzer vor Cross-Site-Scripting (XSS)-Angriffen, indem nur vertrauenswürdige Microsoft-Skripte während der Authentifizierung zugelassen werden. Betroffen sind Unternehmen, die Browser-Erweiterungen oder Tools verwenden, die Skripte in Anmeldeseiten injizieren. Microsoft empfiehlt, diese Tools vorab zu deaktivieren und Anmeldeszenarien zu testen, um Kompatibilitätsprobleme zu identifizieren.

SpecterOps hat in Zusammenarbeit mit OpenAI den neuen Kurs "Adversary Intelligence: LLM Tradecraft" veröffentlicht. Dieser richtet sich an Sicherheitsexperten, die verstehen möchten, wie moderne LLMs und Agentensysteme funktionieren, wie sie ausgenutzt und gesichert werden können. Der Kurs soll die Wissenslücke bei der Anwendung und Absicherung dieser Technologien schließen.

Eine Schwachstelle im offiziellen MCP Python SDK ermöglicht es bösartigen Servern, OAuth-Zugangsdaten von Anwendungen zu stehlen. Betroffen sind Anwendungen, die das SDK als MCP-Client über HTTP mit bestimmten OAuth-Providern nutzen und sich mit unkontrollierten Servern verbinden können. Nutzer sollten umgehend auf die Versionen 1.30.0 oder 2.2.0 aktualisieren, um die Sicherheitslücke zu schließen.

Citrix warnt vor aktiv ausgenutzten Schwachstellen in NetScaler ADC und Gateway (CVE-2026-88771, CVE-2026-88772), die unauthentifizierten Angreifern die Ausführung beliebiger Befehle ermöglichen. Betroffen sind Unternehmen weltweit, die diese Produkte nutzen. Es wird dringend empfohlen, die von Citrix bereitgestellten Patches umgehend zu installieren. Zusätzlich wurde die Krypto-Börse Bitget gehackt, wobei über 387 Millionen Dollar gestohlen wurden, und eine als Platzhalter genutzte Domain ("third-party[.]com") wurde registriert, um bösartige Inhalte zu verbreiten.

KI-Agenten werden schneller in Produktionsumgebungen integriert, als Sicherheitsteams sie kontrollieren können, was zu unzureichender Governance und übermäßigen Zugriffsrechten führt. Nur 47 % der CISOs können alle KI-Agenten identifizieren, und viele nutzen veraltete Kontrollen. Unternehmen sollten KI-Agenten als eigenständige Identitäten behandeln, um Zugriffe zu steuern und "Schatten-KI" zu managen.

Eine neue Version der macOS-Malware PamStealer, getarnt als Krypto-Wallet-Dienst namens „Wavel“, zielt auf Nutzer ab. Die Malware nutzt eine komplexe Entschlüsselungskette und mehrere Persistenzmechanismen, um Daten zu stehlen und sich im System zu verankern. Betroffene sollten keine Software von unbekannten Quellen herunterladen und wachsam bei gefälschten Websites sein, die zur Installation auffordern.

Künstliche Intelligenz (KI) wird zunehmend in der offensiven Cybersicherheit eingesetzt, um Effizienz und Entscheidungsqualität zu verbessern. Unternehmen wie SpecterOps nutzen KI für Red Teaming, Forschung und Analyse, wobei sie jedoch betonen, dass menschliches Urteilsvermögen und Validierung unerlässlich bleiben. Betroffene sollten verstehen, dass KI zwar nützliche Tools und Zeitersparnisse bieten kann, aber auch zu Fehlinterpretationen führen kann, wenn sie nicht korrekt implementiert und überwacht wird. Es wird empfohlen, KI-Systeme mit Bedacht zu integrieren und stets eine unabhängige Überprüfung der Ergebnisse sicherzustellen.

Angreifer nutzen eine kritische Schwachstelle (CVE-2026-94127) in F5 BIG-IP Access Policy Manager (APM) aus, um unauthentifizierte Codeausführung zu ermöglichen. Betroffen sind Systeme, bei denen APM als OAuth-Autorisierungsserver fungiert. F5 hat Hotfixes veröffentlicht, die umgehend installiert werden sollten, um die Lücke zu schließen.

Sicherheitsforscher haben eine Methode namens TrustSink entwickelt, bei der Angreifer mit privilegiertem Zugang einen bösartigen externen MFA-Anbieter registrieren können. Dieser fängt Passwörter während legitimer Anmeldeversuche ab, indem er eine gefälschte Microsoft-Passwortabfrage in den Anmeldeablauf einschleust. Betroffen sind Organisationen, die externe MFA-Anbieter nutzen, insbesondere mit Microsoft Entra. Unternehmen sollten ihre Entra-Konten mit hohen Berechtigungen schützen und auf ungewöhnliche Anmeldeaufforderungen achten.

SpecterOps hat "Ghostwriter Skills" veröffentlicht, eine neue Sammlung von Agenten-Fähigkeiten zur Automatisierung gängiger Ghostwriter-Arbeitsabläufe. Betroffen sind Ghostwriter-Nutzer, die nun Aufgaben wie die Erstellung und Überprüfung von Berichtsvorlagen, die Prüfung der Berichtsreife und das Entwerfen von Zusammenfassungen effizienter erledigen können. Anwendern wird empfohlen, diese neuen Tools zu nutzen, um manuelle Arbeit zu reduzieren und sich auf die Analyse zu konzentrieren.

Ein Webinar von BleepingComputer und Material Security beleuchtet, wie Angreifer Google Workspace-Umgebungen durch Social Engineering und bösartige OAuth-Anwendungen kompromittieren. Betroffen sind Unternehmen, die Google Workspace nutzen. Das Webinar zeigt auf, welche Entscheidungen in den ersten Stunden eines Vorfalls getroffen werden sollten, um den Schaden zu begrenzen, und welche Sicherheitskontrollen den größten Wert bieten.

Eine Schwachstelle in Red Hat Enterprise Linux (RHEL) ermöglicht anonymen Angreifern, einen Denial-of-Service-Angriff durchzuführen. Betroffen sind verschiedene Versionen von RHEL, darunter Extended Update Support und Advanced Mission Critical Update Support. Administratoren sollten die von Red Hat bereitgestellten Sicherheitsupdates umgehend installieren, um ihre Systeme zu schützen.

Microsoft stellt die SMS-Anmeldung als primäre Authentifizierungsmethode für Entra ID bis Februar 2027 ein. Administratoren müssen Benutzer auf phishing-resistente Methoden wie Passkeys umstellen, um Anmeldeunterbrechungen zu vermeiden. Betroffen sind alle Organisationen, die derzeit SMS oder Sprachanrufe zur Multi-Faktor-Authentifizierung nutzen. Es wird empfohlen, den Entra SMS/Voice Policy Scanner zu verwenden und alternative Methoden wie FIDO2-Sicherheitsschlüssel oder QR-Code-Authentifizierung zu implementieren.

Ein Fertigungsunternehmen im Nahen Osten wurde Opfer eines Angriffs, bei dem Angreifer die Active Directory-Gruppenrichtlinien (GPO) nutzten, um Ransomware-Nachrichten zu verbreiten und Systeme zu manipulieren, ohne Daten zu verschlüsseln. Betroffen waren alle Windows-Workstations im Netzwerk, deren lokale Administratorkonten deaktiviert wurden. Unternehmen sollten ihre Erkennungsstrategien über reine Malware-Erkennung hinaus erweitern und Active Directory-Infrastrukturen auf verdächtige GPO-Änderungen überwachen.

CiliumHound ist eine neue BloodHound OpenGraph-Erweiterung, die zur Überprüfung von Cilium-Netzwerkrichtlinien in Kubernetes-Clustern entwickelt wurde. Sie hilft Sicherheitsprüfern, komplexe Richtlinien zu visualisieren und potenzielle Schwachstellen in der Netzwerkisolation zu identifizieren. Betroffen sind Unternehmen, die Cilium zur Durchsetzung von Netzwerkrichtlinien in Kubernetes nutzen. Administratoren sollten CiliumHound verwenden, um ihre Richtlinien zu auditieren und die Sicherheit ihrer Cluster zu verbessern.

Ghostwriter v7.3.0 erhält ein umfassendes UI-Update, das die Benutzeroberfläche modernisiert und die Benutzerfreundlichkeit verbessert. Betroffen sind alle Nutzer der Anwendung, die von einem frischeren Design, besserer Organisation und erhöhter Zugänglichkeit profitieren. Anwender sollten die neue Version installieren, um von den Verbesserungen wie der neuen Engagement Bar und dem überarbeiteten Dashboard zu profitieren.

Globale Cybersicherheitsbehörden haben eine Anleitung veröffentlicht, die 17 gängige Techniken zur Kompromittierung von Active Directory durch Angreifer aufzeigt. Organisationen sind betroffen und sollten ihre Active Directory-Konfigurationen umfassend verstehen und bewerten, um Schwachstellen zu identifizieren und zu beheben. Es wird empfohlen, Tools wie BloodHound, PingCastle oder Purple Knight zur Sicherheitsanalyse einzusetzen.

Eine Schwachstelle im Siemens Mendix SAML-Modul ermöglicht unauthentifizierten Angreifern die Kontoübernahme in spezifischen SSO-Konfigurationen. Betroffen sind verschiedene Versionen des Mendix SAML-Moduls, die mit Mendix 9.24, 10 und 11 kompatibel sind. Siemens empfiehlt dringend, auf die neuesten Versionen des Mendix SAML-Moduls (V3.6.27 oder höher, bzw. V4.2.3 oder höher) zu aktualisieren, um die Sicherheitslücke zu schließen.

Eine Browser-Erweiterung namens "Twitch Enhanced Viewer | JeetBot" mit über 30.000 Installationen sendet OAuth-Tokens von Twitch-Nutzern an einen kommerziellen Bot-Dienst. Betroffen sind Nutzer, die die Erweiterung installiert haben, da ihre Anmeldeinformationen an die Betreiber von JeetBot, einem russischen Streaming-Dienst, weitergeleitet werden. Nutzern wird dringend empfohlen, die Erweiterung zu deinstallieren, alle Twitch-Sitzungen zu trennen und sich neu anzumelden, um die kompromittierten Tokens zu entwerten.

Angreifer nutzen bösartige OAuth-Apps und Social Engineering, um Zugriff auf Google Workspace-Umgebungen zu erhalten, ohne Passwörter zu stehlen. Dies betrifft Unternehmen, die Google Workspace nutzen, da Benutzer unwissentlich schädlichen Apps Berechtigungen erteilen können. Organisationen sollten über traditionelle Passwortsicherheit hinausblicken, die Sichtbarkeit von Drittanbieter-Apps verbessern und die Berechtigungen, die Benutzer erteilen dürfen, genau überwachen.