IT-Wochenrückblick KW 44/2026: Node2Shell-Lücke wird angegriffen (CVSS 9.2), über 950 Online-Shops mit Magento gekapert & manipulierte KI-Erweiterung installiert Hintertüren

Kritische Brotli-Lücke „Node2Shell“ (CVSS 9.2) wird angegriffen und steckt in Node.js, .NET, Visual Studio und Firewalls, Angreifer kapern über 950 Online-Shops mit Adobe Commerce/Magento und eine manipulierte KI-Erweiterung installiert Hintertüren auf Entwickler-Rechnern

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche zeigt eindrucksvoll, wie tief Sicherheitslücken in „unsichtbaren“ Software-Bausteinen stecken können: Eine kritische Schwachstelle im Kompressionsverfahren Brotli – genutzt von Node.js, .NET, Visual Studio, PowerShell, Firewalls und vielen weiteren Programmen – wird inzwischen aktiv angegriffen. Gleichzeitig hat die US-Behörde CISA bestätigt, dass Angreifer eine Lücke in Adobe Commerce und Magento ausnutzen; mehr als 950 Online-Shops sind bereits kompromittiert. Und über einen Erweiterungs-Marktplatz wurde eine manipulierte Version einer beliebten KI-Programmiererweiterung verteilt, die Hintertüren einrichtet. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: „Node2Shell“ – kritische Brotli-Lücke (CVSS 9.2) wird aktiv ausgenutzt

Brotli ist ein von Google entwickeltes Kompressionsverfahren, mit dem Webseiten und Daten platzsparend übertragen werden. Der Brotli-Decoder steckt als Baustein in unzähligen Programmen – oft, ohne dass Anwender davon wissen. Eine kritische Schwachstelle in den Brotli-Versionen 1.0.3 bis 1.2.0 (CVE-2026-111497, Bedrohungswert 9,2), bekannt als „Node2Shell“, „HTTP2Shell“ oder „Brotli2Shell“, erlaubt Angreifern, mit präparierten komprimierten Daten den Speicher zu manipulieren und im schlimmsten Fall Schadcode auszuführen.

Node.js hat bereits am 21. Oktober Updates veröffentlicht, seitdem folgten zahlreiche Hersteller: Microsoft hat Notfall-Updates für .NET, Visual Studio 2019/2022/2026 und PowerShell 7 verteilt, das PHP-Projekt hat nachgezogen, und auch Palo Alto (PAN-OS, wenn TLS-Entschlüsselung und Brotli-Prüfung aktiv sind), Red Hat und weitere Anbieter liefern Korrekturen. Am 27. Oktober hat die US-Behörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen; Sicherheitsfirmen beobachten Angriffsversuche auf ihre Köder-Systeme.

Neue Forschungsergebnisse zeigen zudem, dass die Lücke nicht nur über Webanfragen erreichbar ist: Auch präparierte Bilddateien im Format JPEG XL können über FFmpeg den verwundbaren Decoder erreichen. Betroffen sind außerdem Datenbanken wie ClickHouse und DuckDB, der PDF-Betrachter MuPDF sowie Packprogramme wie NanaZip und 7-Zip-Varianten mit Brotli-Unterstützung – für einige davon gibt es noch keine Korrektur.

Was bedeutet das für Sie?

• Lassen Sie prüfen, wo in Ihrem Unternehmen Node.js, .NET, PowerShell 7 oder Visual Studio im Einsatz sind – auch innerhalb von Webanwendungen, Intranet-Lösungen oder Branchensoftware – und spielen Sie die verfügbaren Updates umgehend ein (z. B. Node.js 22.23.4, 24.22.1 bzw. 26.12.1).
• Fragen Sie Ihre Software- und Hosting-Dienstleister schriftlich nach dem Patch-Stand zu CVE-2026-111497. Wichtig: Ein Betriebssystem-Update reicht nicht, wenn eine Anwendung ihre eigene Brotli-Kopie mitbringt.
• Betreiben Sie eine Palo-Alto-Firewall mit TLS-Entschlüsselung, installieren Sie die bereitgestellten Hotfixes. Halten Sie Packprogramme und PDF-Betrachter aktuell und öffnen Sie keine unbekannten Dateien aus zweifelhaften Quellen.

Top 2: Online-Shops im Visier – über 950 Shops mit Adobe Commerce/Magento kompromittiert

Adobe Commerce und die freie Variante Magento Open Source zählen zu den verbreitetsten Plattformen für Online-Shops – gerade auch im Mittelstand. Am 27. Oktober hat die CISA eine kritische Schwachstelle mit dem Spitznamen „PolyShell“ (CVE-2026-48356, Bedrohungswert 9,3) in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Über die Lücke können Angreifer ohne Anmeldung Dateien mit Schadcode hochladen und auf dem Shop-Server ausführen. Betroffen sind die Versionsreihen 2.4.4 bis 2.4.9, sofern das Sicherheitsupdate APSB26-73 aus dem Juli 2026 nicht eingespielt wurde.

Wie groß das Problem ist, zeigt eine Analyse des auf Online-Shops spezialisierten Sicherheitsunternehmens Sansec: Eine Angreifergruppe hat demnach seit Juli 2025 mindestens 953 Shops kompromittiert. Die Täter verstecken ein Schadprogramm in sogenannten CMS-Blöcken – also in Inhaltsbereichen, die im Shop-Backend gepflegt werden – und können darüber jederzeit weiteren Code nachladen, etwa zum Abgreifen von Kundendaten oder Zahlungsinformationen.

Zusätzlich hat Adobe mit dem Oktober-Update APSB26-153 elf weitere Lücken geschlossen, darunter eine mit dem Höchstwert 10,0, die Codeausführung ohne Anmeldung erlaubt. Angriffe darauf sind bislang nicht bekannt – angesichts der aktuellen Lage dürfte sich das aber schnell ändern.

Was bedeutet das für Sie?

• Betreiben Sie einen Shop mit Adobe Commerce oder Magento, lassen Sie umgehend prüfen, ob die Juli-Updates (APSB26-73) und das aktuelle Oktober-Update (APSB26-153) installiert sind – und lassen Sie sich das von Ihrer Agentur bzw. Ihrem Hoster bestätigen.
• Lassen Sie den Shop auf Einbruchsspuren untersuchen: unbekannte Dateien im Upload-Verzeichnis, veränderte CMS-Blöcke mit eingebettetem Skript-Code und neue Administrator-Konten. Ein Update allein entfernt bereits eingeschleuste Schadsoftware nicht.
• Setzen Sie für den Shop eine Web Application Firewall (WAF) ein und beobachten Sie Zahlungsabbrüche oder Kundenbeschwerden über verdächtige Abbuchungen – sie sind oft das erste Warnsignal für einen Kartendaten-Skimmer.

Top 3: Manipulierte KI-Erweiterung verteilt Hintertür über Erweiterungs-Marktplatz

Am 29. Oktober wurde im Erweiterungs-Marktplatz des KI-Code-Editors Cursor für rund elf Stunden eine manipulierte Version der beliebten KI-Programmiererweiterung „Claude Code“ (Version 2.1.313) angeboten. Nach Angaben von Cursor stammte diese Version nicht vom Hersteller Anthropic; die offizielle Verteilung über andere Kanäle war nach bisherigem Kenntnisstand nicht betroffen. Bis zu 5.000 Nutzer könnten die verseuchte Version installiert haben.

Die Schadversion sammelte Informationen über den Rechner und den Benutzer, trug einen Schlüssel der Angreifer für den Fernzugriff per SSH ein und versuchte, eine dauerhafte Verbindung zum Server der Angreifer aufzubauen – unter Windows über eine geplante Aufgabe, unter macOS über einen Autostart-Eintrag. Laut Cursor scheiterte der eigentliche Fernzugriff auf den meisten Rechnern an fehlenden Administratorrechten, und der Server der Angreifer ist inzwischen abgeschaltet. Die eingerichteten Autostart-Einträge bleiben jedoch auch nach dem Deinstallieren der Erweiterung bestehen.

Der Vorfall reiht sich in eine wachsende Zahl von Angriffen auf die Software-Lieferkette ein: Erweiterungen für Browser, Code-Editoren und KI-Werkzeuge laufen mit den Rechten des Benutzers und werden häufig automatisch aktualisiert. Wer einen Marktplatz oder ein Entwicklerkonto kapert, erreicht auf einen Schlag Tausende Rechner.

Was bedeutet das für Sie?

• Wird in Ihrem Unternehmen Cursor mit der Claude-Code-Erweiterung genutzt, prüfen Sie, ob am 29. Oktober Version 2.1.313 installiert war. Cursor stellt Prüf- und Bereinigungsskripte bereit; aktualisieren Sie auf Version 2.1.314 oder neuer und erneuern Sie Zugangsdaten, die auf betroffenen Rechnern gespeichert waren.
• Führen Sie eine Übersicht, welche Erweiterungen für Browser, Office und Entwicklungswerkzeuge in Ihrem Unternehmen erlaubt sind, und lassen Sie neue Erweiterungen nur nach Freigabe installieren.
• Arbeiten Sie im Alltag ohne Administratorrechte – genau das hat in diesem Fall Schlimmeres verhindert. Achten Sie außerdem auf unbekannte geplante Aufgaben und Autostart-Einträge.

⚡ Quick News der Woche

• PHP2Shell: CISA bestätigt Angriffe: Die in der Vorwoche gemeldeten kritischen PHP-Lücken (CVE-2026-109618 und CVE-2026-109619) werden nun nachweislich ausgenutzt – die CISA hat sie am 27. Oktober in ihren Katalog aktiv angegriffener Schwachstellen aufgenommen. Wer die PHP-Version seiner Website noch nicht hat prüfen lassen, sollte das spätestens jetzt nachholen.
• TeamViewer schließt Lücken: Mit dem Sicherheitshinweis TV-2026-1011 vom 27. Oktober behebt TeamViewer drei Schwachstellen, vor allem in den Clients für Linux und macOS. Über präparierte Bilddaten kann eine Gegenstelle während einer Fernsteuerung Schadcode einschleusen. TeamViewer auf Version 15.83 oder neuer aktualisieren und Fernsteuerungen nur zu bekannten Gegenstellen aufbauen.
• Supermicro: kritische BMC-Lücke in 392 Mainboards: Eine Schwachstelle in der Fernverwaltung (BMC/IPMI) zahlreicher Supermicro-Mainboards (CVE-2026-18450, Bedrohungswert 9,8) erlaubt das Ausführen von Verwaltungsbefehlen ohne Anmeldung. Server-Betreiber sollten das BMC-Firmware-Update einspielen und die Verwaltungsschnittstelle niemals direkt aus dem Internet erreichbar machen.
• Datenlecks bei Providern: Bei der Sony-Tochter So-net, einem japanischen Internetanbieter, wurden rund 2,5 Millionen Kundendatensätze kompromittiert. Der britische Domain-Registrar 123 Reg meldet einen nach eigenen Angaben KI-gestützten Angriff, bei dem Kontaktdaten und Umsatzsteuer-IDs von Kunden offengelegt wurden. Kunden solcher Dienste sollten verstärkt mit gezielten Phishing-Mails rechnen.
• Phishing im Namen von PayPal, Sparkasse und Web.de: Die Verbraucherzentralen warnen aktuell vor gefälschten E-Mails zu angeblichen PayPal-Rückerstattungen, einer vermeintlichen Sparkassen-Gebührenerstattung über 106,99 Euro und angeblichen Postfach-Sperrungen bei Web.de. Typisch sind kurze Fristen und Links zur Dateneingabe – niemals darauf klicken, sondern direkt über die offizielle App oder Website prüfen.

💡 Fazit & Empfehlung

Diese Woche zeigt: Die größten Risiken stecken oft dort, wo man sie nicht sieht – in Software-Bausteinen, Shop-Systemen und Erweiterungen, die einfach „mitlaufen“. Achten Sie auf drei Stellschrauben:

✓ Software-Inventar pflegen: Wissen Sie, welche Programme, Laufzeitumgebungen und Bibliotheken in Ihrem Unternehmen im Einsatz sind? Nur dann können Sie bei Lücken wie „Node2Shell“ schnell reagieren. Fragen Sie auch Ihre Dienstleister aktiv nach dem Patch-Stand.

✓ Online-Shop und Website als kritische Systeme behandeln: Updates zeitnah einspielen, regelmäßig auf Einbruchsspuren prüfen lassen und eine Web Application Firewall nutzen. Ein gehackter Shop gefährdet Umsatz, Kundendaten und Ihren Ruf.

✓ Erweiterungen kontrollieren und ohne Adminrechte arbeiten: Browser-, Office- und KI-Erweiterungen nur aus geprüften Quellen und nach Freigabe installieren. Fehlende Administratorrechte im Alltag bremsen viele Angriffe wirksam aus.

Sprechen Sie uns an – wir erstellen gemeinsam mit Ihnen ein Software-Inventar, prüfen Ihren Online-Shop und Ihre Website auf Schwachstellen und richten sichere Regeln für Erweiterungen und Benutzerrechte ein. Ihr Team von IT Navigator.

📚 Quellen

• Sophos CTU / SecurityWeek / SC World: Node2Shell (CVE-2026-111497) in active exploitation, CISA KEV (27.–28.10.2026); Field Effect: Update – Brotli flaw exposure expands (28.10.2026)
• The Next Web / Microsoft: Emergency .NET and Visual Studio patches for Brotli flaw (25.–26.10.2026); Node.js: October 2026 Security Releases (21.10.2026); Borns IT-Blog: VMware-Sicherheitshinweis zur Brotli-Schwachstelle (30.10.2026)
• heise online: Angreifer nehmen Brotli-, Adobe-Commerce- und Magento-Lecks ins Visier (28.10.2026); The Hacker News / Sansec: Hackers infect 953 online stores via Magento CMS blocks (27.–28.10.2026); Adobe: APSB26-153 (13.10.2026)
• Cursor Security Notice: Malicious version of Anthropic.claude-code (2.1.313) in the Cursor Extension Marketplace (29.10.2026); The Hacker News: Claude Code extension in Cursor marketplace compromised (29.10.2026)
• BleepingComputer: CISA confirms PHP2Shell vulnerabilities now exploited in attacks (27.10.2026); TeamViewer Security Bulletin TV-2026-1011 (27.10.2026)
• Borns IT- und Windows-Blog: Sicherheits-Meldungen – Schwachstellen und Angriffe (30.10.2026), u. a. zu Supermicro CVE-2026-18450, So-net und 123 Reg; BleepingComputer: Sony ISP subsidiary data breach exposes 2.5 million customer records (28.10.2026)
• Verbraucherzentrale Phishing-Radar: Warnungen PayPal, Sparkasse, Web.de (Stand 28.10.2026)

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 43/2026.

© IT Navigator · Wochenrückblick KW 44/2026 · Stand: 30.10.2026