IT-Wochenrückblick KW 38/2026: Cisco-Doppel-Zero-Day (CVSS 10.0), kritische GitLab-Lücke & BSI-Warnung vor TerminalFix

Zwei aktiv ausgenutzte Cisco-Zero-Days (CVSS 10.0 und 9.8) in Identity Services Engine und E-Mail-Gateway, eine kritische GitLab-Lücke (CVSS 10.0), die schon Stunden nach dem Patch angegriffen wurde, und eine BSI-Warnung vor der TerminalFix-Angriffswelle mit gefälschten CAPTCHAs

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche zeigt sich erneut: Angreifer nutzen kritische Lücken oft schneller aus, als Updates in den Netzen ankommen. Cisco musste gleich zwei aktiv ausgenutzte Zero-Days in seinen Sicherheitsprodukten notfallmäßig schließen – die schwerste erreicht mit 10,0 den Höchstwert und wurde erst entdeckt, als Support-Mitarbeiter ein Kundenticket bearbeiteten. Parallel wird eine kritische GitLab-Lücke bereits wenige Stunden nach dem Patch angegriffen, und das BSI warnt vor einer neuen Angriffswelle namens „TerminalFix“, bei der gefälschte CAPTCHAs Nutzer dazu bringen, sich selbst Schadsoftware zu installieren. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: Cisco – zwei aktiv ausgenutzte Zero-Days in ISE (CVSS 10.0) und Secure Email Gateway

Cisco hat innerhalb weniger Tage zwei kritische, bereits aktiv ausgenutzte Zero-Day-Schwachstellen bestätigt und Notfall-Updates veröffentlicht. Die schwerwiegendere Lücke CVE-2026-76460 steckt in der Identity Services Engine (ISE) sowie im ISE Passive Identity Connector – zentralen Systemen, die in vielen Firmennetzen den Netzzugang und die Authentifizierung steuern. Sie erreicht den maximalen Bedrohungswert von 10,0: Über einen unzureichend geschützten API-Zugang können nicht angemeldete Angreifer aus der Ferne die Anmeldung umgehen und sich Root-Rechte verschaffen – also die volle Kontrolle über das Gerät.

Besonders alarmierend ist, wie die Lücke ans Licht kam: Cisco stieß nicht durch eine interne Prüfung oder ein Bug-Bounty-Programm darauf, sondern während der Bearbeitung eines Support-Falls eines Kunden. Das bedeutet, dass mindestens ein Unternehmen bereits kompromittiert war, bevor die Schwachstelle überhaupt bekannt war. Einen Workaround gibt es nicht – nur das Einspielen der korrigierten Software hilft. Die zweite Lücke CVE-2026-76461 (Bedrohungswert 9,8) betrifft das Cisco Secure Email Gateway und erlaubt ebenfalls nicht angemeldeten Angreifern, aus der Ferne Befehle mit hohen Rechten auszuführen.

Die US-Behörde CISA hat die ISE-Lücke am 16. September in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist zum Patchen bis zum 19. September gesetzt. Sicherheits- und Fernzugriffsgeräte sind für Angreifer besonders attraktiv, weil sie direkt am Tor zum Firmennetz stehen – wer sie kontrolliert, steht mitten im Netzwerk.

Was bedeutet das für Sie?

• Prüfen Sie, ob Sie Cisco ISE, den ISE Passive Identity Connector oder das Secure Email Gateway einsetzen, und spielen Sie die Hersteller-Updates umgehend ein – zuerst bei aus dem Internet erreichbaren Geräten.
• Lassen Sie nach dem Update prüfen, ob es bereits Anzeichen einer Kompromittierung gibt (neue Konten, ungewöhnliche API-Zugriffe, veränderte Konfigurationen), und erneuern Sie im Verdachtsfall Zugangsdaten und Sitzungen.
• Machen Sie die Verwaltungsoberflächen solcher Geräte nicht offen aus dem Internet erreichbar und beschränken Sie den Zugriff auf bekannte, interne IP-Bereiche.

Top 2: GitLab-Zero-Day (CVSS 10.0) – Angriffe schon Stunden nach dem Patch

In der weit verbreiteten Entwicklungs- und Versionsverwaltungs-Plattform GitLab wurde am 12. September eine kritische Schwachstelle mit dem Höchstwert 10,0 geschlossen. Die Lücke CVE-2026-85706 ist ein sogenannter Path-Traversal-Fehler: Er erlaubt es nicht angemeldeten Angreifern, aus der Ferne beliebige Dateien von selbst betriebenen (self-managed) GitLab-Servern auszulesen – darunter potenziell Konfigurationsdateien, Zugangsdaten und Quellcode.

Besonders brisant ist das Tempo: Sicherheitsforscher der Firma watchTowr registrierten bereits am 11. September die ersten Angriffe – also praktisch parallel zur Veröffentlichung des Updates. Wer GitLab selbst betreibt, hat damit kaum ein Zeitfenster: Zwischen Bekanntwerden und Ausnutzung liegen nur Stunden. Betreiber sollten davon ausgehen, dass ungepatchte Server ein aktives Angriffsziel sind.

GitLab stellt korrigierte Versionen für selbst gehostete Installationen bereit (19.1.8, 19.2.6 und 19.3.2). Wer GitLab in der von GitLab betriebenen Cloud nutzt, muss nichts tun – dort wurde die Lücke automatisch geschlossen. Betroffen sind ausschließlich selbst betriebene Server.

Was bedeutet das für Sie?

• Betreiben Sie einen eigenen GitLab-Server? Aktualisieren Sie sofort auf Version 19.3.2, 19.2.6 bzw. 19.1.8 – unabhängig davon, ob der Server aus dem Internet erreichbar ist oder nur intern.
• Prüfen Sie die Server-Protokolle auf verdächtige Datei-Zugriffe seit dem 11. September und gehen Sie im Zweifel davon aus, dass ausgelesene Zugangsdaten und Schlüssel kompromittiert sein könnten – erneuern Sie diese.
• Stellen Sie sicher, dass geschäftskritische Entwicklungssysteme nicht unnötig offen im Internet stehen, und aktivieren Sie – wo möglich – automatische Sicherheitsupdates.

Top 3: BSI warnt vor „TerminalFix“ – gefälschte CAPTCHAs führen zu Schadsoftware

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer neuen Angriffswelle namens „TerminalFix“, einer Weiterentwicklung der bekannten „ClickFix“-Masche. Dabei werden Nutzerinnen und Nutzer auf manipulierten Webseiten mit einem gefälschten CAPTCHA („Ich bin kein Roboter“) dazu verleitet, angeblich zur Bestätigung selbst Befehle in die Windows-Eingabeaufforderung (PowerShell) einzugeben – und installieren sich damit unbemerkt Schadsoftware.

Der entscheidende Unterschied zu klassischem ClickFix: Während bisher meist einzelne Rechner betroffen waren, ermöglicht TerminalFix ein tieferes Eindringen ins Netzwerk und die Kompromittierung ganzer Organisationen. Die Schadsoftware nistet sich über mehrere Stufen ein – unter anderem versteckt in Bilddateien (PNG) – und richtet einen dauerhaften Fernzugriff ein. Das BSI bestätigt, dass darüber bereits mindestens eine deutsche Bundesbehörde kompromittiert wurde; Sicherheitsforscher bringen die Technik direkt mit der Ransomware-Gruppe Rhysida in Verbindung, die im August die Berliner Verwaltung angegriffen hatte.

Das Perfide an dieser Masche: Sie umgeht technische Schutzmaßnahmen, weil das Opfer den Schadcode selbst und freiwillig ausführt. Der wirksamste Schutz ist deshalb Aufmerksamkeit – und die klare Regel, niemals Befehle auszuführen, die eine Webseite einem vorgibt.

Was bedeutet das für Sie?

• Sensibilisieren Sie Ihre Mitarbeitenden: Ein echtes CAPTCHA verlangt niemals, Befehle zu kopieren und in die Windows-Eingabeaufforderung, das Ausführen-Fenster (Win+R) oder PowerShell einzufügen. Wer dazu aufgefordert wird, bricht sofort ab.
• Beschränken Sie – wo möglich – die Ausführung von PowerShell und Skripten für normale Benutzer und aktivieren Sie Schutzfunktionen wie die Angriffsflächenreduzierung (ASR-Regeln) in Microsoft Defender.
• Halten Sie einen einfachen Meldeweg bereit, damit Beschäftigte verdächtige Aufforderungen sofort an die IT melden können – und achten Sie auf Alarmzeichen wie unbekannte Fernzugriffe oder plötzlich deaktivierte Schutzsoftware.

⚡ Quick News der Woche

• SAP-Patchday im September: SAP hat 19 neue Sicherheitshinweise veröffentlicht, vier davon als kritisch eingestuft. Unternehmen, die SAP-Systeme betreiben, sollten die Updates zeitnah über ihre Administratoren oder Dienstleister einspielen lassen.
• Fortinet schließt mehrere Lücken: Fortinet hat drei Schwachstellen mit hohem Schweregrad in FortiWeb, FortiManager und FortiClient (Windows) behoben – unter anderem mit Risiko für Rechteausweitung und Codeausführung. Betroffene Geräte und Clients aktualisieren.
• Datenleck bei Revolut über missbrauchte Behörden-Domain: Beim Finanzdienstleister Revolut wurde ein Vorfall bekannt, bei dem Unbefugte eine legitime E-Mail-Domain einer Behörde nutzten, um gefälschte Auskunftsanfragen zu stellen und an Kundendaten zu gelangen. Ein Beispiel, wie Vertrauen in echte Absender ausgenutzt wird – bei ungewöhnlichen Anfragen offiziell rückversichern.
• Studie: Jedes vierte KMU trotz Schutzmaßnahmen gehackt: Ein aktueller Cyberresilienz-Bericht 2026 zeigt, dass rund ein Viertel der kleinen und mittleren Unternehmen trotz vorhandener Schutzvorkehrungen erfolgreich angegriffen wurde. Basis-Hygiene wie MFA, getestete Backups und regelmäßige Updates bleibt entscheidend.
• CISA-Katalog wächst rasant: Allein in den letzten sieben Tagen hat die US-Behörde CISA rund 15 neu aktiv ausgenutzte Schwachstellen aufgenommen. Ein deutliches Signal, den eigenen Patch-Stand regelmäßig zu überprüfen und beim IT-Dienstleister nachzufragen.

💡 Fazit & Empfehlung

Diese Woche zeigt: Zwischen dem Bekanntwerden einer Lücke und ihrer Ausnutzung liegen oft nur Stunden – und der Mensch bleibt ein beliebtes Einfallstor. Achten Sie auf drei Stellschrauben:

✓ Sicherheits- und Netzgeräte sofort patchen: Cisco ISE, E-Mail-Gateway und selbst betriebene GitLab-Server umgehend aktualisieren und die Verwaltung nicht offen ins Internet stellen – bei den Cisco-Lücken gibt es keinen Workaround, nur das Update hilft.

✓ Menschen gegen „TerminalFix“ wappnen: Klare Regel im Team verankern: Niemals Befehle ausführen, die eine Webseite oder ein CAPTCHA vorgibt – diese Masche umgeht technische Schutzmaßnahmen, weil das Opfer den Schadcode selbst startet.

✓ Basis-Hygiene konsequent leben: Mehr-Faktor-Anmeldung überall, keine Passwort-Wiederverwendung, getestete Offline-Backups und ein aktueller Patch-Stand – vier von fünf erfolgreichen Angriffen ließen sich damit deutlich erschweren.

Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• The Register / CyberScoop / SecurityWeek / The Hacker News: Cisco ISE-Zero-Day CVE-2026-76460 (CVSS 10.0, Auth-Bypass, Root) und Secure Email Gateway CVE-2026-76461 (9,8) aktiv ausgenutzt, CISA-KEV-Aufnahme 16.09.2026, Patch-Frist 19.09.
• Greenbone / Dr. Web / GitLab Docs / watchTowr: GitLab CVE-2026-85706 (CVSS 10.0, Path Traversal) aktiv ausgenutzt seit 11.09., Fixes 19.1.8 / 19.2.6 / 19.3.2 (12.09.2026)
• BSI / heise online / Vinspire: BSI-Cybersicherheitswarnung zur „TerminalFix“/„ClickFix“-Kampagne (gefälschte CAPTCHAs, PowerShell, PNG-Sideloading), Bezug zur Rhysida-Gruppe und zum Berlin-Vorfall
• SAP Support / SAPinsider: SAP Security Patch Day September 2026 (19 Hinweise, 4 kritisch); it-boltwise: Fortinet-Updates FortiWeb, FortiManager, FortiClient (Windows)
• security-insider / wortfilter (Cyberresilienz 2026): rund ein Viertel der KMU trotz Schutz gehackt; Senserva / CISA KEV: ca. 15 neu aktiv ausgenutzte Lücken in 7 Tagen

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 37/2026.

© IT Navigator · Wochenrückblick KW 38/2026 · Stand: 18.09.2026