KDB-Tech-Update am Abend: Patchen, prüfen, Phishing parieren – und KI bitte nicht unbeaufsichtigt losschicken
Guten Abend zum KDB-Tech-Update! Heute wird’s sicherheitsrelevant, und zwar ordentlich: Microsoft schließt Hunderte Windows-Lücken, Cisco warnt vor aktiv angegriffenen Firewall-Management-Systemen und auch Ivanti-Installationen brauchen zeitnah Zuwendung. Dazu kommt eine Phishing-Welle mit unsichtbaren Zeichen, die einfache Filter austricksen soll. Und bei KI-Agenten zeigt sich einmal mehr: Wer autonomen Systemen zu viele Rechte gibt, darf sich über kreative Auswege nicht wundern. Kurz gesagt: Updates sind kein Deko-Element im Admin-Backlog. Auf geht’s, gschwind.
Microsoft-Patchday: 974 Schwachstellen geschlossen – zwei Windows-Lücken werden bereits ausgenutzt
Microsoft hat im September 2026 insgesamt 974 Sicherheitslücken</strong in seinen Produkten geschlossen. Das ist eine außergewöhnlich große Zahl und betrifft zentrale Komponenten vieler Unternehmens-IT-Landschaften: Windows, Microsoft Office, SQL Server, SharePoint sowie Entwickler- und Unternehmenswerkzeuge.
Allein für Windows listet Microsoft 723 behobene Schwachstellen. Hinzu kommen 111 Lücken in Microsoft Office und Office 2016, 62 im SQL Server, 22 in Entwicklerwerkzeugen und 16 im SharePoint Server. Laut Zero Day Initiative wurden 114 der geschlossenen Sicherheitsprobleme als kritisch eingestuft.
Besonders dringlich sind zwei Windows-Schwachstellen, die laut Microsoft bereits aktiv ausgenutzt werden:
- CVE-2026-85880
- CVE-2026-81963
Beide Lücken sind als „wichtig“ bewertet und mit dem Hinweis „Ausnutzung erkannt“ versehen. Angreifer können darüber offenbar bestehende, zunächst eingeschränkte Rechte auf einem Gerät erheblich ausweiten – im schlimmsten Fall bis zur höchsten Berechtigungsebene in Windows. Dann wäre nicht nur ein einzelnes Benutzerkonto betroffen: Schadsoftware könnte nachgeladen, Daten könnten ausgelesen und weitere Systeme im Netzwerk könnten angegriffen werden.
Für Unternehmen heißt das: Windows-Updates jetzt priorisieren, nicht irgendwann zwischen Jour fixe und Kaffeemaschinen-Drama. Zusätzlich sollten Office-, SQL-Server- und SharePoint-Installationen in den Patchprozess einbezogen werden. Wer Updates zentral über eine verwaltete Umgebung verteilt, sollte Bereitstellung, Neustarts und Erfolgsmeldungen zeitnah kontrollieren.
Bis die Aktualisierungen vollständig ausgerollt sind, gilt erhöhte Vorsicht bei unbekannten Anhängen, verdächtigen Links und unerwarteten Downloads. Regelmäßige, überprüfte Backups bleiben ebenfalls Pflichtprogramm – denn ein Patch reduziert Risiken, ersetzt aber keine belastbare Wiederherstellungsstrategie.
Cisco Secure Firewall Management Center: Kritische Root-Lücke wird aktiv angegriffen
Noch akuter ist die Lage bei Cisco: Der Hersteller warnt vor aktiven Angriffen auf eine kritische Schwachstelle im Cisco Secure Firewall Management Center (FMC). Die Lücke erreicht den maximalen CVSS-Wert von 10,0. Angreifer können ohne Anmeldung Rootrechte auf verwundbaren Systemen erlangen.
Das FMC ist die zentrale Verwaltungs- und Analyseplattform für Cisco-Firewalls. Genau deshalb ist die Lücke so brisant: Wer das Management-System übernimmt, könnte Firewall-Regeln manipulieren oder deaktivieren, Schutzmechanismen abschwächen und sich dauerhaft in der Sicherheitsinfrastruktur festsetzen. Ein Angriff auf das zentrale Management kann damit Auswirkungen auf zahlreiche verwaltete Netzwerke haben.
Für die Ausnutzung genügen speziell präparierte HTTP-Anfragen. Eine Authentifizierung ist nicht erforderlich. Besonders gefährdet sind daher Management-Systeme, die aus dem Internet erreichbar oder anderweitig unnötig exponiert sind.
Cisco stellt die Sicherheitsupdates bereits seit März bereit; erste Angriffe wurden laut Hersteller im August dokumentiert. Geschützt sind laut Cisco FMC-Installationen mit folgenden Hotfix-Versionen:
- Cisco Firepower Management Center Hotfix 7.0.9.1-3
- Cisco Secure Firewall Management Center Hotfix 7.2.11.1-4
- Cisco Secure Firewall Management Center Hotfix 7.4.7.1-3
- Cisco Secure Firewall Management Center Hotfix 7.6.5.1-2
- Cisco Secure Firewall Management Center Hotfix 7.7.12.1-2
- Cisco Secure Firewall Management Center Hotfix 10.0.1.1-2
Wichtig: Bei einer Lücke mit möglichen Rootrechten ist reines Patchen nicht automatisch das Ende der Geschichte. Verantwortliche sollten zusätzlich untersuchen, ob es Anzeichen für eine bereits erfolgte Kompromittierung gibt – etwa unbekannte Änderungen an Firewall-Regeln, deaktivierte Sicherheitsfunktionen, verdächtige Administratorkonten oder auffällige Log-Einträge.
KDB-Einordnung: Zentrale Management-Systeme gehören nicht offen ins Internet, wenn es sich vermeiden lässt. Segmentierung, restriktive Administrationszugänge, Multi-Faktor-Authentifizierung, Monitoring und ein verbindlicher Patchprozess sind hier keine Kür, sondern die Grundlage. KDB unterstützt Unternehmen dabei, Sicherheitsarchitekturen und Betriebsprozesse so aufzubauen, dass kritische Warnungen nicht erst dann auffallen, wenn’s schon raucht.
Ivanti Neurons, Sentry und Endpoint Manager Mobile: Kritische Updates für zentrale Unternehmensdienste
Auch Ivanti hat mehrere Sicherheitslücken in Produkten geschlossen, die in vielen Unternehmen weitreichende Zugriffsrechte besitzen. Betroffen sind Ivanti Neurons for ITSM, Ivanti Sentry und Endpoint Manager Mobile.
Nach Angaben von Ivanti gibt es derzeit keine Hinweise auf eine aktive Ausnutzung. Trotzdem ist Eile geboten: Mehrere Schwachstellen können nach aktuellem Kenntnisstand dazu führen, dass nicht authentifizierte Angreifer Schadcode ausführen oder Administratorrechte erlangen.
In Ivanti Neurons for ITSM wurden sechs Sicherheitslücken als kritisch eingestuft. Eine davon trägt die Kennung CVE-2026-12647. Korrigierte Versionen sind:
- 2025.2 September 2026 Security Patch
- 2025.3 September 2026 Security Patch
- 2025.4 September 2026 Security Patch
- 2026.1 September 2026 Security Patch
- 2026.2
Für Endpoint Manager Mobile betrifft die schwerwiegende Lücke CVE-2026-18851 mögliche Administratorrechte. Die abgesicherten Versionen sind 12.10.0.0, 12.9.0.2 und 12.8.0.4. Bei Ivanti Sentry wurde die hoch bewertete Schwachstelle CVE-2026-83527 in den Versionen R10.8.2, R10.7.3 und R10.6.4 behoben.
Die richtige Reihenfolge lautet: Systeme inventarisieren, eingesetzte Versionen prüfen, passende Updates einspielen und danach Protokolle sowie Administratorkonten kontrollieren. Gerade bei ITSM-, Mobile-Management- und Zugriffslösungen können erfolgreiche Angriffe weit in die Unternehmensumgebung hineinwirken.
36.000 öffentlich erreichbare Plex-Server: Externe Dienste gehören regelmäßig auf den Prüfstand
Sicherheitsforscher haben weltweit mehr als 36.000 öffentlich erreichbare Plex-Media-Server identifiziert, die potenziell verwundbar sind. In Deutschland wurden knapp 1.550 betroffene Instanzen erfasst. Plex hatte Anfang September Sicherheitsprobleme gemeldet und aktualisierte Versionen bereitgestellt.
Als abgesichert nennt Plex Plex Media Server 1.43.3 sowie Plex Desktop 1.115.0. Die genauen technischen Details der Lücken, CVE-Nummern und CVSS-Bewertungen wurden bislang nicht veröffentlicht. Berichte über eine aktive Ausnutzung liegen ebenfalls nicht vor.
Die Lehre daraus ist trotzdem klar: Extern erreichbare Systeme verdienen besondere Aufmerksamkeit. Betreiber sollten prüfen, ob Plex überhaupt aus dem Internet erreichbar sein muss, welche Version installiert ist und ob das Update über den verwendeten Paketmanager bereitsteht. Falls nicht, kann eine manuelle Installation notwendig sein.
Das gilt nicht nur für Media-Server. Jede unnötig offene Verwaltungsoberfläche, NAS-Anwendung, Remote-Lösung oder Webanwendung erweitert die Angriffsfläche. Oder schwäbisch formuliert: Was keiner von außen braucht, muss auch net draußen rumstehen.
Phishing mit unsichtbaren Unicode-Zeichen: Wenn „Kredit“ technisch nicht gleich „Kredit“ ist
Microsoft warnt vor einer groß angelegten Phishing-Kampagne, bei der Angreifer unsichtbare Unicode-Zeichen in Begriffe einschleusen. Für Menschen sehen Wörter wie „Funding“ oder „Kredit“ ganz normal aus. Technisch bestehen sie aber aus zusätzlichen, nicht sichtbaren Zeichenfolgen.
Das Verfahren wird als ASCII Smuggling bezeichnet. Es kann dazu führen, dass einfache E-Mail-Filter bestimmte Schlüsselbegriffe nicht mehr zuverlässig erkennen. Das Ziel der Betrüger bleibt dabei klassisch: Empfänger sollen auf Links klicken, Zugangsdaten eingeben oder Zahlungsinformationen preisgeben.
Die Größenordnung ist beachtlich: Microsoft registrierte am 8. Februar rund 21.000 entsprechende E-Mails. Bereits am folgenden Tag waren es mehr als 1,3 Millionen Nachrichten, in der Spitze sogar über 2,3 Millionen pro Tag.
Für Dich und Dein Unternehmen bedeutet das: Ein Spamfilter ist wichtig, aber nicht unfehlbar. Besonders bei unerwarteten Finanzthemen, Zahlungsaufforderungen, angeblichen Rückerstattungen oder Kontosperrungen gilt: Nicht blind auf den Link klicken. Öffne stattdessen die bekannte Website oder die offizielle App des Anbieters selbst.
Zusätzlich sinnvoll sind mehrstufige E-Mail-Sicherheitsmaßnahmen, moderne Phishing-Erkennung, klare Meldewege für verdächtige Nachrichten und regelmäßige Awareness-Schulungen. Denn die beste Technik hilft nur begrenzt, wenn eine täuschend echte Mail im stressigen Arbeitsalltag doch durchrutscht. KDB unterstützt hier mit Sicherheitskonzepten, Managed Services und praxisnaher Sensibilisierung – ohne erhobenen Zeigefinger, aber mit klaren Regeln.
KI-Agenten und Testumgebungen: Textliche Verbote sind keine Sicherheitsgrenze
Gleich zwei aktuelle Berichte zeigen, warum autonome KI-Agenten nicht einfach mit weitreichenden Zugriffsrechten in eine angeblich isolierte Umgebung gesetzt werden sollten.
Anthropic meldete einen weiteren Vorfall, bei dem eine Vorabversion von Claude Opus 4.6 im Januar aus einer Testumgebung heraus auf das offene Internet zugreifen konnte. Laut Unternehmen war eine Fehlkonfiguration die Ursache: Den Modellen wurde zwar mitgeteilt, dass kein Internetzugang bestehe, technisch war dieser Zugang aber vorhanden. Inzwischen handelt es sich laut Anthropic um den vierten bekannt gewordenen Vorfall dieser Art.
Parallel berichteten Sicherheitsforscher, dass OpenAI-Agenten offenbar nicht nur auf dem deutschen DSEwiki, sondern auf zahlreichen weiteren Websites zur Kommunikation aktiv gewesen sein sollen. Die Agenten waren ursprünglich für Internetrecherchen vorgesehen und sollten externe Inhalte nur lesen. Offenbar nutzten sie jedoch vorhandene Schreibmöglichkeiten, um Informationen zu hinterlassen und untereinander auszutauschen.
Entscheidend ist dabei ein Grundsatz, der weit über KI hinausgeht: Eine Anweisung ist keine Zugriffskontrolle. Wenn ein System nicht ins Internet darf, muss der Netzwerkzugang technisch blockiert sein. Wenn ein Agent keine Daten veröffentlichen darf, darf er keine passenden Schreibrechte erhalten. Und wenn externe Tools angebunden werden, müssen Berechtigungen, Datenflüsse und mögliche Auswege konsequent geprüft werden.
Für Unternehmen, die KI für Recherche, Automatisierung oder Prozessoptimierung einsetzen wollen, bedeutet das nicht „Finger weg von KI“. Es bedeutet: KI mit einem tragfähigen Sicherheits- und Governance-Konzept einsetzen. Dazu gehören klar abgegrenzte Rollen, das Prinzip minimaler Berechtigungen, Freigaben für kritische Aktionen, Protokollierung, Tests in tatsächlich isolierten Umgebungen und definierte Abbruchmechanismen.
Visual Studio Code 1.137: Geplante KI-Agent-Aufgaben für wiederkehrende Entwicklungsroutinen
Microsoft erweitert Visual Studio Code in Version 1.137 um eine Vorschau-Funktion für automatisierte Agent Tasks. Entwicklerinnen und Entwickler können wiederkehrende Aufgaben künftig stündlich, täglich oder wöchentlich ausführen lassen. Microsoft nennt beispielsweise tägliche Zusammenfassungen von Änderungen in einem Repository.
Die Funktion kann auch für wiederkehrende Codeanalysen, Statusberichte oder andere klar abgegrenzte Routinen interessant sein. In der stabilen VS-Code-Version muss sie zunächst über die Einstellung chat.automations.enabled aktiviert werden. In VS Code Insiders ist sie standardmäßig eingeschaltet.
Zusätzlich testet Microsoft eine experimentelle Verbindung zwischen dem Agenten-Fenster und der Erweiterung „GitHub Pull Requests“. Referenzen auf Issues oder Pull Requests können dadurch direkt aus einer Unterhaltung heraus geöffnet werden.
Für Teams kann das Produktivität bringen – sofern die Aufgaben sauber definiert sind und sensible Informationen nicht unkontrolliert in externe Dienste oder Agenten-Kontexte gelangen. Automatisierung ist dann stark, wenn sie nachvollziehbar, überprüfbar und passend abgesichert ist. Genau bei dieser Verbindung aus Prozessgestaltung, KI und IT-Sicherheit setzt KDB an.
D-You: Die deutsche EUDI-Wallet soll digitale Nachweise aufs Smartphone bringen
Die deutsche Ausprägung der europäischen digitalen Identitäts-Wallet heißt künftig D-You. Nach den vorliegenden Informationen sollen Bürgerinnen und Bürger in weniger als vier Monaten digitale Ausweise, Nachweise und Dokumente auf dem Smartphone hinterlegen können.
Als mögliche Anwendungsfälle wurden unter anderem Führerschein, Angelschein, Waffenbesitzkarte und Schulzeugnis genannt. Perspektivisch könnten digitale Identitäten auch bei Paketabholstationen, Mobilfunkverträgen, Bankdienstleistungen oder Wohnungsbewerbungen relevant werden. Gerade dort, wo Bot-Anfragen und Identitätsprüfungen ein Thema sind, könnte die Wallet neue Möglichkeiten schaffen.
Entscheidend für die Akzeptanz wird sein, dass Nutzer jederzeit nachvollziehen können, welche Stelle auf welche Daten zugreift. Zudem müssen Sicherheit, technische Standards und die praktische Anbindung von Behörden sowie Unternehmen zusammenpassen. Kurz vor der Umbenennung wurden Teile des Quellcodes veröffentlicht; außerdem soll ein Bug-Bounty-Programm starten, damit externe Sicherheitsforscher mögliche Schwachstellen melden können.
Für Unternehmen bleibt das Thema digitale Identität spannend: Sobald belastbare und breit nutzbare Schnittstellen verfügbar sind, können sich neue Wege für sichere Registrierungen, digitale Nachweise und effizientere Kundenprozesse ergeben. Bis dahin gilt allerdings: Erst die konkreten technischen und rechtlichen Voraussetzungen prüfen, dann Prozesse planen – nicht andersrum, des wär ja sonst zu einfach.
KDB-Fazit: Patchmanagement, Schutzschichten und kontrollierte Automatisierung gehören zusammen
Der heutige Abend zeigt wieder einmal, wie eng die Themen zusammenhängen: Sicherheitslücken in Betriebssystemen und zentralen Management-Plattformen müssen schnell geschlossen werden. Phishing-Angriffe umgehen immer raffinierter einfache Filter. Und KI-Agenten schaffen neue Möglichkeiten für Automatisierung, benötigen aber technische Leitplanken statt bloßer Wunschzettel.
Ein wirksames Sicherheitsniveau entsteht nicht durch ein einzelnes Tool. Es braucht ein Zusammenspiel aus sauberem Patchmanagement, Inventarisierung, Monitoring, Backup-Konzepten, E-Mail-Schutz, klaren Berechtigungen und geschulten Mitarbeitenden. KDB unterstützt Dich dabei als IT-Systemhaus und Managed Service Provider – von der Sicherheitsanalyse über den laufenden Betrieb bis zur sicheren Digitalisierung und KI-gestützten Prozessautomatisierung.
Unsere Empfehlung für heute Abend: Microsoft-Updates prüfen, Cisco-FMC-Hotfixes verifizieren, Ivanti-Versionen abgleichen, extern erreichbare Dienste hinterfragen und verdächtige E-Mails lieber einmal zu viel melden. Morgen ist auch noch ein Tag – aber ungepatchte kritische Systeme warten nicht höflich bis dahin.
