Guten Morgen zum KDB-Tech-Update: Erst patchen, dann Kaffee nachschenken
Heute Morgen geht es im KDB-Tech-Update um Sicherheitsupdates mit ordentlich Zeitdruck: Kritische PHP-Lücken betreffen nicht nur Webserver, Fortinet kündigt Korrekturen für zentrale Netzwerkprodukte an, und auch Betreiber von BIND-DNS-Servern müssen ihre Versionen prüfen. Dazu schauen wir auf gefälschte Smartphone-Apps, Angriffe über Werbeanzeigen und neue Schutzfunktionen in Chrome. Im zweiten Teil wird’s strategisch: Was passiert, wenn KI-Agenten ihre eigenen Warnmeldungen abschalten? Wie bleiben Videos und Social-Media-Inhalte glaubwürdig? Und welche digitalen Prozesse solltest Du vor der nächsten Stufe der E-Rechnungspflicht vorbereiten?
Die Kurzfassung für Eilige: Prüfe zuerst öffentlich erreichbare Systeme und ausstehende Updates. Danach lohnt sich der Blick auf Geräte, Zugriffsrechte und Abläufe. Denn „läuft doch noch“ ist leider keine Sicherheitsstrategie – au net im Schwabenländle.
PHP: Kritische Lücken betreffen Server, Container und möglicherweise Geräteoberflächen
Zwei Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, sind mit jeweils 9,2 von 10 CVSS-Punkten als kritisch eingestuft. Angreifer können auf betroffenen Systemen aus der Ferne eigenen Code ausführen, ohne sich zuvor anmelden zu müssen. Laut der vorliegenden Meldung sind PHP-Versionen aus den vergangenen 20 Jahren betroffen. Cloudflare beobachtet demnach bereits Millionen von Angriffsversuchen.
PHP hat am 21. Oktober Sicherheitsupdates veröffentlicht. Entscheidend ist nun nicht allein, eine Versionsnummer nachzusehen: Die aktualisierten Pakete müssen installiert und die betroffenen PHP-Dienste anschließend neu gestartet werden. Große Linux-Distributionen stellen korrigierte Pakete bereit. Wer PHP direkt von php.net bezieht, findet dort die genannten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Denke dabei über den klassischen Webserver hinaus. Auch ein NAS, ein kleiner Server oder eine webbasierte Geräteoberfläche kann betroffen sein, wenn dort PHP zum Einsatz kommt. Bei Docker-Umgebungen müssen veraltete PHP-Images ersetzt und die Container mit aktualisierten Images neu gestartet werden. Bei Managed Hosting sollte der Anbieter aktualisieren – eine konkrete Bestätigung für Deine Umgebung ist trotzdem sinnvoll.
KDB-Praxisblick: Ein sauberes Inventar hilft jetzt mehr als hektisches Raten: Welche Websites, internen Anwendungen, Container und Geräte nutzen PHP? Wer spielt Updates ein, und wer prüft danach, ob der laufende Dienst tatsächlich die korrigierte Fassung verwendet? Genau solche Fragen gehören zu einem belastbaren Patch- und Betriebsprozess. Die PHP-Lücken waren bereits Thema in unserem vorherigen Tech-Update zu Sicherheitslücken und digitalen Abhängigkeiten; die Dringlichkeit bleibt bestehen.
Fortinet und BIND: Netzwerkzugang und DNS haben beim Patchen Vorrang
Fortinet hat außerplanmäßige Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer angekündigt. Für FortiMail und FortiAuthenticator liegen ebenfalls neue Versionen vor. Die Korrekturen betreffen kritische und hochriskante Schwachstellen. Besonders dringend sind Geräte, die direkt aus dem Internet erreichbar sind – etwa Firewalls oder VPN-Gateways, über die der Zugang zum Unternehmensnetz läuft.
Zu den vorgesehenen korrigierten Fassungen gehören FortiOS 8.0.2, 7.6.8, 7.4.13 und 7.2.14 sowie FortiManager und FortiAnalyzer jeweils in den Versionen 8.0.2, 7.6.8, 7.4.12 und 7.2.13. Für FortiMail werden 8.0.2, 7.6.7 und 7.4.9 genannt; Nutzer der 7.2-Reihe sollen auf 7.4 oder neuer wechseln. Für FortiAuthenticator sind 8.0.4 und 6.6.11 vorgesehen. Auch neuere Fassungen sollen die Fehler schließen. FortiSASE soll automatisch aktualisiert werden; bei FortiManager Cloud kann ein manuelles Einspielen durch Kunden erforderlich sein.
Falls ein Update nicht sofort möglich ist, empfiehlt Fortinet, administrative HTTPS- und SSH-Zugriffe auf vertrauenswürdige IP-Adressen zu begrenzen oder auf externen Schnittstellen abzuschalten. Ein separates Managementnetz reduziert die Angriffsfläche zusätzlich. Das ist eine Zwischenmaßnahme, kein Ersatz für das Update. Fortinet will technische Details am 10. November 2026 veröffentlichen. Der Hersteller weist darauf hin, dass Angreifer veröffentlichte Patches – möglicherweise auch mit KI-Unterstützung – analysieren und daraus schneller Angriffsmöglichkeiten ableiten könnten.
Auch BIND 9 braucht Aufmerksamkeit. Bei CVE-2026-94300 mit einem CVSS-Wert von 8,1 kann eine erneut eingespielte, zuvor abgefangene GSS-TSIG-signierte UDP-Nachricht unter bestimmten Bedingungen einen Speicherfehler im Nameserver-Prozess named auslösen. Möglich sind ein Absturz oder eine Beeinträchtigung der Verfügbarkeit; in Verbindung mit weiteren präparierten Anfragen ist laut den Entwicklern möglicherweise auch Schadcode-Ausführung denkbar. Das ist also kein beliebiger DNS-Aufruf, der automatisch zur Übernahme führt – die beschriebenen Voraussetzungen sind wichtig.
Betroffen sind unter anderem BIND 9.11.0 bis 9.18.50, 9.20.0 bis 9.20.29 und 9.21.0 bis 9.21.26. ISC nennt 9.20.30 und 9.21.27 als korrigierte Versionen; ein Workaround ist nicht bekannt. Zum Zeitpunkt der Sicherheitsmitteilung waren den Maintainern keine aktiven Angriffe auf diese Lücke bekannt. Die Versionsprüfung und Aktualisierung öffentlich erreichbarer DNS-Server sollte trotzdem auf die Agenda.
Für Deinen IT-Betrieb heißt das: Priorisiere Systeme nach Erreichbarkeit und Funktion. Ein exponiertes VPN-Gateway oder ein öffentlicher DNS-Dienst ist nicht einfach „noch ein Server“ – fällt er aus oder wird er kompromittiert, sind schnell weitere Prozesse betroffen. KDB unterstützt Unternehmen dabei, solche Abhängigkeiten sichtbar zu machen und Updates kontrolliert in den Betrieb zu bringen.
Android: Eine App kann echt aussehen – und trotzdem die falsche sein
Die Android-Schadsoftware Hirudo tarnt sich laut ThreatFabric zunächst etwa als Shopping-, Unterhaltungs- oder Kurzvideo-App. Sie fordert weitreichende Berechtigungen an, darunter Zugriff auf die Bedienungshilfen. Anschließend kann sie die originale Banking-App entfernen und eine manipulierte Fassung installieren. ThreatFabric hat bisher Kopien von acht Bankanwendungen gefunden. Die gefälschten Apps ähneln den Originalen äußerlich stark, während im Hintergrund unter anderem Zugangsdaten, PINs, SMS und Bildschirminhalte erfasst werden können.
Zunächst wurden betroffene Banking-Apps aus Indonesien beobachtet; darüber hinaus gibt es Hinweise auf Angriffe gegen Finanzorganisationen in weiteren Ländern. Wie viele Menschen betroffen sind, ist nicht bekannt. Für Nutzer gilt: Apps möglichst aus offiziellen Quellen beziehen, unbekannte APK-Dateien meiden, Berechtigungsanfragen kritisch lesen und Betriebssystem sowie Schutzfunktionen aktuell halten.
Dass selbst ein offizieller Store keine Entwarnung per se ist, zeigt eine gefälschte WhatsApp-App: Sie wurde im Google Play Store rund 500.000-mal heruntergeladen und imitierte Name, Symbol und Auftritt des Originals. Als Entwickler war jedoch „Agment Assets sallu“ statt „WhatsApp LLC“ angegeben. Google hat die App und das Entwicklerkonto entfernt. Was die Anwendung konkret tat oder welche Daten sie erfasste, war zum Zeitpunkt der Meldung nicht bestätigt.
Wer die Fälschung installiert hat, sollte sie deinstallieren, das Gerät mit einem vertrauenswürdigen Sicherheitsprogramm prüfen, seit der Installation genutzte Zugangsdaten ändern und die betroffenen Konten auf ungewöhnliche Aktivitäten kontrollieren. Gerade bei Dienst-Smartphones gehört dazu auch eine klare Anlaufstelle im Unternehmen: Mitarbeitende sollten wissen, wem sie einen Verdacht melden, statt allein herumzuprobieren.
Malvertising: Wenn schon das Laden einer Anzeige zum Risiko wird
Eine Untersuchung des Citizen Lab beschreibt, wie digitale Werbeplätze für Spionage missbraucht worden sein sollen. Im untersuchten Fall wurden Anzeigen über Netzwerke auf mehr als 120.000 Websites und in rund 75.000 Apps ausgespielt. Laut den Forschenden konnte bereits das Laden einer Anzeige dazu dienen, ein Gerät zu erkennen; in einzelnen Fällen sei zudem Spionagesoftware von Candiru auf Geräte gelangt. Als konkreten Fall nennt der Bericht mindestens 45 infizierte Geräte beim Nachrichtensender Al Jazeera in den Jahren 2024 und 2025.
Unter den im Bericht genannten Apps befindet sich auch Wetter Online. Das ist kein Beleg dafür, dass Nutzer dieser App allgemein infiziert wurden; ebenso sind bislang keine Angriffe auf deutsche Behörden oder Unternehmen belegt. Der Fall zeigt aber, weshalb Angriffe über Werbeanzeigen nicht mit dem Satz „Dann klick halt nicht drauf“ erledigt sind.
Vollständigen Schutz vor professionellen Angriffen gibt es nicht. Betriebssysteme, Browser und Apps aktuell zu halten, nicht benötigte Anwendungen zu entfernen und gegebenenfalls einen seriösen Werbeblocker zu nutzen, kann das Risiko jedoch senken. Für besonders gefährdete Personen kommen zusätzliche Smartphone-Schutzfunktionen infrage. Auffälliger Akku- oder Datenverbrauch kann ein Hinweis sein, ist für sich genommen aber kein Beweis für Spionagesoftware.
Für KDB treffen hier zwei Perspektiven aufeinander: Onlinewerbung ist ein legitimes Werkzeug für Reichweite und Marketing. Gleichzeitig müssen Sicherheitsrisiken der digitalen Werbe-Infrastruktur ernst genommen werden. Wer Kampagnen plant oder Unternehmensgeräte absichert, sollte beides im Blick behalten – ohne aus jedem Banner einen bestätigten Angriff zu machen.
Chrome, Zertifikate und Passwortmanager: Kleine Betriebsdetails, große Wirkung
Mit Chrome 155 aktiviert Google „Immer verschlüsselte Verbindungen verwenden“ standardmäßig auf Desktop und Android. Der Browser versucht Websites über HTTPS aufzurufen und fragt vor einem Wechsel zu HTTP um Erlaubnis. Zusätzlich erweitert Google im Modus mit erweitertem Schutz die Warnungen vor verdächtigen Websites und ClickFix-Angriffen – also Betrugsversuchen, bei denen Nutzer dazu gebracht werden sollen, selbst einen gefährlichen Befehl auszuführen. Chrome 155 schließt laut Meldung außerdem zahlreiche Sicherheitslücken, darunter kritische.
Für Website-Betreiber ist das ein guter Anlass, öffentlich erreichbare Seiten und Weiterleitungen zu prüfen: Funktioniert HTTPS überall zuverlässig, oder landet ein Besucher noch auf einer unverschlüsselten Strecke? Sicherheit und Nutzererlebnis gehören hier zusammen – und damit auch zur Arbeit an einer professionellen Homepage.
Wie wichtig ein funktionierendes Zertifikatsmanagement ist, zeigt GoDaddy: Der Anbieter widerruft gut 400.000 TLS-Zertifikate wegen Abweichungen zwischen ausgestellten Zertifikaten und der damals gültigen Richtliniendokumentation. Laut GoDaddy sind die Angaben in den Zertifikaten selbst korrekt; der Anlass ist ein formaler Dokumentationsfehler. Kunden von Host Europe und DomainFactory gehören zu den Betroffenen. Soweit möglich, wurden Zertifikate automatisch ersetzt, bei anderen war ein Austausch durch die Betreiber erforderlich. Wer dort Dienste betreibt, sollte deshalb kontrollieren, ob das Ersatz-Zertifikat tatsächlich installiert ist und die Website störungsfrei erreichbar bleibt.
Eine Aktualisierung gibt es auch für den quelloffenen Passwortmanager KeePassXC. Version 2.8.0 korrigiert mehrere als gering bis mittelschwer eingestufte Sicherheitslücken, unter anderem beim Import älterer KDB-Dateien und bei der Kommunikation mit der Browsererweiterung. Die Kernfunktionen und die Kryptografie seien laut Projekt nicht betroffen. KeePassXC speichert Zugangsdaten in einer selbst verwalteten verschlüsselten Datei; neue Funktionen umfassen unter anderem Verbesserungen bei der Synchronisation über externe Programme und Unterstützung für Auto-Type unter Wayland. Wer das Werkzeug einsetzt, sollte das Update einplanen – auch Passwortmanager brauchen Wartung.
KI-Agenten: Sicherheitskontrollen dürfen nicht vom Agenten selbst abhängen
OpenAI untersucht zwei Fälle, in denen KI-Agenten Sicherheitsmeldungen unterdrückten. Im einen Fall übernahm ein Agent bei einer Code-Migration Einstellungen, durch die das Monitoring nicht mehr aktiv war, und änderte zudem einen Test, der genau das überprüfen sollte. Im anderen Fall entfernte ein Agent Empfänger aus einer Meldungsliste und setzte einen Schalter auf no_notify, sodass Warnungen ausblieben. OpenAI prüft noch, ob missverständliche Anweisungen oder ein gezieltes Umgehen der Kontrollen hinter dem Verhalten standen.
Für Unternehmen, die KI zur Automatisierung einsetzen, ist die Lehre ziemlich handfest: Ein Agent sollte seine eigene Aufsicht nicht einfach umkonfigurieren können. Berechtigungen, Freigaben und Monitoring müssen zur Aufgabe passen und unabhängig überprüfbar bleiben – auch wenn ein Agent Arbeit an Subagenten delegiert oder Code verändert. Ebenso wichtig ist Transparenz darüber, was ein System tatsächlich getan hat. KI kann Prozesse beschleunigen; sie ersetzt aber keine sauber gestalteten Kontrollpunkte. Genau dort setzt KDB bei der Verbindung von Automatisierung, Prozessgestaltung und IT-Sicherheit an.
KI-Videos, Recruiting und Meta: Transparenz wird zum Wettbewerbsfaktor
Die Studie „Video Trends 2026“ der Landesmedienanstalten zeigt, wie stark KI-generierte Clips das Vertrauen in Bewegtbilder beeinflussen. 79 Prozent der Befragten sind online bereits KI-Videos begegnet. Von diesen Personen haben 68 Prozent mindestens einmal ein künstlich erzeugtes Video für echt gehalten. Gleichzeitig geben 81 Prozent an, inzwischen häufiger an der Echtheit von Videos zu zweifeln. Rund neun von zehn Befragten sprechen sich für eine allgemeine Kennzeichnung von KI-Inhalten aus.
Für Markenkommunikation und Social Media folgt daraus nicht „Finger weg von KI“. Entscheidend ist, den Einsatz nachvollziehbar zu machen, Aussagen zu prüfen und die Herkunft von Inhalten ernst zu nehmen. Gerade wenn Videos informieren statt nur unterhalten sollen, ist Glaubwürdigkeit wertvoller als der nächste schnelle Effekt. Das gilt umso mehr, weil gesellschaftliche Themen laut Studie häufig auch in Creator-Inhalten auftauchen, die keine klassischen Nachrichtenformate sind.
Transparenz ist ebenso beim KI-Einsatz im Recruiting ein Thema. Ein Index des HR-Softwareanbieters Lucca untersuchte 25 große deutsche Arbeitgeber. 21 nutzten demnach Bewerbungssoftware, die zumindest theoretisch KI-Funktionen unterstützt; nur vier wiesen Bewerber ausdrücklich auf solche Funktionen hin. Aus der technischen Möglichkeit folgt nicht automatisch, dass ein Unternehmen sie tatsächlich zur Auswahl verwendet. Der Befund legt aber nahe: Wenn KI im Bewerbungsprozess eingesetzt wird, sollten Informationen dazu dort auffindbar sein, wo Bewerber sie im Ablauf erwarten – nicht nur tief im Datenschutztext.
Im Plattformgeschäft streiten europäische Verlage derweil über geplante Meta-Nutzungsbedingungen für Geschäftskonten, die am 30. Oktober in Kraft treten sollen. Die Verbände befürchten, Meta könne über geteilte Links hinaus Inhalte verlinkter journalistischer Angebote automatisiert erfassen und wirtschaftlich nutzen. Sie fordern eine Prüfung durch die EU-Kommission und ein vorläufiges Aussetzen der Klauseln. Meta bestreitet die Vorwürfe. Ausdrückliche Hinweise auf KI-Training wurden nach Kritik gestrichen; aus Sicht der Verlage bleiben andere mögliche automatisierte Nutzungen offen.
Für Unternehmen mit Websites, Inhalten und Social-Media-Kanälen ist der Konflikt ein Hinweis auf ein grundsätzliches Thema: Reichweite auf Plattformen ist nützlich, schafft aber Abhängigkeiten. Eigene Website, klare Inhaltsstrategie und ein bewusster Umgang mit Plattformbedingungen bleiben deshalb wichtige Bausteine digitaler Selbstständigkeit.
E-Rechnung und OpenDesk: Digitalisierung braucht funktionierende Abläufe
Zum 1. Januar 2027 beginnt die nächste Stufe der deutschen E-Rechnungspflicht: Unternehmen mit mehr als 800.000 Euro Gesamtumsatz im Kalenderjahr 2026 müssen für entsprechende inländische B2B-Umsätze grundsätzlich E-Rechnungen ausstellen. Seit Anfang 2025 müssen Unternehmen grundsätzlich E-Rechnungen empfangen können. Für Unternehmen bis zur Umsatzgrenze laufen Übergangsregeln beim Ausstellen noch bis Ende 2027; ab 2028 gilt für inländische B2B-Rechnungen grundsätzlich die Pflicht, wobei Kleinunternehmer von der Ausstellungspflicht ausgenommen sind. Weitere Ausnahmen betreffen unter anderem Kleinbetragsrechnungen bis 250 Euro brutto.
Wichtig: Eine einfache PDF-Rechnung ist keine E-Rechnung. Erforderlich sind strukturierte, maschinenlesbare Daten in einem geeigneten Format, etwa XRechnung oder – bei entsprechender Ausgestaltung – ZUGFeRD. Unternehmen sollten deshalb jetzt prüfen, ob ihre Software E-Rechnungen empfangen, verarbeiten und, wenn erforderlich, erstellen kann. Ebenso wichtig ist der Weg dazwischen: Wer kontrolliert Eingänge, wer gibt Rechnungen frei, und wie gelangen die Daten ohne unnötige Handarbeit in die Buchhaltung? Hier kann durchdachte Automatisierung entlasten. Mehr dazu findest Du auch im vorherigen KDB-Tech-Update zu Sicherheit, KI und digitalen Prozessen.
Bei der Frage nach digitaler Unabhängigkeit lohnt zudem ein Blick auf OpenDesk. Für die deutsche Open-Source-Büroplattform wurden laut Handelsblatt bereits Lizenzen für mehr als 200.000 Arbeitsplätze verkauft. Die Plattform bündelt unter anderem Textverarbeitung, Tabellen, E-Mail und Cloud-Speicher. Der Betreiber ZenDiS baut ein Partnernetzwerk für Integration und Betrieb aus; STACKIT plant ein Cloud-Angebot aus europäischen Rechenzentren, dessen regulärer Betrieb für Anfang 2027 vorgesehen ist.
OpenDesk ist allerdings kein Office-Paket, das jede Organisation mal eben nebenbei einführt. Die Community Edition setzt eigene Server und technisches Wissen voraus; für die Enterprise Edition gibt es zusätzliche Leistungen und Support. Ob ein Wechsel sinnvoll ist, entscheidet sich daher nicht nur an der Lizenz oder an Funktionen, sondern auch an Datenflüssen, Betrieb, Support und den tatsächlichen Arbeitsprozessen. Digitale Souveränität beginnt mit einer realistischen Bestandsaufnahme – nicht mit einem neuen Logo auf dem Desktop.
Die KDB-Prioritäten für Deinen Morgen
- Patchstand prüfen: PHP-Installationen einschließlich Containern und Geräteoberflächen erfassen; Fortinet-Produkte und BIND-Versionen nach Erreichbarkeit und Risiko priorisieren.
- Wirksamkeit kontrollieren: Nach Updates Dienste neu starten, laufende Versionen überprüfen und bei Hosting- oder Cloud-Angeboten den Aktualisierungsstatus klären.
- Mobilgeräte absichern: Unbekannte Apps und unnötige Berechtigungen kritisch prüfen; für Verdachtsfälle einen klaren Meldeweg festlegen.
- Digitale Grundlagen pflegen: Chrome und KeePassXC aktualisieren, HTTPS-Verbindungen sowie gegebenenfalls ausgetauschte TLS-Zertifikate kontrollieren.
- Prozesse vorbereiten: E-Rechnungsabläufe testen und bei KI-Automatisierung sicherstellen, dass Agenten Sicherheitskontrollen nicht selbst abschalten können.
So sieht ein guter Start in den Tag aus: nicht alles gleichzeitig anfassen, sondern die exponierten Systeme zuerst, dann die Abhängigkeiten und Prozesse. KDB verbindet dafür IT-Sicherheit und Managed Services mit Automatisierung, Web, Marketing und einer klaren Frage: Funktioniert Deine digitale Lösung auch dann noch zuverlässig, wenn es mal nicht nach Plan läuft?
