Black October: Viele Angriffe liefen seit Monaten

Ein viel geteilter X-Post nannte diese Woche „Black October“ und die schwersten 48 Stunden der Cybersicherheit. Gehäuft haben sich vor allem die Bekanntgaben, viele Angriffe begannen Wochen oder Monate früher. Viele Fälle verbindet ein Muster aus gestohlenen Zugangsdaten, manipulierten Lieferwegen und Plattformen mit vielen Kunden.

Verwandt: Wenn der Security-Stack schneller wächst als die Strategie  ·  OpenSSL: Was Hersteller jetzt nachweisen müssen

Ein Begriff aus einem X-Post

Am 22. Oktober um 03:42 Uhr UTC erschien auf X ein viel geteilter Post des Kontos AISafetyMemes. Die vorangegangenen 48 Stunden galten darin als die schwersten in der Geschichte der Cybersicherheit, dazu kam der Name „Black October“. Die nummerierte Liste reichte von PHP2Shell über die Zertifizierungsstelle eMudhra, Kaliforniens Schülerdaten und die Plattformen Railway und Zeabur bis zu LiteLLM, GitLab, Cairn, Ahold Delhaize und Onamae.

Zwischen dem 19. und dem 22. Oktober gaben Behörden, Hersteller und Forscher tatsächlich eine lange Reihe schwerer Vorfälle bekannt. Die Tatzeiträume dahinter reichen oft Wochen oder Monate zurück.

Was ist ein Lieferkettenangriff? Bei einem Lieferkettenangriff manipulieren Angreifer die Software, Dienste oder Verteilwege eines Anbieters, um über dessen reguläre Lieferungen wie Updates in die Systeme seiner Kunden zu gelangen. Der Schadcode kommt dabei aus einer Quelle, der die Kunden vertrauen. Bei AOMEI Backupper genügten dafür zwei geänderte Konfigurationsdateien auf den Servern des Herstellers.

Tatzeiträume vor der Meldewoche

Ein Angriff auf den Testdienstleister Educational Testing Service (ETS) des kalifornischen Bildungsministeriums CDE legte Daten aller Kinder offen, die in den letzten drei Jahren öffentliche Schulen besuchten, samt Behinderungsstatus und Testanpassungen. Angreifer kopierten sie vom 22. Mai bis 18. September über eine SFTP-Seite, einen Server für Dateiübertragungen. Der Zugang lief über einen kompromittierten Login. ETS entdeckte den Einbruch am 25. September, Familien werden seit dem 16. Oktober benachrichtigt. Nach Angaben der Los Angeles Times liegt die Zahl der Betroffenen deutlich über den 5,7 Millionen heutigen Schülern, weil der Bestand bis zu den Einschreibungen 2023 zurückreicht.

Paradigm Healthcare Services, Abrechner für Kaliforniens Medicaid-Programm Medi-Cal, bemerkte den unbefugten Zugriff am 13. Oktober 2025 und meldete jetzt dem US-Gesundheitsministerium HHS mehr als 970.000 Betroffene.

Die Lücke CVE-2026-0257 in PAN-OS von Palo Alto Networks ist seit dem 13. Mai gepatcht, Rapid7 meldete Angriffe ab dem 17. Mai. Seit Anfang Juni ermittelt Unit 42 in Fällen unter anderem aus Bildung, Finanzwesen und Gesundheitswesen. Dabei beobachtet Unit 42 Ausnutzungsversuche der Ransomware-Gruppen Qilin und Inc, die Daten verschlüsseln und Lösegeld fordern.

Gestohlene Zugangsdaten und Schlüssel

Bei PingCAP, dem Anbieter der Datenbank TiDB, griff ein Unbefugter zwischen dem 9. September und dem 7. Oktober auf interne Systeme zu. Er nutzte gestohlene Zugangsdaten eines Service-Accounts, also eines technischen Kontos. Dabei erbeutete er Quellcode. Zeabur stellt nach dem zweiten Vorfall in zwei Monaten den Betrieb ein. Ein Angreifer nutzte im Klartext gespeicherte interne Zugangsdaten und erbeutete Daten von 321.810 Konten. Dazu kamen rund 3,2 Millionen Datensätze mit Umgebungsvariablen, in denen Anwendungen Konfigurationswerte und Schlüssel ablegen. Die Admin-Tokens liefen nie ab und waren seit Januar 2024 nicht rotiert.

Railway meldete am 21. Oktober, ein Unbefugter habe möglicherweise auf verschlüsselte Umgebungsvariablen zugegriffen und einen Teil entschlüsselt. Die Plattform pausierte alle Deployments und empfahl, sämtliche Variablen, API-Schlüssel und Registry-Zugangsdaten zu rotieren.

Cairn ist eine quelloffene KI-Plattform, die KI-Agenten auf ein Ziel hin koordiniert und als autonome Penetrationstest-Engine arbeiten kann. NorForge fand mehr als 20 offen im Netz stehende Steuerpanels, über die Angreifer wahrscheinlich ihre Angriffe mit Cairn automatisierten. Von Hunderten Geheimnissen in den Paneldaten waren 11 Prozent gültig. Der größte, chinesischsprachige Cluster brach nach Angaben von Reuters in über 100 Unternehmen ein, darunter John Deere und SharkNinja.

Am 20. Oktober warnten FBI, CISA, US Secret Service, das Landeskriminalamt Rheinland-Pfalz und britische Ermittler gemeinsam vor der Ransomware-Gruppe SafePay mit mindestens 600 Opfern. Ihre Einfallstore sind gestohlene oder erratene Passwörter, Lücken in Sicherheitsprodukten und Phishing.

Lieferwege und Plattformen mit Reichweite

Bei AOMEI Backupper änderten Angreifer zwei Konfigurationsdateien auf den Herstellerservern, die Software lud daraufhin den Dropper CROSSROAD, der Radmin und die Backdoor SHINYROAD installierte. Google Threat Intelligence Group und Mandiant ordnen die kurzen Manipulationsfenster der Gruppe UNC7017 zu. Bestätigt sind drei davon: 10 Minuten am 28. Mai, 6 Minuten am 16. Juli und 5 Minuten am 20. Juli.

Bei OVHcloud übernahm ein Angreifer das GitHub-Konto eines Entwicklers und veränderte die Versionen 0.11.0 bis 0.15.0 der CLI. Die manipulierte Version war am 19. Oktober von 14:47 bis 16:21 Uhr verfügbar.

Über teamupdraft.com nutzte ein Angreifer am Wochenende 17./18. Oktober die Verbindung zu Kundenseiten, legte Admin-Konten an und installierte bösartige Plugins. Patchstack zählte 99 verschiedene Namen dieser Backdoors. Angreifbar waren schätzungsweise rund 400.000 Websites mit UpdraftCentral- oder Migrator-Schlüssel. Das Update 1.26.13 beziehungsweise 2.26.13 vom 19. Oktober widerruft die UpdraftCentral-Schlüssel. Bei der KI-Gateway-Bibliothek LiteLLM enthielten alle Wheel-Pakete auf PyPI der Version 1.107.0 einen Dieb für Zugangsdaten und einen Nachlader für Fremdcode.

Bei GMO Internet sind 26.739 Server der Onamae.com Desktop Cloud möglicherweise betroffen, alle Tarife gehen seit dem 21. Oktober schrittweise vom Netz. Bullhorn, nach eigenen Angaben Anbieter für mehr als 10.000 Kunden, schaltete seine Recruiting-Plattform ab. Ahold Delhaize nahm nach dem am 12. Oktober gemeldeten Vorfall Websites und Apps der meisten Marken in Europa und den USA vom Netz, die Filialen blieben geöffnet.

KI bei Lückensuche und Ausnutzung

Die Warnungen der Woche führen die Häufung selbst nicht auf KI zurück, belegt sind allgemeinere Befunde und einzelne Fälle wie das missbrauchte KI-Werkzeug Cairn. Das britische NCSC rät seit dem 1. Mai allen Organisationen, sich auf eine Patch-Welle vorzubereiten. Als Grund nennt es, dass KI in fähigen Händen technische Altlasten schnell und in großem Maßstab ausnutzen kann.

In seiner PHP2Shell-Warnung vom 21. Oktober verweist das NCSC ausdrücklich darauf und rät, ungepatchte Systeme notfalls vom Netz zu nehmen. Die zwei Lücken können Codeausführung ohne Anmeldung auf allen PHP-Installationen erlauben, die Webanfragen bedienen. Abhilfe schaffen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wie Behörden in Deutschland, Österreich und den Niederlanden darauf reagierten, beschreibt der Beitrag PHP-Lücken: Sicherheitsbehörden raten zum Abschalten.

Nach Angaben von Wiz Research wurden die Lücken mit Frontier-KI-Modellen gefunden, die Fehler steckten seit mehr als einem Jahrzehnt im Code. Laut Rapid7 nannten 8 Prozent der ausgewerteten Bedrohungsberichte KI als operativen Bestandteil von Angriffen.

Das curl-Projekt macht ab dem kommenden Montag, dem 26. Oktober, niedrige und mittlere Schwachstellenmeldungen öffentlich. Als Grund nennt das Projekt eine Flut von Meldungen, die das Team überlastet. PostgreSQL 19 ist verspätet für den 19. November geplant. Nach Angaben von Committer Peter Eisentraut fanden LLM-gestützte Code-Reviews viele Fehler deutlich schneller, acht bis zehn größere Funktionen wurden zurückgestellt.

Drei Prüfpunkte nach der Meldewoche

– Geheimnisse befristen und rotieren: Bei Zeabur liefen Admin-Tokens nie ab, Railway empfahl nach dem Vorfall die Rotation sämtlicher Variablen, API-Schlüssel und Registry-Zugangsdaten. – Update- und Release-Wege sperren: Bei OVHcloud ließen sich CLI-Versionen austauschen, weil GitHubs Release-Unveränderlichkeit deaktiviert war. – Patchzeit an der Ausnutzungszeit messen: Rapid7 zählte im dritten Quartal im Schnitt drei Tage zwischen Veröffentlichung und Ausnutzung schwerer Lücken, die seit 13. Mai gepatchte PAN-OS-Lücke wird trotzdem weiter angegriffen.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Wird die Signal-Lücke in RingRTC schon ausgenutzt?

Der Katalog ausgenutzter Lücken der US-Behörde CISA führt CVE-2026-113380 nicht. Überlastet ein Gesprächsteilnehmer die Ereigniswarteschlange, kann bei der Lücke mit CVSS 9.3 das Auflegen scheitern, Audio und möglicherweise Video bleiben dann aktiv. Behoben ist sie seit September in RingRTC 2.72.0.

Wie kritisch sind die neuen NGINX-Lücken?

F5 bewertet drei Speicherfehler mit 9,2 und damit als kritisch. Das NGINX-Projekt führt dieselben Lücken mit dem Schweregrad „medium“. Jede setzt eine selbst gesetzte Direktive voraus, die Versionen 1.30.6 und 1.31.7 vom 14. Oktober beheben sie.

Welche Siemens-Lücke wird aktiv ausgenutzt?

Siemens bestätigt Angriffe auf CVE-2026-110936 in Siemens Software Center, CISA nahm die Lücke am Dienstag in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Bei der Lücke mit dem CVSS-v4-Wert 8,4 kombinierten Angreifer eine gültig signierte Programmkopie mit eigenen DLL-Dateien, die Version 3.5.8.7 ungeprüft lud. Behoben ist sie in Version 4.0.9.8, Siemens ordnet die Angriffe der ClickFix-Kampagne Romulus zu.

Lesetipps der Redaktion

LesetippPHP-Lücken: Sicherheitsbehörden raten zum AbschaltenLesetippPHP-Exploits sind öffentlich, Hoster müssen jetzt patchenLesetippGoogle und Apple vertrauten erratbaren eMudhra-Schlüsseln

Bildquelle: KI-generiert (Oktober 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben Preis MyBusinessFutureOpenAI-Agenten umgingen die eigene Überwachung Digital ChiefsMicrosoft: Deutschland ist EU-Spitze bei Cyberangriffen