IT-Wochenrückblick KW 42/2026: Rekord-Patchday mit Windows-Zero-Day, Nextcloud-Server mit Hintertüren (CVSS 9.2) & BeyondTrust-Fernwartung angegriffen

Rekord-Patchday mit über 1.400 Lücken und angegriffenem Windows-Zero-Day, Hintertüren in Nextcloud-Servern über eine kritische Collabora-Lücke (CVSS 9.2) und ein seit August ausgenutzter Zero-Day in BeyondTrust Remote Support

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche dreht sich vieles um Software, die in fast jedem Unternehmen läuft: Microsoft hat am Patchday so viele Sicherheitslücken geschlossen wie nie zuvor – eine davon in der Windows-Oberfläche wird bereits für Angriffe genutzt. Gleichzeitig endet für Windows 11 in Version 24H2 (Home und Pro) die Versorgung mit Sicherheitsupdates. Besonders relevant für den deutschen Mittelstand: Über eine kritische Lücke in der integrierten Office-App von Nextcloud haben Angreifer bereits seit September Hintertüren auf Servern platziert. Und beim Fernwartungsanbieter BeyondTrust wurde eine Zero-Day-Lücke bekannt, die Angreifer schon seit Ende August ausnutzen. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: Microsoft-Patchday Oktober – Rekord mit über 1.400 Lücken, Windows-Zero-Day wird bereits angegriffen

Microsoft hat am 13. Oktober seinen monatlichen Patchday veröffentlicht – und dabei einen Rekord aufgestellt: Je nach Zählweise wurden zwischen rund 1.400 und 1.414 Sicherheitslücken in Windows, Office, .NET und weiteren Produkten geschlossen, rund 70 davon stuft Microsoft als kritisch ein. Darunter sind über 300 Lücken, über die Angreifer Schadcode aus der Ferne ausführen könnten.

Eine Lücke wird bereits aktiv ausgenutzt: CVE-2026-96951 (Bedrohungswert 8,8) in der Windows-Shell. Sie erlaubt es Angreifern, den Schutzmechanismus „Mark of the Web“ auszuhebeln. Normalerweise markiert Windows Dateien aus dem Internet oder aus E-Mail-Anhängen und zeigt beim Öffnen eine Sicherheitswarnung an bzw. öffnet Office-Dokumente in der geschützten Ansicht. Mit einer präparierten Datei entfällt diese Warnung – das Opfer muss die Datei aber selbst öffnen, etwa nach einer Phishing-Mail. Die US-Behörde CISA hat die Lücke sofort in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Zwei weitere Lücken (in .NET Framework und MessagePack-CSharp) waren vorab öffentlich bekannt.

Wichtig: Für Windows 11 Version 24H2 in den Editionen Home und Pro war das Oktober-Update das letzte. Geräte auf diesem Stand erhalten ab sofort keine Sicherheitsupdates mehr. Der Umstieg auf Version 25H2 erfolgt über ein kleines Aktivierungspaket mit nur einem Neustart und verlängert die Versorgung bis Oktober 2027. Enterprise- und Education-Editionen werden noch bis Oktober 2027 versorgt.

Was bedeutet das für Sie?

• Spielen Sie die Oktober-Updates auf allen Windows-PCs und -Servern zeitnah ein und prüfen Sie über Ihre Verwaltungskonsole bzw. „Einstellungen > Windows Update“, ob die Installation tatsächlich abgeschlossen ist.
• Kontrollieren Sie unter „Einstellungen > System > Info“, welche Windows-11-Version installiert ist. Steht dort 24H2 (Home oder Pro), führen Sie das Upgrade auf 25H2 durch – sonst bleibt das Gerät künftig ungeschützt.
• Sensibilisieren Sie Ihre Mitarbeitenden: Fehlt bei einer Datei aus dem Internet oder einem E-Mail-Anhang die gewohnte Sicherheitswarnung, ist das kein Zeichen von Harmlosigkeit. Unerwartete Anhänge – auch ZIP- und Verknüpfungsdateien – vor dem Öffnen kritisch hinterfragen.

Top 2: Nextcloud – kritische Lücke (CVSS 9.2) in der Collabora-Office-App für Hintertüren ausgenutzt

Nextcloud ist gerade in Deutschland als datenschutzfreundliche Alternative zu Microsoft 365, Dropbox & Co. weit verbreitet – bei Unternehmen, Kanzleien, Schulen und Behörden. Für die Bearbeitung von Office-Dokumenten im Browser wird häufig die App „Collabora Online – Built-in CODE Server“ genutzt. Genau in dieser App steckt eine kritische Schwachstelle: Über CVE-2026-110447 (Bedrohungswert 9,2) können Angreifer ohne Anmeldung Befehle auf dem Server ausführen.

Collabora hat am 14. Oktober eine offizielle Warnung veröffentlicht – doch die Angriffe laufen nach Berichten von Administratoren bereits seit Mitte September, also rund einen Monat vor Bekanntgabe. Die Angreifer nutzen die Lücke, um sogenannte Web-Shells (PHP-Hintertüren) auf den Servern abzulegen. Darüber haben sie dauerhaften Zugriff auf den Server und damit potenziell auf alle dort gespeicherten Dateien.

Betroffen sind alle Versionen der App vor 26.4.303. Wichtig: Das bloße Deaktivieren der App schließt die Lücke nicht – sie muss aktualisiert oder vollständig entfernt werden. Wer Collabora Online als eigenständigen Server betreibt (nicht als integrierte App), ist nicht betroffen.

Was bedeutet das für Sie?

• Prüfen Sie in der Nextcloud-App-Verwaltung, ob „Collabora Online – Built-in CODE Server“ (richdocumentscode) installiert ist, und aktualisieren Sie umgehend auf Version 26.4.303 – oder entfernen Sie die App vollständig.
• Lassen Sie den Server auf unbekannte PHP-Dateien im Nextcloud-Verzeichnis, verdächtige Prozesse und ungewöhnliche Zugriffe seit Anfang September prüfen. Bei einem Fund gilt der Server als kompromittiert und sollte aus einem sauberen Backup wiederhergestellt werden.
• Erneuern Sie bei Verdacht alle Passwörter und App-Tokens von Nextcloud-Konten sowie hinterlegte Zugangsdaten (z. B. Datenbank, E-Mail, externe Speicher). Nutzen Sie einen Hoster? Fragen Sie aktiv nach, ob die Instanz bereits abgesichert wurde.

Top 3: BeyondTrust Remote Support – Zero-Day-Lücke wird seit Ende August für Angriffe genutzt

Der Fernwartungsanbieter BeyondTrust hat am 15. Oktober eine kritische Schwachstelle in seiner Lösung Remote Support öffentlich gemacht. Über CVE-2026-102764 können Angreifer ohne Anmeldung Dateioperationen auf dem Fernwartungssystem durchführen. Betroffen sind die Versionen 26.2.3 und älter. Die Cloud-Instanzen hat BeyondTrust bereits am 8. Oktober abgesichert, selbst betriebene Appliances müssen – sofern keine automatischen Updates aktiv sind – manuell aktualisiert werden.

Laut BeyondTrust und den Sicherheitsforschern von Google Mandiant wurde die Lücke bereits seit dem 29. August als Zero-Day ausgenutzt. Mandiant ordnet die Angriffe einer mutmaßlich China-nahen Gruppe zu. Die Angreifer verschafften sich höchste Systemrechte, installierten eine Web-Shell sowie ein Tunnel-Programm, löschten Protokolle und bewegten sich mit erbeuteten Zugangsdaten weiter durch die Netzwerke.

Das Thema betrifft kleine Unternehmen oft indirekt: Fernwartungswerkzeuge wie BeyondTrust (früher Bomgar), TeamViewer oder AnyDesk werden häufig von IT-Dienstleistern und Softwareanbietern genutzt, um auf Kunden-PCs zuzugreifen. Wird ein solches Werkzeug kompromittiert, haben Angreifer im schlimmsten Fall direkten Zugang zu vielen Kundennetzen.

Was bedeutet das für Sie?

• Wenn Sie BeyondTrust Remote Support selbst betreiben: Aktualisieren Sie sofort auf die von BeyondTrust bereitgestellte korrigierte Version und prüfen Sie das System anhand der veröffentlichten Hinweise (Advisory BT26-05) auf Einbruchsspuren.
• Fragen Sie Ihre IT- und Software-Dienstleister, welche Fernwartungswerkzeuge sie für den Zugriff auf Ihre Systeme verwenden und ob diese aktuell gepatcht sind.
• Erlauben Sie Fernwartung nur nach Freigabe im Einzelfall, mit Mehr-Faktor-Anmeldung und Protokollierung. Dauerhaft offene Fernzugänge sollten die Ausnahme sein und regelmäßig überprüft werden.

⚡ Quick News der Woche

• Cisco: erneut Zero-Day im E-Mail-Gateway: Cisco hat eine weitere bereits angegriffene Lücke in Secure Email Gateway geschlossen. Über CVE-2026-76519 (CVSS 9.8) reicht ein präparierter E-Mail-Anhang, um Befehle mit Root-Rechten auszuführen, wenn die Funktion „File Reputation“ aktiv ist. Einen Workaround gibt es nicht – Update auf AsyncOS 16.5.0-780 oder neuer und Protokolle auf Auffälligkeiten prüfen.
• GitLab: Lücke mit Höchstwert CVSS 10: Mit dem Sicherheitsupdate vom 12. Oktober schließt GitLab 24 Lücken, darunter CVE-2026-97229, über die Angreifer ohne Anmeldung Code auf selbst betriebenen Servern ausführen können. Seit dem 13. Oktober ist ein öffentlicher Angriffscode verfügbar. Auf 19.2.8, 19.3.5 bzw. 19.4.2 aktualisieren; GitLab.com ist bereits abgesichert.
• SonicWall SMA1000 wird angegriffen: Nur drei Tage nach dem Update vom 6. Oktober wurden erste Angriffsversuche auf die kritische Lücke CVE-2026-102255 in den Fernzugriffs-Appliances SMA 6210, 7210 und 8200v beobachtet. Wer die Geräte einsetzt, sollte den Hotfix umgehend einspielen.
• Ivanti Connect Secure: Angriffe laufen: Auch auf eine Lücke in Ivantis VPN-Lösung Connect Secure laufen laut heise inzwischen Angriffe. Updates stehen seit Anfang Oktober bereit und sollten jetzt dringend installiert werden.
• Phishing-Welle gegen Bankkunden: Die Verbraucherzentrale warnt aktuell vor gefälschten E-Mails im Namen von PayPal, DKB, Sparkassen, Volksbanken und ELSTER – mit angeblichen Kontosperren, Erstattungen oder Fristen von 24 bis 72 Stunden. Bundesbank und Bundesfinanzministerium haben dazu am 10. Oktober die Aufklärungskampagne „Machen wir Phishen Impossible!“ gestartet. Grundregel: Nie über Links in E-Mails anmelden.

💡 Fazit & Empfehlung

Diese Woche zeigt: Angreifer sind oft schon Wochen vor der offiziellen Warnung aktiv – und nehmen gezielt Systeme ins Visier, die viele Unternehmen für selbstverständlich halten: Windows, die eigene Cloud und die Fernwartung. Achten Sie auf drei Stellschrauben:

✓ Windows aktuell halten – und auf unterstützter Version: Oktober-Updates auf allen Geräten einspielen und Windows-11-PCs mit Version 24H2 (Home/Pro) jetzt auf 25H2 heben. Ein Gerät ohne Sicherheitsupdates ist ein offenes Einfallstor.

✓ Selbst betriebene Server regelmäßig prüfen: Nextcloud, GitLab, E-Mail- und VPN-Gateways umgehend aktualisieren und bei kritischen Lücken nicht nur patchen, sondern auch auf Einbruchsspuren kontrollieren – denn manche Angriffe laufen schon vor dem Update.

✓ Fernzugänge kontrollieren: Wissen Sie, wer per Fernwartung auf Ihre Systeme zugreifen kann? Zugänge inventarisieren, nur nach Freigabe öffnen, mit Mehr-Faktor-Anmeldung absichern und Dienstleister nach ihrem Patch-Stand fragen.

Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• BleepingComputer / Tenable / CrowdStrike / SecurityWeek: Microsoft October 2026 Patch Tuesday – über 1.400 Lücken, Windows-Shell-Zero-Day CVE-2026-96951 (13.10.2026); heise online: Patchday Microsoft – Attacken auf Windows-Shell-Lücke (14.10.2026)
• BleepingComputer / gHacks / Microsoft Message Center: Windows 11 24H2 Home und Pro erreichen Supportende (13.10.2026)
• BleepingComputer / SecurityOnline / IT-Connect / Collabora Security Advisory: Nextcloud-Server über Collabora-CODE-Lücke CVE-2026-110447 mit Web-Shells kompromittiert (14.–15.10.2026)
• BleepingComputer / Google Mandiant / BeyondTrust Advisory BT26-05: Zero-Day CVE-2026-102764 in Remote Support seit August ausgenutzt (15.–16.10.2026)
• BleepingComputer / Network World: Cisco Secure Email Gateway Zero-Day CVE-2026-76519 (Oktober 2026); heise online / DevOps.com / SecurityAffairs: GitLab schließt CVSS-10-Lücke CVE-2026-97229 (12.–13.10.2026)
• heise online / Security-Insider / BornCity: Angriffe auf SonicWall SMA1000 (CVE-2026-102255) und Ivanti Connect Secure (07.–13.10.2026)
• Verbraucherzentrale Phishing-Radar / BornCity: Phishing-Alarm PayPal, DKB und Sparkassen (09.–11.10.2026); Deutsche Bundesbank: Kampagne „Machen wir Phishen Impossible!“ (10.10.2026)

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 41/2026.

© IT Navigator · Wochenrückblick KW 42/2026 · Stand: 16.10.2026