Guten Morgen zum KDB-Tech-Update: Sicherheitslücken, Betrugsmaschen und KI im Arbeitsalltag
Guten Morgen! In der heutigen Ausgabe und im Podcast zum KDB-Tech-Update geht es um eine kritische Schwachstelle beim Netzwerkstart von Rechnern, ein wichtiges Update für Microsoft Authenticator und neue Angriffswege gegen PHP-Webserver. Außerdem schauen wir auf Tailscale, Android-Banking-Malware und zwei Betrugsmaschen, die mit erstaunlich vertrauten Absendern arbeiten. Zum Schluss geht es um barrierefreie Websites und die Frage, wie viel Kontrolle Unternehmen bei KI-gestützter Entwicklung und Übersetzung behalten sollten.
Der rote Faden an diesem Donnerstagmorgen: Sicherheit hängt nicht an einem einzigen Produkt. Firmware, Server, Smartphones, Zugriffsregeln und menschliche Freigaben müssen zusammenspielen. Also: Kaffee holen, Update-Liste aufmachen und los geht’s.
UEFI und PXE: Kritische Lücke vor dem Start des Betriebssystems
In EDK II, einer weitverbreiteten Grundlage für UEFI-Firmware, steckt eine seit rund 16 Jahren bestehende Schwachstelle. Sie betrifft den ICMP-Code der PXE-Funktion, mit der Rechner über das Netzwerk starten können. Unternehmen nutzen PXE beispielsweise, um Geräte zentral einzurichten oder zu warten. Die Lücke trägt die Kennung CVE-2026-97631 und wird nach CVSS 4.0 mit 9,5 von 10 Punkten als kritisch bewertet.
Unter bestimmten Voraussetzungen kann ein Angreifer mit Zugang zum betroffenen Netzwerk eigenen Code ausführen, bevor das Betriebssystem startet und Schutzmechanismen wie Secure Boot greifen. Wichtig für die Einordnung: Laut Bericht sind Geräte, die ausschließlich von einer lokalen Festplatte oder SSD starten, nicht betroffen. Es geht also nicht darum, dass plötzlich jeder Büro-PC aus dem Internet angreifbar wäre.
Für Administratorinnen und Administratoren ist jetzt eine Bestandsaufnahme sinnvoll: Welche Server und Geräte verwenden PXE, und welche Firmware steckt darin? Wird der Netzwerkstart nicht gebraucht, sollte er bis zur Installation passender Firmware-Updates vorübergehend deaktiviert werden. Wo PXE erforderlich ist, gehört das Bootnetz abgeschottet – insbesondere gegenüber Arbeitsplatzrechnern und Gastgeräten. Zusätzliche Eile entsteht dadurch, dass eine Korrektur bereits öffentlich zugänglich wurde, obwohl die Forschenden ihren Fund ursprünglich bis Januar 2027 vertraulich behandeln wollten. Der Patch kann Angreifern Hinweise auf die fehlerhafte Codestelle geben, bevor alle Geräte aktualisiert sind.
Microsoft Authenticator: Auch eine App ohne Sonderrechte konnte Token abgreifen
Eine Schwachstelle im Microsoft Authenticator für Android erlaubte es einer bösartigen App, sich bei einer Anfrage als andere Anwendung auszugeben. Sicherheitsforscher demonstrierten das mit einer App ohne besondere Berechtigungen, die sich als Microsoft Teams ausgab. Der Authenticator konnte daraufhin Zugangstoken im Klartext herausgeben. In den Tests eröffneten diese Token Zugriff auf Ressourcen des betroffenen Kontos, darunter Postfach, Dateien und Kalender.
Ob dafür eine Bestätigung durch die betroffene Person nötig war, wird unterschiedlich dargestellt: Microsoft sagt ja; die Forschenden von Enclave erklären, bei bereits angemeldetem Arbeitskonto sei keine Nutzerinteraktion erforderlich gewesen. An der praktischen Maßnahme ändert diese offene Frage nichts: Microsoft hat die Lücke nach eigenen Angaben im September geschlossen. Auf Android sollte mindestens Authenticator-Version 6.2606.4246 installiert sein. Die Schwachstelle wird als CVE-2026-80097 geführt und mit CVSS 8.6 als hohes Risiko bewertet.
Für Unternehmen lohnt sich ein Blick auf verwaltete Smartphones: Ist die App-Version aktuell, und wie schnell kommen Sicherheitsupdates tatsächlich auf den Geräten an? Eine zweite Bestätigung ist wichtig – aber sie ersetzt weder sichere Apps noch sauber gepflegte Endgeräte.
PHP2Shell: Wenn aus einem alten Speicherfehler ein praktikabler Angriff wird
PHP2Shell fasst zwei Schwachstellen in der PHP-Laufzeitumgebung zusammen. Unter passenden Bedingungen können Angreifer darüber Code auf einem Webserver ausführen oder vertrauliche Informationen aus dessen Arbeitsspeicher auslesen. Eine Anmeldung ist laut den beschriebenen technischen Hinweisen nicht erforderlich. Besonders gefährdet sind Server, die PHP-Anfragen über Apache mit mod_php verarbeiten.
Das Problem betrifft nicht nur schlecht programmierte Websites: Liegt die Schwachstelle in der PHP-Laufzeit selbst, kann auch ein sorgfältig entwickeltes Angebot verwundbar sein. PHP wird unter anderem von WordPress, Drupal, Joomla, TYPO3, Magento und Nextcloud verwendet. Entscheidend ist, welche PHP-Version auf dem jeweiligen Server oder im Container tatsächlich läuft.
Die Fehler waren lange bekannt, galten aber als schwer praktisch auszunutzen. Sicherheitsforschende konnten 2026 mithilfe von KI-Werkzeugen innerhalb kurzer Zeit funktionierende Angriffsketten entwickeln. Das zeigt die doppelte Wirkung von KI: Sie unterstützt die Sicherheitsforschung, kann aber auch die Zeit verkürzen, die Angreifer für die Entwicklung eines Exploits brauchen. Technische Komplexität ist eben keine verlässliche Schutzmaßnahme – so bequem das manchmal wäre.
Betreiber sollten PHP auf eine bereinigte Version aktualisieren und dabei auch Container sowie weniger offensichtliche PHP-Abhängigkeiten prüfen. Laut Beitrag liegen Updates für die Zweige 8.5, 8.4, 8.3 und 8.2 sowie Rückportierungen für 7.4, 8.0 und 8.1 vor. Eine Web Application Firewall kann höchstens ergänzend und vorübergehend helfen; sie ersetzt den Patch nicht. Auffällig viele HTTP-500-Fehler oder ungewöhnlich große PHPSESSID-Cookies können Anlass für eine Prüfung der Protokolle sein, liefern aber weder einen sicheren Angriffsnachweis noch eine Entwarnung.
Für KDB als IT-Systemhaus und Partner für Websites heißt das ganz konkret: Softwarepflege endet nicht beim CMS-Update. Laufzeitumgebung, Hosting, Abhängigkeiten und Wiederanlauf nach einem Update gehören gemeinsam betrachtet. Mehr zu diesem wiederkehrenden Thema findest Du in unserem vorherigen Tech-Update zu Sicherheitsupdates und App-Fallen.
Tailscale „Tailworm“: Zugriffsregeln und Softwarestand prüfen
Tailscale hat mehrere unter dem Namen „Tailworm“ gemeldete Sicherheitsprobleme untersucht und nach eigenen Angaben behoben. Im Mittelpunkt steht eine fehlerhafte Rechteprüfung bei Tailscale-SSH-Sitzungen: Unter bestimmten Voraussetzungen konnte eine bereits authentifizierte Verbindung mehr tun, als die Berechtigungen des angemeldeten Nutzers erlauben – auch beim SSH-Forwarding. Das kann eine Rechteausweitung und die Weiterbewegung innerhalb eines Tailnets begünstigen.
Der Name klingt nach selbstständiger Verbreitung, beschreibt laut Tailscale aber keinen solchen Wurm. Ein Angreifer müsste bereits Zugriff auf ein autorisiertes Gerät in einem Tailnet haben, in dem Tailscale SSH per Richtlinie erlaubt ist. Administratoren sollten die Sicherheitsmitteilungen TS-2026-014 bis TS-2026-017 prüfen und Installationen auf Version 1.104.4 oder neuer aktualisieren. Wer VPN- und SSH-Zugänge für sensible Systeme bereitstellt, sollte außerdem die geltenden Zugriffsregeln regelmäßig mit dem tatsächlichen Bedarf abgleichen.
Banking auf Android: Hirudo tauscht die App aus
Die Android-Schadsoftware Hirudo tarnt sich als Shopping-, Unterhaltungs- oder Kurzvideo-App. Nachdem sie unter anderem Berechtigungen für Bedienungshilfen erhalten hat, kann sie die ursprüngliche Banking-App entfernen und eine manipulierte, ähnlich aussehende Version installieren. Diese kann beispielsweise Passwörter, PINs, SMS und Bildschirminhalte abgreifen. Sicherheitsforscher von ThreatFabric haben bislang manipulierte Kopien von acht Banking-Anwendungen entdeckt.
Beobachtet wurde Hirudo zunächst im Zusammenhang mit Banking-Apps aus Indonesien; weitere Hinweise betreffen Finanzorganisationen in mehreren anderen Ländern. Wie viele Menschen betroffen sind, ist nicht bekannt. Für den Alltag bleibt die Empfehlung klar: Apps möglichst aus offiziellen Quellen beziehen, unbekannte APK-Dateien meiden, Android aktuell halten und Google Play Protect regelmäßig nutzen. Werden Berechtigungen für Bedienungshilfen verlangt, obwohl sie zum Zweck einer App nicht passen, ist Misstrauen angebracht.
Phishing per Brief und E-Mail: Vertraute Optik ist kein Echtheitsbeweis
Ein betrügerischer Brief im Namen einer Sparkasse fordert Empfänger auf, ihren Online-Banking-Zugang über einen QR-Code zu „verifizieren“. Das Schreiben trägt einen konkreten Filialbriefkopf, spricht Menschen persönlich an und droht mit einer Zugangssperre. Der QR-Code führt jedoch zu einer gefälschten Website, auf der Zugangsdaten und sogar eine Ausweiskopie abgefragt werden.
Bei einer zweiten Masche lockt eine gefälschte Telekom-E-Mail mit einer angeblichen Gutschrift über 135,95 Euro. Nach der Eingabe persönlicher Daten auf einer falschen Website kann ein Anruf folgen: Die Täter geben sich als Bankmitarbeitende aus und können dabei sogar eine vertraut wirkende Rufnummer anzeigen lassen. Ihr Ziel ist etwa, ein fremdes Gerät für das Online-Banking freischalten oder eine Überweisung per TAN bestätigen zu lassen.
Die wichtigste Regel für beide Fälle: Öffne Bank- oder Kundenkonten über selbst gewählte, offizielle Wege – nicht über QR-Codes und Links aus unerwarteten Nachrichten. Bestätige keine TAN und keine Gerätefreigabe für einen Vorgang, den Du nicht selbst gestartet hast. Falls Du bereits Daten eingegeben oder ein Ausweisdokument hochgeladen hast, informiere umgehend die betroffene Bank. Ist Geld abgeflossen, solltest Du sofort Bank oder Zahlungsdienstleister kontaktieren und den Ablauf dokumentieren. Für Unternehmen sind solche Beispiele guter Stoff für realistische Awareness-Schulungen: Betrug kommt nicht nur als schlecht geschriebene E-Mail daher.
Barrierefreie Websites: Gesetzliche Pflicht, praktische Nutzbarkeit
Eine automatisierte Analyse von BR Data zeigt erheblichen Nachholbedarf bei der digitalen Barrierefreiheit. Von mehr als 500 untersuchten Startseiten öffentlicher und privater Angebote verstießen fast 80 Prozent gegen mindestens ein gesetzlich vorgegebenes Kriterium. Bei knapp 1.300 bayerischen Städten und Gemeinden lag der Anteil bei 86 Prozent. Automatisierte Tests erfassen nicht jede Nutzungshürde – die Ergebnisse sind aber ein deutliches Warnsignal.
Für Betroffene sind die Folgen konkret: Nicht beschriftete Links können mit einer Sprachausgabe unverständlich sein, schlecht erreichbare Menüs oder fehlende Tastaturbedienbarkeit machen selbst einfache Abläufe mühsam oder unmöglich. Öffentliche Stellen müssen ihre Websites bereits seit 2020 barrierefrei anbieten; inzwischen gelten entsprechende Anforderungen auch für bestimmte private Angebote, etwa Onlineshops und Buchungsportale.
Wer eine Homepage oder einen Shop gestaltet, sollte Barrierefreiheit deshalb nicht als spätes Extra behandeln. Kontraste, verständliche Beschriftungen, Tastaturbedienung und nachvollziehbare Abläufe gehören in Design, Entwicklung und Qualitätssicherung. KDB verbindet hier Website-Erstellung, Gestaltung und digitale Prozesse: Eine Seite, die gut aussieht, aber einen Teil ihrer Besucher ausschließt, ist halt nur halb fertig.
KI im Arbeitsalltag: Mehr Tempo braucht bessere Prüfprozesse
Google erweitert die Live-Übersetzung in Meet auf 63 Sprachen und lässt die gesprochene Sprache automatisch erkennen. Teilnehmende können die Funktion selbst im Meeting aktivieren; sie setzt einen geeigneten kostenpflichtigen Workspace-Tarif oder ein Google-AI-Abonnement voraus. Google zufolge werden die Sprachdaten weder gespeichert noch zum Training von KI-Modellen verwendet.
Für internationale Besprechungen kann das hilfreich sein. Bei Verträgen, technischen Details oder Zahlen sollten die Beteiligten kritische Aussagen aber nachfragen und gegebenenfalls schriftlich bestätigen: Akzente, überlappende Stimmen, Hintergrundgeräusche und Verzögerungen können die Übersetzung beeinträchtigen.
Auch in der Softwareentwicklung nimmt KI-Arbeit zu. GitHub berichtet in seinem am 28. Oktober vorgestellten Octoverse-Report, dass in den vergangenen zwölf Monaten rund 1,3 Milliarden Pull-Requests zusammengeführt wurden. Mehr als 40 Prozent davon hätten mit einem Entwurf eines KI-Agenten begonnen. Das ist ein Hinweis auf veränderte Arbeitsabläufe, aber kein Beleg dafür, dass jeder automatisch erzeugte Beitrag zuverlässig ist. Für KDB und andere Teams, die Prozesse mit KI und Automatisierung gestalten, bleibt deshalb entscheidend: Ergebnisse prüfen, Verantwortlichkeiten festlegen und Änderungen kontrolliert in produktive Systeme übernehmen.
Was Du heute auf die Liste setzen solltest
Erstens: Prüfe PXE-Nutzung und Bootnetz-Trennung, statt auf ein pauschales Firmware-Update zu warten. Zweitens: Kontrolliere die Versionen von Microsoft Authenticator, PHP und Tailscale auf den tatsächlich eingesetzten Geräten und Servern. Drittens: Erinnere Dein Team daran, QR-Codes, Erstattungsversprechen und angebliche Bankanrufe über offizielle Kanäle gegenzuprüfen. Viertens: Nimm Barrierefreiheit und die fachliche Kontrolle von KI-Ergebnissen als feste Schritte in Deine digitalen Prozesse auf.
Genau dabei kann KDB unterstützen: mit betreuter IT-Sicherheit, gepflegten Systemen, durchdachten Automatisierungen und Websites, die nicht nur schick, sondern für Menschen auch nutzbar sind. Sicherheit und gute Digitalisierung entstehen schließlich nicht durch einen einzigen Klick auf „Aktualisieren“ – auch wenn’s manchmal schön wär.
