Diese Woche kam der Ärger aus Bausteinen, die kaum jemand als Angriffsfläche führt: einer Bibliothek, die in fast jedem Container liegt, einer Image-Annotation und einem Passwortwechsel, der weniger tut, als man denkt. Acht unserer Beiträge dieser Woche stehen unten. Wo wir an der eigenen Flotte gemessen haben, steht das dabei, die übrigen beruhen auf Quellen, die wir offenlegen.

Deep Dive: Patchstände, die der Host nicht zeigt

curl 8.23.0: 24 Advisorys, eine mit HIGH

Das curl-Projekt hat am 14. Oktober die Version 8.23.0 veröffentlicht, vier Wochen früher als geplant. Von den 24 Advisorys am selben Tag ist eine HIGH, CVE-2026-92392, ein Use-after-free im HTTP/2-Upload. Die Ausnutzung verlangt mehrere Bedingungen zugleich, das Projekt hält sie für extrem schwierig. Der Befund liegt woanders: Wir haben 19 Hosts und 23 Container gelesen. Auf den Hosts fehlt in drei Fällen eine Paketrevision, bei Alpine 3.23 gibt es noch gar kein Update, und in 12 von 18 lesbaren Containern steckt ein curl mit der Revision deb13u5, auf die ein Host-Update keinen Einfluss hat. Die Messung mit Belegen steht in curl 8.23.0: eine Lücke mit HIGH, 24 Advisorys und die Revision, die bei uns noch fehlt.

Podman: eine Annotation statt Sandbox

CVE-2026-94603 erlaubt, dass podman run ein Image mit einer bestimmten Annotation als Checkpoint behandelt und die Sicherheitswerte des Images übernimmt. Ein --cap-drop=ALL des Betreibers gilt dann nicht mehr. Der Maintainer bewertet mit CVSS 10.0, Red Hat mit 8.6, die Distributionspakete für Debian 13 und RHEL sind noch offen. Docker ist nach den Quellen nicht betroffen, auf 20 von 21 erreichten Hosts läuft Docker, Podman ist bei uns nirgends installiert. Ablauf, Vektorvergleich und der Prüfbefehl für Images stehen in Podman-CVE-2026-94603: Eine Image-Annotation schaltet die Sandbox ab.

Bewertung: In beiden Fällen sagt der Host nicht, was im Container läuft. Wer nur apt upgrade fährt, hat die Bilder nicht erreicht, und wer Images aus fremden Registries startet, vertraut ihnen mehr, als die Dokumentation vermuten lässt. Der nächste Schritt ist eine Liste, welche Container ein eigenes curl mitbringen und woher ihre Bilder stammen. Sie ist in einem Nachmittag gebaut.

Deep Dive: Fristen und Zugänge

64 Tage Laufzeit für Let's Encrypt

Let's Encrypt stellt am 10. Februar 2027 auf 64 Tage Laufzeit um, der Staging-Zweig ist seit dem 14. Oktober umgestellt. Die Stufung stammt vom CA/Browser Forum und endet bei 47 Tagen ab März 2029. Wir haben neun verbreitete ACME-Clients gegen ihre Dokumentation gelegt: Caddy, Certbot ab 4.1, lego und nginx-acme erneuern mit ARI, HAProxy, Traefik und Proxmox VE rechnen mit festen Abständen und werden mit kürzeren Laufzeiten enger. Unsere beiden Edges erneuern ohne Cron-Job per ACME, offen bleibt die interne Seite. Die Tabelle und die Checkliste stehen in 64 Tage Laufzeit ab Februar 2027.

Mailkonto übernommen, Passwort geändert, Angreifer liest weiter

Mike Kuketz beschreibt am 11. Oktober einen Fall, in dem Weiterleitung und Filterregel das Zurücksetzen des Passworts überlebten. Microsoft führt für den Ernstfall sechs Schritte, Google trennt Passwort und Sitzungen, Stalwart widerruft Tokens, aber keine Sieve-Skripte. Für unser Stalwart in Version 0.16.25 ist der dokumentierte Token-Widerruf nicht getestet. Die Checkliste steht in E-Mail-Konto gehackt: Warum das neue Passwort den Angreifer nicht aussperrt.

Bewertung: Beide Themen sind Inventurfragen. Eine Zertifikatsstrecke, die niemand aufgelistet hat, merkt man im Februar, und ein Postfach ohne Prüfung von Regeln und Weiterleitungen hat nach einem Vorfall keinen sauberen Stand. Zwei Skripte, die beides regelmäßig auslesen, kosten weniger als ein Vorfall.

Deep Dive: Browser unter eigener Verwaltung

Firefox Enterprise: zehn Richtlinien nur mit Konsole

Mozilla hat am 12. Oktober Firefox Enterprise angekündigt, mit einer Konsole auf der Infrastruktur des Kunden. Im Abgleich der neuen Policy-Referenz mit den offenen Vorlagen in Version 8.4 bleiben zehn Richtlinien, die es nur im Enterprise-Kanal gibt, darunter DataLossPrevention und DisableLocalPolicies. Der Rest, also WebsiteFilter, ContentAnalysis und AIControls, steckt im kostenlosen Firefox. Preis und Serveranforderungen der Konsole nennt Mozilla nicht. Die Zählung, die Tabelle und unsere eigene Browserstatistik stehen in Firefox Enterprise: was die Konsole übernimmt.

Bewertung: Wer Mitarbeitende am Einfügen in KI-Dienste hindern will, braucht dafür heute keine Konsole. Es genügt die ADMX-Datei aus den offenen Vorlagen und eine Entscheidung, was gesperrt wird. Der Kauf lohnt erst, wenn Preis und Betriebsaufwand der Konsole bekannt sind.

Deep Dive: Angriffe über Geräte und Plattformen

Ivanti: drei Lücken bis root

Volexity beschreibt eine Kette auf einem voll gepatchten Ivanti Connect Secure, erste Spur vom 3. Oktober. Zwei Glieder, die Umgehung der Anmeldung in welcome.cgi und das Schreiben einer Datei in wu.cgi, laufen unter CVE-2026-104935 und sind seit dem 13. Oktober behoben, das dritte Glied zur Rechteausweitung hat bis zur Meldung keinen Fix. Der Integrity Checker erkennt die Aktivität nicht. Versionen, Spuren und Maßnahmen stehen in Ivanti Connect Secure: drei Lücken ergeben root auf einem gepatchten VPN-Gerät.

Kühlketten: was belegt ist

In Frankreich wurden Kältesteuerungen von Danfoss aus der Ferne verstellt. Der Einstieg ist unbestätigt. Belegt sind drei Lücken im Verwaltungssystem AK-SM 800A seit August, 2.765 erreichbare Oberflächen und eine Firmware R4.3.1. Der Hacker-News-Thread zum Fall hat über 1.000 Kommentare, die meisten technischen Aussagen darin sind Vermutungen. Was belegt ist und was ein Betreiber prüfen kann, steht in Kühlketten unter Angriff.

npm und GitLab: Vertrauen in Namen und Ausdrücke

npm band Publish-Rechte an den Namen eines GitHub-Repositories, über 1.500 Pakete waren nach Bloom gefährdet. In GitLab führt ein regulärer Ausdruck in der CI-Konfiguration zu Codeausführung, CVSS 10.0, mit öffentlicher Proof-of-Concept von Rapid7. Der Vergleich beider Fälle und die Prüfschritte stehen in Lieferkette in der Praxis.

Bewertung: Alle drei Fälle zeigen, dass die Meldung „gepatcht" eine Frage offen lässt: was der Angreifer vorher hinterlassen hat und welche Bindungen bestehen blieben. Bei Ivanti ist es das Gerät selbst, bei npm die Bindung an einen Namen, bei GitLab der Pfad, den ein Konto anlegen darf.

Digest: Weitere wichtige Nachrichten

Sicherheit

Ivanti Connect Secure: drei Lücken ergeben root auf gepatchten Geräten Volexity datiert die erste Spur auf den 3. Oktober, auf einer damals aktuellen Version 22.8R2.4. Die ersten beiden Glieder laufen unter CVE-2026-104935 (seit 13. Oktober im CISA-Katalog, behoben in 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5). Für die Rechteausweitung zu root arbeitet Ivanti noch an einem Fix. | verifiziert
CISA: Ivanti sofort aktualisieren, bei Verdacht neu aufsetzen Betroffen sind 25.1.1.1 und älter, 25.1.2.2 und älter sowie 22.8R2.4 und älter. Der Integrity Checker kann die Ausnutzung übersehen, weil die Befehle im Speicher laufen, bei Verdacht gehört das Gerät zurückgesetzt und alle Zugangsdaten erneuert. 22.8 endet am 31. Januar 2027. | verifiziert
Patchday Oktober: 1.413 CVEs, drei Zero-Days Ausgenutzt wird CVE-2026-96951, eine Umgehung in der Windows-Shell (CVSS 8.8). Öffentlich bekannt, aber nicht ausgenutzt, sind CVE-2026-108398 in .NET Framework und CVE-2026-92707 in MessagePack-CSharp. 75 Einträge sind kritisch. | verifiziert
GitLab: CVSS 10.0 über einen regulären Ausdruck in der CI-Konfiguration CVE-2026-97229, behoben in 19.2.8, 19.3.5 und 19.4.2 vom 12. Oktober. Rapid7 reproduzierte Codeausführung auf 19.4.1 und hat eine Proof-of-Concept auf GitHub veröffentlicht, eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Auf Instanzen mit öffentlichen Projekten genügt ein normales Konto. | verifiziert
npm Trusted Publishing: Repository-Name statt ID gebunden Nach Umbenennung oder Löschen eines GitHub-Repositories konnte ein Angreifer den alten Namen übernehmen und ein Publish-Token für fremde Pakete erhalten. Mehr als 1.500 Pakete waren laut Bloom Security gefährdet, GitHub hat am 2. Oktober eine Korrektur angekündigt. Maintainer prüfen mit npm trust list. | gemeldet
Kühlketten in Frankreich, Störung bei Ahold Delhaize In Frankreich wurden Kältesteuerungen von Danfoss aus der Ferne verstellt, mehrere Handelsketten waren betroffen. Der Einstieg ist nicht bestätigt. Der Vorfall bei Ahold Delhaize in den Niederlanden und Belgien hat laut Quelle keinen erkennbaren Zusammenhang. | gemeldet

Software-Releases

ONLYOFFICE Docs 10.0 Nach Angabe des Projekts schließt die Version rund 35 Sicherheitslücken und über 1.000 Fehler. Die KI ist aus den Open-Source-Versionen entfernt und wird separat installiert. Die selbst betriebene Fassung war am 13. Oktober noch nicht verfügbar. | gemeldet
Firefox und Thunderbird 158 Beide Versionen erschienen am 13. Oktober, Firefox 158 bringt JPEG-XL-Unterstützung unter Linux. | gemeldet

Selbstcheck: Was davon uns selbst trifft

Bei uns läuft die Versionsverwaltung auf Gitea, die GitLab-Lücke betrifft uns nicht. Wer GitLab selbst betreibt, braucht eine der drei Fassungen vom 12. Oktober. Für curl und Podman stehen die Ergebnisse oben und in den Beiträgen: Offen sind drei Host-Updates im nächsten Wartungsfenster und neue Container-Bilder auf dem aktualisierten Basisbild, Podman haben wir nirgends. Unsere beiden Edges erneuern Zertifikate per ACME-Client mit ARI-Unterstützung, die Messung der internen Zertifikate steht noch aus. Zu Ivanti, Windows-Shell und .NET haben wir diese Woche keine Bestandsmessung gemacht. Für Kunden mit Ivanti Connect Secure und für alle Windows-Bestände gilt der Patchday als Frist.

Aus dem Blog

Acht neue Beiträge in dieser Woche:

Quellen dieser Ausgabe

Zusammengestellt am Freitag, 16.10.2026. Was danach dazukommt, steht in der nächsten Ausgabe.

IT-News KW43/2026: curl-Lücke mit HIGH, Podman-Sandbox ausgehebelt, Ivanti-Kette bis root, Firefox mit Konsole