Ausgenutzte Lücken Ende Oktober 2026: Linux-Kernel, Node.js, Magento, GitLab und Drupal

In vier Arbeitstagen, vom 27. bis 30. Oktober 2026, hat die US-Cybersicherheitsbehörde CISA acht Schwachstellen in ihren Katalog ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Der Katalog führt nur Lücken auf, für die es Belege für echte Angriffe gibt: Es ist keine Liste theoretischer Risiken. Im gleichen Zeitraum hat das Sicherheitsteam von Drupal eine Warnung zu einer bereits ausgenutzten Lücke im meistgenutzten E-Commerce-Modul veröffentlicht.

Nicht alle betreffen ein KMU. Einige treffen aber sehr verbreitete Komponenten: den Kernel von Linux-Servern, Node.js, Shops mit Magento und Drupal sowie selbst betriebenes GitLab. Nachfolgend steht für jede Lücke, wer betroffen ist und welche Version zu installieren ist. Technische Details dazu, wie die Lücken ausgenutzt werden, geben wir nicht wieder.

Linux-Kernel: CVE-2026-46300

Die am 13. Mai 2026 veröffentlichte Lücke erlaubt es jemandem, der bereits eingeschränkten Zugang zu einem Linux-Server hat, Administratorrechte (root) zu erlangen. Der CVSS-Wert beträgt 7,8. Am 28. Oktober 2026 hat CISA sie in den Katalog aufgenommen und darauf hingewiesen, dass sie in Kombination mit den PHP-Lücken CVE-2026-109618 und CVE-2026-109619 genutzt wird: Angreifer kommen über die Website herein und übernehmen dann den ganzen Server.

Die Distributionen haben korrigierte Kernel schon vor einiger Zeit veröffentlicht. Ubuntu nennt unter anderem die Versionen 5.15.0-181.191 für 22.04, 6.8.0-124.124 für 24.04 und 7.0.0-22.22 für 26.04. AlmaLinux nennt kernel-4.18.0-553.124.3.el8_10 für Version 8, 5.14.0-611.54.5.el9_7 für 9 und 6.12.0-124.56.3.el10_1 für 10. Ein oft übersehener Punkt: Der neue Kernel schützt erst nach einem Neustart des Servers. Ein im Mai installiertes Update auf einer nie neu gestarteten Maschine lässt den Server ungeschützt.

PHP: der Zusammenhang mit den Oktober-Lücken

Die beiden PHP-Lücken hatte das BACS am 21. Oktober 2026 gemeldet, wir haben sie in unserem Artikel vom 22. Oktober behandelt. Die Kombination mit der Kernel-Lücke macht das Update noch dringender: Wer PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder die entsprechende Korrektur des eigenen Anbieters noch nicht installiert hat, sollte PHP und Kernel zusammen aktualisieren und danach den Server auf ungewöhnliche Dateien und Zugriffe prüfen.

Node.js und die Brotli-Bibliothek: CVE-2026-111497

Am 27. Oktober hat CISA zudem eine Lücke im Brotli-Decoder von Google aufgenommen, einem im Web genutzten Kompressionsformat. Die Lücke steckt auch in Node.js: Das Sicherheitsupdate vom 21. Oktober 2026 behebt sie, eingestuft als hoch, in den Versionen 22.23.4, 24.22.1 und 26.12.1. Das Risiko besteht, wenn eine Anwendung von Dritten gesendete Brotli-Daten dekomprimiert. Nicht mehr unterstützte Node.js-Versionen (End-of-Life) sind verwundbar und erhalten keine Korrektur: Sie sollten durch eine unterstützte Version ersetzt werden.

Onlineshops: Magento und Drupal Commerce

Adobe Commerce und Magento Open Source (CVE-2026-48356): Die Lücke erlaubt das Hochladen von Dateien ohne Authentifizierung und wird von Adobe im Bulletin APSB26-73 mit 9,6 bewertet. CISA hat sie am 27. Oktober in den Katalog aufgenommen. Die Korrektur ist in den Versionen 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul und 2.4.6-2026-jul enthalten, für Adobe Commerce auch in den entsprechenden Versionen 2.4.5 und 2.4.4. Bei unserer letzten Prüfung erwähnte das Bulletin von Adobe keine bekannten Angriffe; die Ausnutzung bestätigt der Eintrag im CISA-Katalog.

Drupal Commerce Core (CVE-2026-118539): Die Warnung vom 28. Oktober 2026 stuft die Lücke als hochkritisch ein. Einige Funktionen sind ungenügend geschützt, mit möglichem finanziellem Schaden für den Händler, und das Drupal-Team bestätigt, dass sie ausgenutzt wird. Die Korrektur ist in den Versionen 3.3.13 und 8.x-2.41 enthalten. Drupal empfiehlt zudem, die Bestellungen auf Unstimmigkeiten zu prüfen, etwa Beträge, Rabatte oder Status, die nicht zu den erhaltenen Zahlungen passen.

Selbst betriebenes GitLab: CVE-2026-97229

Wer GitLab auf eigenen Servern betreibt (self-managed), sollte diese Lücke vorrangig behandeln: Sie hat einen CVSS-Wert von 10 und erlaubt das Ausführen von Code ohne Authentifizierung. GitLab hat sie am 12. Oktober 2026 mit den Versionen 19.4.2, 19.3.5 und 19.2.8 behoben; am 29. Oktober hat CISA bestätigt, dass sie ausgenutzt wird. Wer GitLab.com nutzt, muss nichts tun.

Firewalls, VPN und Virtualisierung

Im gleichen Zeitraum hat CISA auch eine Lücke in VMware ESX (CVE-2026-41709, 28. Oktober), eine Lücke im SSL-VPN von Cisco ASA und FTD, die den Dienst lahmlegen kann (CVE-2026-76418, 29. Oktober), und zwei Lücken in Ivanti Connect Secure (CVE-2026-111357 und CVE-2026-118527, 30. Oktober) aufgenommen. Wird eines dieser Produkte im Unternehmen genutzt, fragen Sie die zuständige Stelle, ob die Korrekturen des Herstellers installiert sind.

Was diese Woche zu prüfen ist

1. Inventar. Welche Linux-Server, Node.js- und PHP-Versionen, Shops und Entwicklungswerkzeuge aus dem Internet erreichbar sind und wer sie betreut.
2. Kernel und Neustart. Die tatsächlich laufende Kernel-Version, nicht nur die installierte. Wurde der Neustart aufgeschoben, sollte er jetzt geplant werden.
3. PHP und Node.js. Korrigierte Versionen installiert, nicht mehr unterstützte Versionen ersetzt.
4. Shops. Magento und Drupal Commerce aktualisiert; Bestellungen und kürzlich hochgeladene Dateien zusammen mit der Shop-Betreuung prüfen.
5. Anbieter. Bei Managed Hosting, Agenturen und Cloud-Diensten eine schriftliche Bestätigung, dass die Korrekturen eingespielt sind.
6. Spuren. Nach dem Update unbekannte Benutzer, Dateien und Prozesse prüfen: Das Update schliesst die Lücke, entfernt aber keinen bereits erlangten Zugang.

Pflichten in der Schweiz

Das Bundesgesetz über den Datenschutz verlangt angemessene technische und organisatorische Massnahmen für die Datensicherheit (Art. 8 DSG); Server und Anwendungen aktuell zu halten, gehört dazu. Führt ein Angriff zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, muss der Verantwortliche sie so rasch wie möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten melden (Art. 24 DSG). Betreiberinnen und Betreiber kritischer Infrastrukturen haben zudem seit dem 1. April 2025 die Pflicht, Cyberangriffe dem BACS innerhalb von 24 Stunden nach der Entdeckung zu melden. Andere Unternehmen können dem BACS einen Vorfall freiwillig melden.

Häufige Fragen

Meine Website liegt auf einem Shared Hosting: Muss ich etwas tun?

Kernel und PHP des Servers sind meist Sache des Anbieters, die Anwendung (Shop, CMS, Plugins) oft nicht. Fragen Sie den Anbieter, ob Kernel und PHP aktuell sind und der Server neu gestartet wurde, und prüfen Sie die Anwendungsseite selbst oder mit Ihrer Agentur.

Warum ein US-Katalog?

Der KEV-Katalog ist eine der klarsten öffentlichen Quellen dafür, welche Lücken tatsächlich ausgenutzt werden. Dieselben Lücken treffen Server und Shops in der Schweiz; für Meldungen im Inland bleibt das BACS die massgebliche Quelle.

Ich habe aktualisiert: Ist die Sache erledigt?

Nur wenn das System nicht bereits kompromittiert war. Bei Lücken, die vor dem Update ausgenutzt wurden, empfiehlt sich eine Spurensuche, vor allem auf exponierten Servern mit veraltetem PHP.

Unser Ansatz

ElaraTeq Sagl entwickelt und betreibt Websites, Shops und Anwendungen für KMU und öffentliche Stellen im Tessin, mit Hosting in der Schweiz und geplanten Sicherheitsupdates, Neustarts inbegriffen. Für die laufende Betreuung gibt es den im Artikel über Orbit vorgestellten Service; siehe auch unsere Artikel zu Nextcloud und Collabora und zu WordPress-Plugins. Für eine Prüfung Ihrer Systeme können Sie uns kontaktieren.

Quellen

• CISA, Warnungen vom 27. Oktober, 28. Oktober, 29. Oktober und 30. Oktober 2026; Known Exploited Vulnerabilities Catalog
• NIST NVD, CVE-2026-46300
• Ubuntu, Fragnesia Linux vulnerability fixes available; AlmaLinux, CVE-2026-46300, 13. Mai 2026
• Node.js, October 2026 Security Releases, 21. Oktober 2026
• Adobe, Security update available for Adobe Commerce, APSB26-73
• Drupal, SA-CONTRIB-2026-254, Commerce Core, 28. Oktober 2026
• GitLab, Critical Patch Release 19.4.2, 19.3.5, 19.2.8, 12. Oktober 2026
• BACS, Kritische Schwachstellen in PHP, 21. Oktober 2026; Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• Fedlex, Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8 und 24