KDB-Tech-Update am Abend: Kritische Zugänge, alte Schnittstellen und KI mit Augenmaß
Guten Abend zum KDB-Tech-Update! Heute wird’s sicherheitsrelevant – und zwar gleich an mehreren neuralgischen Stellen: Eine aktiv ausgenutzte Oracle-Lücke mit Höchstwertung, eine kritische Kontoübernahme-Schwachstelle in Keycloak und angreifbare VPN-Gateways von TP-Link Omada verlangen jetzt zügiges Handeln. Außerdem schauen wir auf das kommende Ende von Exchange Web Services, lokale KI-Funktionen in Microsoft PowerToys und neue Entwicklungen bei der Absicherung sensibler KI-Chats. Kurz gesagt: Zugangssysteme, Netzwerkgrenzen und Datenflüsse bitte nicht auf gut Schwäbisch „wird scho guat ganga“ behandeln.
Oracle unter Beschuss: CVSS 10,0 und aktive Angriffe auf WebLogic-Komponenten
Die US-Cybersicherheitsbehörde CISA warnt vor aktiven Angriffen auf die kritische Schwachstelle CVE-2026-21962. Betroffen sind Oracle HTTP Server sowie das Oracle WebLogic Server Proxy Plug-in. Mit einem CVSS-Wert von 10,0 erreicht die Lücke die höchste mögliche Kritikalitätsstufe.
Besonders heikel: Angreifer können die Schwachstelle aus dem Internet heraus ohne vorherige Anmeldung ausnutzen und betroffene Systeme vollständig kompromittieren. Ursache ist offenbar ein Fehler bei der Normalisierung von URIs. Manipulierte Pfadangaben können Schutzmechanismen umgehen und Path-Traversal-Angriffe ermöglichen. Im schlechtesten Fall erhalten Angreifer Zugriff auf eigentlich nicht erreichbare Dateien und Verzeichnisse, erweitern Berechtigungen oder schleusen eigenen Schadcode ein.
Nach aktuellem Stand stehen insbesondere diese Versionen im Fokus:
- Oracle HTTP Server und Oracle WebLogic Server Proxy Plug-in 12.2.1.4.0
- Version 14.1.1.0.0
- Version 14.1.2.0.0
Oracle hat bereits mit dem Critical Patch Update vom Januar Sicherheitsupdates bereitgestellt. Weil technische Informationen und Proof-of-Concept-Code öffentlich verfügbar sind, ist Abwarten hier keine Strategie. Im Gegenteil: Öffentlich erreichbare Systeme geraten nach bekannt gewordenen Lücken erfahrungsgemäß besonders schnell ins Visier.
Was jetzt zu tun ist: Inventarisiere Oracle-Installationen, gleiche Versionen ab, installiere die verfügbaren Updates und prüfe Protokolle, Prozesse, Konfigurationen sowie Berechtigungen auf Auffälligkeiten. Sind betroffene Systeme direkt aus dem Internet erreichbar, sollte eine mögliche Kompromittierung ernsthaft in Betracht gezogen werden. Relevante Logs sichern, Zugriffsrechte prüfen, verdächtige Instanzen isolieren und bei Bedarf nach dem Incident-Response-Plan vorgehen.
Bei KDB gehört genau das zur Sicherheitsroutine: Sichtbarkeit schaffen, Schwachstellen priorisieren, Updates kontrolliert ausrollen und im Ernstfall sauber reagieren. Denn ein ungepatchter Webserver ist kein mutiges Risiko – eher eine Einladung mit Leuchtreklame.
Keycloak: Passwort-Reset kann zur vollständigen Kontoübernahme führen
Auch bei zentralen Identitätsplattformen ist Alarmstufe hoch. In Keycloak wurde mit CVE-2026-18963 eine kritische Sicherheitslücke geschlossen, die mit CVSS 9,1 bewertet wird. Die Schwachstelle betrifft die Passwort-Reset-Funktion und kann es nicht angemeldeten Angreifern ermöglichen, beliebige Benutzerkonten zu übernehmen – auch Administratorkonten.
Nach den vorliegenden Informationen genügt die Kenntnis eines Benutzernamens oder einer E-Mail-Adresse. Ein Angreifer kann einen Passwort-Reset anstoßen und den Ablauf offenbar abschließen, ohne dass er Zugriff auf die Reset-E-Mail des eigentlichen Kontoinhabers besitzt. Damit fällt ausgerechnet die Sicherheitsbarriere weg, auf die dieser Prozess normalerweise baut.
Betroffen ist das Release-Umfeld vor der korrigierten Version Keycloak 26.7.2. Teile der Korrekturen wurden zudem in weiterhin unterstützte ältere Reihen zurückportiert. Neben der kritischen Reset-Lücke wurden weitere Sicherheitsprobleme geschlossen, darunter Risiken bei OpenTelemetry, bei OIDC-Kontoverknüpfungen, in der Admin-REST-API und bei Berechtigungsprüfungen.
Für Unternehmen, die Keycloak für Single Sign-on, Benutzerverwaltung und den Zugriff auf interne oder externe Anwendungen einsetzen, ist das besonders relevant. Ein übernommenes Admin-Konto kann weitreichende Folgen haben: Rollen ändern, Anwendungen freischalten, Identitäten manipulieren oder den Zugriff auf angebundene Dienste ausweiten.
Unsere Empfehlung: Aktualisiere Keycloak zeitnah auf eine abgesicherte Version. Kontrolliere danach Passwort-Reset-Anfragen, Kennwortänderungen, ungewöhnliche Anmeldungen, neu angelegte oder veränderte Benutzerkonten, Rollenänderungen und Client-Konfigurationen. Bei privilegierten Konten sollten Zugangsdaten und aktive Sitzungen im Zweifel zurückgesetzt werden.
TP-Link Omada: Kritische Lücke am VPN-Gateway
Netzwerkgrenzen sollen schützen – blöd nur, wenn das Gateway selbst die Lücke mitbringt. TP-Link hat mehrere Sicherheitslücken in Omada-Netzwerkgeräten geschlossen. Besonders kritisch ist CVE-2026-19586: Ist auf einem betroffenen Gerät ein OpenVPN-Server aktiv, kann ein Angreifer bereits durch einen Verbindungsversuch ohne Anmeldung aus der Ferne Befehle ausführen und möglicherweise die Kontrolle über das Gateway übernehmen.
Genannt werden insbesondere die professionell genutzten Gigabit-Multi-WAN-VPN-Router ER605 und TL-R605. Omada-Komponenten kommen häufig in kleineren und mittleren Unternehmen, Hotels, Praxen oder Filialumgebungen zum Einsatz – also genau dort, wo IT zwar geschäftskritisch ist, aber nicht immer ein großes Security-Team danebensteht.
Zwei weitere Fehler betreffen Captive-Portal-Sitzungen und die Dynamic-DNS-Funktion. Bei letzterer können Zugangsdaten für externe DDNS-Dienste unverschlüsselt übertragen werden. Das ist ebenfalls kein Detail, das man unter den Teppich kehren sollte: Mitgeschnittene Zugangsdaten können Folgeangriffe ermöglichen.
Jetzt prüfen:
- Genaues Gerätemodell und Hardwareversion ermitteln.
- Passende aktuelle Firmware ausschließlich aus dem offiziellen TP-Link-Supportbereich einspielen.
- OpenVPN-Zugänge prüfen und nicht benötigte Dienste deaktivieren.
- VPN-Zugriffe, wo möglich, auf vertrauenswürdige Quellnetze beschränken.
- Den Einsatz von Dynamic DNS und die dafür hinterlegten Zugangsdaten überprüfen.
Ein Firmware-Update bleibt die zentrale Maßnahme. Übergangsschutz durch Einschränkungen ist sinnvoll, ersetzt aber keine Fehlerbehebung.
Phishing bleibt Alltag: PayPal, Google und Amazon werden als Köder missbraucht
Gleich drei aktuelle Betrugsmaschen zeigen, wie professionell Social Engineering inzwischen funktioniert. Gefälschte PayPal-Mails warnen vor angeblich blockierten Temu-Käufen und verdächtigen Logins. Eine fingierte Google-Sicherheitswarnung fragt Smartphone-Nutzer, ob sie bestimmte SMS versendet hätten. Und gefälschte Amazon-SMS fordern Empfänger auf, mit „STOP“ zu antworten.
Das gemeinsame Muster: Angst, Zeitdruck und bekannte Marken. Bei PayPal sollen angebliche Kontogefahren zum Klick auf eine gefälschte Login-Seite führen. Die Google-Masche imitiert eine offizielle Warnung, verwendet aber eine fremde Domain. Bei Amazon kann sogar die Antwort „STOP“ problematisch sein: Sie bestätigt den Kriminellen möglicherweise, dass die Telefonnummer aktiv ist und gelesen wird.
Die wichtigste Regel bleibt erfreulich simpel: Nicht klicken, nicht antworten, keine Daten eingeben. Konten prüfst Du ausschließlich über die offizielle App oder eine selbst eingegebene Webadresse. Verdächtige E-Mails, SMS und Webseiten gehören gelöscht, blockiert oder als Spam gemeldet.
Für Unternehmen ist das mehr als ein Verbraucherthema. Ein einziger erfolgreicher Phishing-Angriff kann Zugangsdaten zu Microsoft 365, Cloud-Diensten, Zahlungsplattformen oder internen Anwendungen liefern. Deshalb braucht es neben technischen Schutzmaßnahmen auch regelmäßige Security-Awareness-Schulungen, klare Meldewege und Mehrfaktor-Authentifizierung. KDB unterstützt dabei, Sicherheitsbewusstsein in den Arbeitsalltag zu bringen – ohne erhobenen Zeigefinger, aber mit Praxisbezug.
Microsoft 365: Exchange Web Services laufen aus – jetzt Abhängigkeiten aufdecken
Microsoft erinnert an das Ende der Exchange Web Services, kurz EWS, in Exchange Online. Die alte Schnittstelle wird ab dem 1. Oktober 2026 schrittweise eingeschränkt beziehungsweise abgeschaltet. Am 1. April 2027 soll dann endgültig Schluss sein. Als Nachfolger empfiehlt Microsoft die Microsoft Graph API.
Das betrifft vor allem ältere Anwendungen, Add-ons und Integrationen, die über EWS auf E-Mails, Kalender, Kontakte oder Postfächer zugreifen. Wer solche Abhängigkeiten nicht rechtzeitig erkennt, riskiert im Herbst 2026 oder spätestens im Frühjahr 2027 unangenehme Ausfälle.
Für die Übergangsphase führt Microsoft auf Tenant-Ebene die Einstellung EWSAllowedAppIDs ein. Damit lassen sich Anwendungen gezielt identifizieren und vorübergehend freigeben. Ab dem 1. Oktober 2026 reicht es allerdings nicht mehr, EWS pauschal aktiviert zu lassen: Ohne definierte Liste erlaubter App-IDs wird der EWS-Datenverkehr blockiert. Die Whitelist ist somit ein Werkzeug für die kontrollierte Migration, kein Dauerparklatz für alte Integrationen.
Der sinnvolle Fahrplan:
- EWS-Nutzung im Microsoft-365-Tenant erfassen.
- Interne Anwendungen, Drittanbieter-Software und individuelle Integrationen identifizieren.
- Hersteller auf Updates oder Graph-Unterstützung prüfen.
- Eigene Anwendungen auf Microsoft Graph migrieren und umfassend testen.
- Verbliebene Übergangsfälle gezielt über EWSAllowedAppIDs steuern.
KDB begleitet solche Modernisierungen von der Bestandsaufnahme bis zur sicheren Umsetzung. Gerade bei gewachsenen Microsoft-365-Umgebungen ist es Gold wert, nicht erst bei einem Ausfall festzustellen, welche Anwendung seit Jahren still und heimlich an einer alten Schnittstelle hängt.
PowerToys 0.101: Lokale KI für produktiveres Arbeiten
Microsoft hat PowerToys 0.101 veröffentlicht und baut die kostenlose Windows-Werkzeugsammlung weiter aus. Besonders interessant für datensensible Arbeitsabläufe ist die neue Möglichkeit, KI-Funktionen beim „Erweiterten Einfügen“ lokal auf dem Windows-PC auszuführen.
Dafür wird einmalig Microsofts Modell Phi Silica heruntergeladen und installiert. Anschließend können Inhalte beim Einfügen lokal verarbeitet werden, beispielsweise um Text aus Bildern zu extrahieren. Wer mit vertraulichen Informationen arbeitet oder nicht jede Aufgabe an einen Cloud-Dienst senden möchte, erhält damit eine interessante Option. Lokale und Cloud-Modelle lassen sich laut Microsoft auch kombinieren – je nachdem, welche Aufgabe ansteht und welches Schutz- oder Qualitätsniveau gebraucht wird.
Weitere Neuerungen sind „Windows Hopper“ zum Wechseln zwischen Fenstern innerhalb derselben Anwendung, ein reduzierter Modus für die Befehlspalette sowie PowerDisplay zur gemeinsamen Helligkeitssteuerung mehrerer Bildschirme.
Der KDB-Blick darauf: KI im Arbeitsalltag ist dann stark, wenn sie Prozesse wirklich vereinfacht und die Datenwege transparent bleiben. Lokal ausgeführte KI kann ein sinnvoller Baustein sein – aber bitte mit sauberer Prüfung, klaren Regeln und einem passenden Einsatzszenario. KI um der KI willen? Des isch eher Spielzeug als Digitalisierung.
ChatGPT: Schutz für sensible Chats und neue Grenzen für intensive Nutzung
OpenAI arbeitet offenbar an einer Funktion, mit der einzelne ChatGPT-Unterhaltungen per PIN oder Fingerabdruck geschützt werden können. Hinweise darauf stammen aus einer Analyse einer Android-Testversion; offiziell angekündigt ist die Funktion bislang nicht.
Gesperrte Chats sollen aus Seitenleiste, Verlauf und Suche verschwinden und erst nach erfolgreicher Entsperrung sichtbar werden. Zudem könnten Informationen aus diesen Unterhaltungen in einem getrennten Speicherbereich verarbeitet werden, sodass sie nicht in ungeschützte Gespräche einfließen. Das wäre ein sinnvoller Schritt für mehr Privatsphäre auf gemeinsam genutzten oder unzureichend geschützten Smartphones.
Gleichzeitig führt OpenAI für ChatGPT-Plus-Nutzer ab dem 26. August 2026 wieder ein Fünf-Stunden-Limit für Codex und ChatGPT Work ein. Die Begrenzung soll die Serverlast besser verteilen und verhindern, dass das wöchentliche Nutzungskontingent in kurzer Zeit aufgebraucht wird. Für Pro-Abonnenten bleibt das kürzere Limit zunächst deaktiviert.
Für Unternehmen bleibt die Kernfrage unabhängig von neuen Komfort- und Schutzfunktionen: Welche Daten dürfen in externe KI-Dienste eingegeben werden, welche Kontrollen gibt es und für welche Aufgaben ist ein lokales oder unternehmenskontrolliertes KI-Setup die bessere Wahl? KDB hilft Dir dabei, KI nicht nur kreativ, sondern auch sicher und nachvollziehbar in Prozesse zu integrieren.
Unser Fazit: Identitäten, Updates und klare Leitplanken gehören ganz nach oben
Die heutige Lage zeigt ziemlich deutlich: Angreifer suchen nicht nur nach offenen Servern, sondern auch nach schwachen Identitätsprozessen, ungepatchten Netzwerkkomponenten und unaufmerksamen Nutzern. Oracle, Keycloak und Omada stehen für drei besonders dringende technische Baustellen. Parallel verlangt das EWS-Ende nach einer rechtzeitigen Modernisierung von Microsoft-365-Integrationen.
Und bei KI gilt: Produktivität und Datenschutz müssen zusammen gedacht werden. Lokale KI-Ansätze, klare Berechtigungen und verbindliche Regeln für sensible Informationen sind keine Spaßbremsen, sondern die Grundlage dafür, dass Digitalisierung dauerhaft funktioniert.
Du möchtest wissen, ob kritische Systeme, Zugänge und Microsoft-365-Integrationen bei Dir sauber aufgestellt sind? KDB unterstützt Dich mit IT-Sicherheitschecks, Patch- und Update-Management, Managed Services, Prozessautomatisierung und praxistauglichen KI-Konzepten. Damit aus „hoffentlich passiert nix“ wieder ein belastbarer Plan wird.
