Cyber-Rückblick KW 44: PHP brennt, Sony blutet, Warp stolpert

Willkommen zurück zum wöchentlichen Nachlauf. Der Oktober will einfach nicht aufhören zu brennen, und ehrlich gesagt: wir auch nicht. Diese Woche qualmt es an mehreren Ecken gleichzeitig, also schnall dich an.

PHP2Shell: Der Patch ist da, die Angreifer leider auch

Die PHP2Shell-Lücken (CVE-2026-109618 und CVE-2026-109619, beide CVSS 9.2) lassen das halbe Web zittern. Die PHP Foundation hat am 21. Oktober gepatcht, nur: ausgenutzt wird trotzdem munter weiter. Angreifer nahmen internetexponierte Management-Interfaces von Palo-Alto-Firewalls ins Visier, eine mutmaßlich China-nahe Gruppe kombinierte das Ganze mit einer Linux-Kernel-Rechteausweitung ('Fragnesia', CVE-2026-46300).

CISA hat Fragnesia am 28. Oktober in den Known-Exploited-Katalog aufgenommen. Frist für US-Bundesbehörden: der 31. Oktober, also gerade mal drei Tage. Palo Alto hat zwischen dem 25. und 29. Oktober Hotfixes für alle betroffenen PAN-OS-Versionen nachgeschoben. Deine To-dos: patchen und Management-Interfaces raus aus dem offenen Netz. Beides, nicht nur eins.

Sony So-net: 2,58 Millionen Gründe für ein neues Passwort

Sony Network Communications hat sich einen ordentlichen Datenabfluss eingefangen. Angriff am 19. Oktober, bestätigt am 23., offengelegt am 27.: rund 2,58 Millionen Datensätze aus den Diensten So-net und plala, inklusive Namen, Kontaktdaten und Nutzer-IDs.

Der unschöne Teil: Bei etwa 54.400 E-Mail-Adressen lagen die zugehörigen Passwörter mit drin, dazu 16 Bankkonto-Datensätze. Kreditkartendaten sollen laut Sony nicht betroffen sein, und die Passwörter der betroffenen E-Mail-Dienste wurden zurückgesetzt. Phishing und Credential Stuffing lassen trotzdem herzlich grüßen.

Warp: Wenn die KI-Bude bei den Nachbarn brennt

Warp, die KI-gestützte Entwicklungsumgebung, musste einen Sicherheitsvorfall bei einem Drittanbieter einräumen. Entdeckt am 23. Oktober, von CEO Zach Lloyd am 26. öffentlich gemacht, laut ihm etwa 1 Prozent der Nutzer betroffen. Exponiert wurden offenbar Logs und Telemetrie der KI-Agenten. CrowdStrike ermittelt.

Die Lektion ist so alt wie langweilig und trotzdem richtig: Deine Lieferkette ist deine Angriffsfläche. Wer fremde Infrastruktur nutzt, erbt deren Risiken gleich mit dazu.

GitHub unter Token-Beschuss: die Gheist-Kampagne

Wiz Research hat am 25. Oktober eine Kampagne öffentlich gemacht, die mit gestohlenen GitHub-Tokens arbeitet. Das Ergebnis: über 13.500 bösartige Branches in mehr als 850 kompromittierten Accounts, mit manipulierten Workflows, die Repository-Secrets über die Logs absaugen. Inklusive Versuchen, AWS Secrets Manager abzugrasen.

Wenn du CI/CD nutzt (und das tust du): Tokens rotieren, verdächtige Workflow-Änderungen prüfen, und bitte keine Secrets in die Logs schreiben.

Tailscale 'Tailworm': kurz durchatmen, dann updaten

In Tailscale SSH und Serve klaffte eine Rechteausweitung (Bericht veröffentlicht am 24. Oktober): Über das Socket-Forwarding von Tailscale SSH konnten berechtigte Nutzer mehr Rechte bekommen als vorgesehen, im schlimmsten Fall root. Kein unauthentifizierter Zugriff, aber trotzdem unschön. Der Fix steckt in Version 1.104.4, laut Tailscale seit dem 28. Oktober verfügbar. Update einspielen, SSH-Forwarding einschränken, fertig.

Kurz notiert

• ConnectWise Cloud Backup: Microsoft ordnet den Lieferketten-Angriff über missbrauchte App-Identitäten in angebundenen Microsoft-365-Tenants der China-nahen Gruppe Storm-0940 zu. App-Identitäten fliegen gern unter dem Radar.
• eMudhra: acht Intermediate-CAs mit schwachen Schlüsseln durch einen Skriptfehler. Laut eMudhra wurden darüber keine Endnutzer-Zertifikate ausgestellt, Mozilla, Google und Apple haben trotzdem gesperrt. Am 22. Oktober kündigte eMudhra den Ausstieg aus dem globalen TLS-Geschäft an.

Das war die Woche. Moral wie immer: Patchen ist kein Hobby, sondern Hygiene. Management-Interfaces gehören nicht ins offene Netz, Tokens wollen rotiert werden, und sensible Daten gehören nicht in die erstbeste Datenbank ohne Schloss. Mach MFA an. Think purple.