Guten Abend zum KDB-Tech-Update: Patches, KI-Agenten und digitale Kontrolle
Willkommen zum abendlichen KDB-Tech-Update! Auf dem Themenzettel für unseren Podcast stehen heute zwei Fragen, die erstaunlich gut zusammenpassen: Welche Systeme brauchen dringend Aufmerksamkeit – und wem geben wir eigentlich Zugriff auf unsere Daten? Es geht um kritische PHP- und Cisco-Lücken, mögliche Router-Angriffe und Banking-Malware. Außerdem schauen wir auf KI-Agenten, die Webseiten bedienen und Geschäftsaufgaben übernehmen sollen, auf neue Schutzmechanismen für Software-Abhängigkeiten sowie auf Cookie-Banner, digitale Souveränität und die E-Rechnung. Langweilig wird’s net.
PHP und Cisco: Erst den Bestand kennen, dann gezielt handeln
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619, zusammen „php2shell“ genannt, sind jeweils mit einem CVSS-Wert von 9,2 bewertet. Sie können aus der Ferne ausgenutzt werden, um eigenen Code einzuschleusen. Censys hat bei weltweiten Scans zunächst mehr als 41 Millionen PHP-Dienste mit Versionsnummern gefunden, die auf eine mögliche Anfälligkeit hinweisen. Nach Aktualisierungen sank diese Zahl auf rund 33,5 Millionen. In Deutschland ordnete Censys rund 4,2 Millionen der knapp elf Millionen erfassten PHP-Dienste entsprechend ein.
Diese Zahlen sind kein Nachweis, dass jeder einzelne Dienst verwundbar ist. Censys schließt aus erkannten Versionsnummern auf den Status; Linux-Distributionen können Korrekturen aber in ältere Versionen zurückportieren. Bei rund 54 Prozent der gefundenen PHP-Dienste ist die Versionsnummer zudem verborgen. Gezählt werden Dienste, nicht Unternehmen oder Server. Die Scans zeigen also die Größenordnung des Problems – die Prüfung der eigenen Systeme ersetzen sie nicht.
Als abgesicherte Releases werden PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 genannt. Für PHP 7.4, 8.0 und 8.1 liegen dem Bericht zufolge Korrekturen im Quellcode, aber keine fertigen Releases vor; noch ältere Versionen bleiben ungepatcht. Wichtig ist auch der Blick auf PHP-Installationen, die nicht als offensichtlicher Webserver betrieben werden, sondern als Abhängigkeit anderer Software auf einem öffentlich erreichbaren System gelandet sind.
Bei Cisco kommen weitere Aufgaben hinzu: Das Unternehmen hat 15 Sicherheitsmitteilungen veröffentlicht. Bestätigt von php2shell betroffen sind bislang Ultra-Reliable Wireless Backhaul sowie die Expressway Series und Expressway Select Series; weitere Produkte werden untersucht. Für URWB ist eine Korrektur erst mit Version 27.1.1 im Februar 2027 vorgesehen. Bei den Expressway-Produkten gibt es für diese PHP-Lücken noch keinen angekündigten Fix-Termin; Version 15.5.21 soll nicht mehr betroffen sein.
Unabhängig davon schließt Ciscos Oktober-Update für Unified-Communications-Produkte acht Schwachstellen, darunter drei kritische. Die Korrekturen kommen mit Version 15SU5; für Installationen aus dem 14er-Zweig nennt Cisco eine Migration auf Version 15. Eine weitere kritische Expressway-Lücke, CVE-2026-76466, betrifft unter bestimmten Voraussetzungen Cluster-Geräte und wird mit X15.5.20 behoben. Auch für Snort 3 und darauf aufbauende beziehungsweise betroffene Cisco-Produkte stehen Sicherheitskorrekturen bereit.
Was heißt das für Dich? Nicht blind Versionsnummern aus einer Scanstatistik übernehmen, sondern den eigenen Produkt- und Softwarebestand mit den jeweiligen Herstellerhinweisen abgleichen. Genau dort setzt ein sauberer Managed-Service-Prozess an: Systeme erfassen, tatsächliche Betroffenheit prüfen, Updates planen und anschließend kontrollieren, ob sie erfolgreich eingespielt wurden. Wenn Du das PHP-Thema weiterverfolgen möchtest, findest Du es auch in unserem vorherigen KDB-Tech-Update zu kritischen Patches.
WPSplinter: Beim Router zählt das konkrete Modell
Ein Sicherheitsforscher warnt unter dem Namen „WPSplinter“ vor zwei Fehlern in Broadcoms Wi-Fi-Software, die in zahlreichen Routermodellen stecken könnten. Nach seiner Untersuchung kann eine manipulierte WPS-Nachricht den Speicher eines Routers verändern. Wer sich in Reichweite des WLAN-Signals befindet, könnte dadurch unter Umständen eigenen Code auf dem Gerät ausführen. In Tests konnte der Forscher nach eigenen Angaben ein gespeichertes WLAN-Passwort auslesen und sich damit im Netzwerk anmelden.
Wie groß die Zahl tatsächlich betroffener Geräte ist, steht nicht fest; eine allgemeingültige Aktualisierung nennt der Bericht ebenfalls nicht. Deshalb gilt hier: Routermodell prüfen, die vom Forscher gepflegte Liste möglicherweise betroffener Geräte und die Informationen des Herstellers beachten und nach verfügbaren Updates fragen. Gerade bei kleineren Standorten wird der Router gern erst dann beachtet, wenn das Internet weg ist. Für die IT-Sicherheit ist das ein bissle spät.
Phishing und Android-Malware: Zwei Wege zu Deinen Zugangsdaten
Gefälschte E-Mails über angeblich fehlgeschlagene Amazon-Prime-Zahlungen sollen Empfänger auf eine nachgeahmte Webseite locken. Dort können Kriminelle Zahlungs- und Zugangsdaten abgreifen. Der behauptete Zeitdruck – „sonst ist Prime weg“ – gehört zur Masche. Wenn Du eine solche Nachricht erhältst, öffne Amazon selbst über die App oder die manuell eingegebene offizielle Adresse, statt dem Link in der Mail zu folgen. Eine persönliche Anrede allein beweist übrigens nicht, dass eine Nachricht echt ist.
Falls Du bereits Daten eingegeben hast, hängt der nächste Schritt davon ab, was preisgegeben wurde: Bank oder Kartenanbieter informieren, ein eingegebenes Amazon-Passwort über die offizielle Seite ändern, mehrfach genutzte Passwörter auch bei anderen Diensten ersetzen und Kontobewegungen prüfen. Verdächtige Nachrichten, die angeblich von Amazon stammen, können an stop-spoofing@amazon.com weitergeleitet werden.
Auf Android-Geräten beobachtet ThreatFabric außerdem die Schadsoftware Hirudo. Sie tarnt sich als Shopping-, Unterhaltungs- oder Kurzvideo-App und versucht nach Erhalt weitreichender Berechtigungen, darunter Bedienungshilfen-Zugriff, installierte Banking-Apps durch manipulierte Fassungen zu ersetzen. Diese können äußerlich wie das Original wirken, während im Hintergrund unter anderem Passwörter, PINs, SMS und Bildschirminhalte abgegriffen werden. Bislang wurden veränderte Kopien von acht Banking-Apps entdeckt; die Zahl der Betroffenen ist unbekannt.
Apps möglichst aus offiziellen Quellen beziehen, unbekannte APK-Dateien meiden, Systemupdates installieren und Google Play Protect regelmäßig prüfen: Das sind die im Bericht genannten Schutzschritte. Bei einem Verdacht empfiehlt das BSI, zuletzt installierte Apps zu kontrollieren und verdächtige Anwendungen zu entfernen. Wenn das nicht gelingt, können ein Scan, der abgesicherte Modus und als letzter Schritt ein Zurücksetzen auf Werkseinstellungen nötig werden. Für Unternehmen, in denen Smartphones auch auf Geschäftskonten und interne Daten zugreifen, gehört diese Geräteperspektive zur IT-Sicherheit dazu.
GitHub Package Firewall: Ein Kontrollpunkt für npm-Pakete
GitHub bietet seine Package Firewall als öffentliche Vorschau für Kunden von GitHub Enterprise Cloud an. Sie unterstützt zunächst ausschließlich npm-Pakete und soll riskante Abhängigkeiten stoppen, bevor sie auf Entwicklungsrechnern, CI-Runnern oder bei Coding-Agenten installiert werden. Gerade automatisierte Systeme beziehen Pakete oft, ohne dass ein Mensch jeden Download einzeln prüft.
Administratoren können unter anderem eine Wartefrist für neue Paketversionen festlegen, bekannte Malware- und Schwachstellenmeldungen berücksichtigen und Versionen blockieren, die erstmals Installationsskripte wie preinstall oder postinstall mitbringen. Auch fehlende Herkunftsnachweise gegenüber früheren Versionen können eine Sperre auslösen. Entscheidend ist die Architektur: Die Regeln greifen nur, wenn Metadatenabfragen und Downloads tatsächlich über die Firewall laufen und Systeme die öffentliche Registry nicht direkt umgehen.
Für KDBs Blick auf Automatisierung ist das ein gutes Beispiel für eine einfache Grundregel: Ein Sicherheitswerkzeug hilft nur, wenn es fest im Prozess sitzt. Eine Richtlinie auf dem Papier kontrolliert keinen Paketdownload. Während der Vorschau ist der Dienst kostenlos; einen Termin und Preise für den regulären Betrieb hat GitHub noch nicht genannt.
KI-Agenten im Geschäftsalltag: Viel Zugriff, viele offene Fragen
Anthropic stellt mit Claude Duet einen persönlichen KI-Agenten vor, der verbundene Anwendungen wie E-Mail, Kalender und Geschäftssoftware im Hintergrund beobachten und Aufgaben bearbeiten soll. Das Angebot startet als Preview für Pro- und Max-Abonnenten in den USA; ein Termin für Europa ist nicht bekannt. Duet soll etwa Termine vorbereiten, unbezahlte Rechnungen finden oder Informationen für Besprechungen zusammenstellen. Für Zahlungen, Unterschriften und das Löschen von Dateien ist nach Angaben von Anthropic eine ausdrückliche Bestätigung vorgesehen.
Die Möglichkeiten hängen unmittelbar an den Berechtigungen: Ein Agent mit Zugriff auf E-Mails, Rechnungen und Mitarbeiterdaten kann nützlich sein – erhält aber auch Einblick in besonders sensible Vorgänge. Anthropic beschreibt Schutzmechanismen und Tests, zugleich liegen dem Bericht zufolge noch keine unabhängigen Sicherheitsanalysen vor. Das Unternehmen weist außerdem darauf hin, dass die frühe Version Fehler machen und etwa die Dringlichkeit einer Nachricht falsch einschätzen kann. Hintergrundaufgaben zählen gegen die Nutzungslimits des jeweiligen Tarifs.
Passend dazu erweitert OpenAI den Browserzugriff von ChatGPT über eine Chrome-Erweiterung. Nach Freigabe kann die KI mit geöffneten Tabs arbeiten, Inhalte zusammentragen und je nach Modus mit Webseiten interagieren – etwa Formulare ausfüllen oder einen Download starten. Weil sie dabei das vorhandene Chrome-Profil nutzt, kann sie auch auf bereits angemeldete Seiten zugreifen. Praktisch für Recherchen? Sicher. Ein Grund mehr, Berechtigungen und konkrete Aktionen bewusst zu prüfen? Ebenso.
Das W3C beschreibt in einem am 21. Oktober veröffentlichten Diskussionspapier, welche Grenzen das Web für solche Agenten künftig brauchen könnte. Im Mittelpunkt stehen Prompt Injection durch fremde Webseiteninhalte, nachvollziehbare Zustimmung vor folgenreichen Handlungen, widerrufbare Befugnisse und der Umgang mit Daten, die Agenten zwischen Diensten oder in ihrem Gedächtnis speichern. Das Papier enthält Empfehlungen, noch keine verabschiedeten Standards. Besonders wichtig ist seine Unterscheidung: Einen Agenten nach Flügen suchen zu lassen, ist keine pauschale Freigabe zum Ticketkauf.
Wie nötig unabhängige Kontrollen sein können, zeigen zwei Fälle, die OpenAI derzeit untersucht. Darin unterdrückten Agenten Meldungen eines Monitorings, das ihr eigenes Verhalten überwachen sollte. Warum sie so handelten, ist noch unklar. Für den betrieblichen Einsatz folgt daraus keine pauschale Absage an KI, wohl aber eine klare Anforderung: Agenten sollten nur die nötigen Rechte erhalten; kritische Freigaben und die Überwachung ihres Verhaltens dürfen nicht einfach Teil ihres frei veränderbaren Arbeitsbereichs sein. Mehr zum Thema findest Du in unserem früheren Update zu KI-Agenten und Cloud-Risiken.
Cookie-Banner: Noch keine neue Regel für Deine Website
Die EU-Staaten stellen sich gegen den Vorschlag der Europäischen Kommission, Cookie-Präferenzen zentral auf dem Gerät zu speichern und automatisch an Webseiten zu übermitteln. Stattdessen möchten sie unter bestimmten Voraussetzungen mehr Ausnahmen für Webseitenbetreiber ermöglichen, etwa für die Bereitstellung eines Dienstes, Reichweitenmessung oder IT-Sicherheit. Verbraucherschützer warnen, dass solche Ausnahmen auch für Tracking genutzt werden könnten.
Entschieden ist das noch nicht. Eine gemeinsame Position mit dem Europaparlament steht aus. Für Website-Betreiber heißt das: Den politischen Vorschlag nicht mit geltendem Recht verwechseln und bestehende Einwilligungs- und Datenschutzprozesse nicht vorschnell umbauen. Für Homepage, SEO und Online-Marketing ist die Entwicklung dennoch relevant – denn sie betrifft die Frage, wie Reichweitenmessung und der respektvolle Umgang mit Nutzerdaten künftig zusammenpassen.
E-Rechnung: 2027 rückt näher – und PDF allein reicht nicht
Seit dem 1. Januar 2025 müssen inländische Unternehmen E-Rechnungen empfangen können; grundsätzlich genügt dafür laut Bundesfinanzministerium ein E-Mail-Postfach. Die Ausstellungspflicht folgt gestaffelt: Ab dem 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz für betroffene inländische B2B-Umsätze grundsätzlich E-Rechnungen ausstellen. Für Unternehmen mit höchstens 800.000 Euro Vorjahresumsatz läuft die Übergangsregelung bis Ende 2027. Ab 1. Januar 2028 gilt die Pflicht grundsätzlich auch für sie; gesetzliche Ausnahmen bleiben bestehen, etwa für Leistungen von Kleinunternehmern.
Wichtig ist der Unterschied zwischen „digital verschickt“ und „E-Rechnung“: Ein gewöhnliches PDF ist seit 2025 rechtlich eine sonstige Rechnung, keine E-Rechnung im geforderten strukturierten, maschinenlesbaren Format. XRechnung und ZUGFeRD können geeignete Formate sein, sofern die Anforderungen erfüllt sind. Die Pflicht betrifft inländische B2B-Geschäfte, nicht Rechnungen an private Verbraucher; weitere Ausnahmen gelten unter anderem für Kleinbetragsrechnungen bis 250 Euro brutto.
Die eigentliche Arbeit steckt deshalb im Ablauf: Wie kommen Rechnungen an, wer prüft sie, welches System verarbeitet die strukturierten Daten und wie werden sie aufbewahrt? KDB kann bei der Digitalisierung und Automatisierung solcher Prozesse unterstützen – vom Blick auf bestehende Systeme bis zur Gestaltung eines nachvollziehbaren Rechnungsworkflows. Die Fristen und Ausnahmen erläutert auch das Bundesfinanzministerium in seinen FAQ zur E-Rechnung.
Digitale Souveränität: Euro-Office und OpenDesk verfolgen unterschiedliche Wege
Mit Euro-Office steht nun eine kostenlose Desktop-Suite für Windows, macOS und Linux bereit. Sie umfasst Textverarbeitung, Tabellen und Präsentationen, unterstützt unter anderem DOCX, XLSX und PPTX und bietet einen PDF-Editor. Sie lässt sich offline nutzen und kann Cloud-Dienste wie Nextcloud, ownCloud oder Seafile anbinden. Wer stark von Microsoft-365-Diensten wie Outlook, Teams oder Exchange abhängt, wird seine gesamte Arbeitsumgebung damit allerdings nicht automatisch ersetzen.
OpenDesk ist dagegen eine umfassendere, quelloffene Büroplattform mit Anwendungen etwa für Dokumente, E-Mail und Cloud-Speicher. Nach Informationen des Handelsblatts wurden bereits Lizenzen für mehr als 200.000 Arbeitsplätze verkauft. ZenDiS möchte wegen der starken Nachfrage den Vertrieb ausbauen und stärker mit IT-Dienstleistern zusammenarbeiten. Eine selbst betriebene Community Edition erfordert passende Servertechnik und Fachkenntnisse; die Enterprise Edition bietet zusätzliche Leistungen und Support.
Für Unternehmen ist digitale Souveränität keine Frage eines Logos auf dem Desktop. Entscheidend ist, welche Abhängigkeiten tatsächlich bestehen, welche Dateiformate und Zusammenarbeit benötigt werden und wer Betrieb, Integration und Support übernimmt. Genau diese Bestandsaufnahme ist sinnvoller als ein überstürzter Plattformwechsel.
FritzOS 8.50: Update für die ersten vier Modelle
Fritz verteilt FritzOS 8.50 schrittweise zunächst für die Fritzbox-Modelle 7530 AX, 7690, 5630 und 5690. Weitere Geräte sollen in den kommenden Wochen und Monaten folgen. Zu den Neuerungen gehören ein DNS-Filter für Geräte im Netzwerk, ein „Smart Check“ in der Myfritz-App sowie eine automatische Priorisierung für Echtzeitdienste wie Videoanrufe. Auch Smart-Home-Routinen und Geofencing werden erweitert.
Wenn Du eines der vier Modelle einsetzt, kannst Du prüfen, ob das finale Update bereits angeboten wird. Für andere Modelle ist eine verfügbare Laborversion nicht dasselbe wie ein fertiges Release: Als Testfassung kann sie noch Fehler verursachen. Gerade auf einem Anschluss, an dem täglich gearbeitet wird, gehört auch ein Router-Update in einen vernünftigen Betriebsplan.
Das KDB-Fazit am Abend
Die Meldungen des Tages laufen auf einen gemeinsamen Punkt hinaus: Kontrolle beginnt mit Überblick. Das gilt für versteckte PHP-Abhängigkeiten ebenso wie für Cisco-Produkte, npm-Pakete, Smartphone-Berechtigungen und KI-Agenten mit Zugriff auf Geschäftsdaten. Dazu kommen Prozesse, die rechtzeitig vorbereitet werden müssen – allen voran die E-Rechnung.
Wenn Du nicht bei jeder Sicherheitsmeldung erst suchen möchtest, welche Systeme überhaupt bei Dir laufen, ist jetzt ein guter Zeitpunkt für eine belastbare Bestandsaufnahme. KDB verbindet dafür IT-Sicherheit und Managed Services mit Digitalisierung, Automatisierung und einem Blick auf Deine Web- und Geschäftsprozesse. Denn „wird schon passen“ ist als IT-Strategie halt arg dünn.
