Cyber-Rückblick KW 45: WordPress im Umzugsstress, Zyxels Patch daneben, Paint im Store-Exil

Servus und willkommen zur KW 45. Diese Woche lernen wir drei Dinge: Ein Update ist nur so sicher wie die paar Minuten, in denen es läuft. Ein gepatchtes Gerät ist nur so gepatcht, wie der Hersteller die richtige Lücke erwischt hat. Und Paint hat jetzt Allüren. Schnall dich an.

WordPress: Überfall im Umzugskarton

Die US-Cyberbehörde CISA hat CVE-2026-119977 in WordPress Core in ihren KEV-Katalog aufgenommen, die Liste nachweislich ausgenutzter Lücken. Es ist eine Race Condition vom Typ TOCTOU (zwischen Prüfen und Benutzen ändert jemand heimlich die Spielregeln): Während eines vollständigen Core-Upgrades liegen Staging-Pfade vorhersagbar und per Web erreichbar herum. Wer im richtigen Moment zugreift, führt ohne Login Code auf deinem Server aus. CVSS 8,1.

Laut Wordfence gab es in den ersten 21 Stunden nach Bekanntwerden mehr als 18.500 Angriffs-Requests auf die Installer-Pfade, zum Zeitpunkt des Berichts 12.632 geblockte Angriffe in 24 Stunden. US-Bundesbehörden hatten bis 6. November Zeit. Du hast keine Frist, du hast nur Angreifer. Die Patches sind seit Ende Oktober draußen: Core aktualisieren, Auto-Updates prüfen und in den Logs nach Zugriffen auf setup-config.php suchen.

# WordPress-Version prüfen und aktualisieren (WP-CLI)
wp core version
wp core check-update
wp core update

# Zugriffe auf den Installer im Access-Log suchen (Pfad ggf. anpassen)
grep -i "setup-config.php" /var/log/nginx/access.log* | tail -n 50

Zyxel: Der Patch, der die falsche Tür abgeschlossen hat

Erinnerst du dich an die rund 1.000 gekaperten Zyxel-Switches aus dem Spätsommer? Die wurden bisher CVE-2026-7273 zugeschrieben, einer schon im Juni gepatchten Lücke. Binarly hat jetzt gezeigt: Die Angreifer nutzten eine ganz andere, bis dahin unbekannte Schwachstelle, also einen echten Zero-Day. Der Patch für die alte Lücke war gegen diese Angriffe schlicht wirkungslos.

Die neue Lücke heißt CVE-2026-107441, steckt im CGI-Programm der Firmware der GS1900-Serie (Out-of-Bounds-Write, CVSS 8,8) und erlaubt unauthentifizierten Angreifern per präparierter HTTP-Anfrage Befehle auf dem Gerät. Betroffen sind zehn GS1900-Modelle, Zyxel hat laut SecurityWeek am 23. Oktober Fixes ausgerollt und am 3. November das Advisory veröffentlicht. Also: Firmware aktualisieren und das Webinterface raus aus dem Internet. Merksatz: Ein Switch-Login gehört ins Verwaltungsnetz, nicht ins Schaufenster.

D-Link: Zero-Days ab Werk, Patch kommt irgendwann

D-Link warnt vor mehreren Zero-Day-Lücken im Switch DGS-3130-30TS, über mehrere Firmware-Versionen hinweg. Die Schwachstellen stecken im D-Link Discovery Protocol (DDP, damit finden sich Geräte im Netz gegenseitig) und erlauben das Abgreifen sensibler Gerätedaten, unerlaubte Konfigurationsänderungen, das Leaken von SNMP-Communities und Neustarts. CVE-Nummern und Firmware-Fix: Fehlanzeige.

Der Angreifer muss zwar schon in deinem Netz sein. Für Norbert kein Hindernis, der hat das Gäste-WLAN-Passwort ja schon auf ein Post-it am Empfang geklebt. Bis zum Patch empfiehlt D-Link:

• DDP deaktivieren.
• Unnötige oder Standard-SNMP-Communities entfernen.
• SSH, Weboberfläche und SNMP nur aus einem isolierten Management-Netz erlauben.
• Ein Offline-Backup der Konfiguration anlegen.
• Logs auf unerwartete Konfigurationsänderungen, Reboots und Factory-Resets beobachten.

Paint: Das Update, das Windows Update nicht kennt

Ja, Paint. Microsoft hat CVE-2026-83844 behoben, eine Remote-Code-Execution-Lücke (Out-of-Bounds-Read) in Windows Paint, Schweregrad Important, CVSS 8,1. Ausgenutzt wird sie laut The Hacker News bisher nicht. Der Haken: Der Fix in Version 11.2609.401.0 kommt nur über den Microsoft Store, nicht über Windows Update. Und weil CVE-Eintrag und NVD noch eine ältere Versionsnummer als behoben führen, winken manche Scanner veraltete Installationen einfach durch.

Paint ist pro Benutzer installiert und kann zusätzlich als provisioniertes Paket für neue Konten herumliegen. Also in einer Admin-PowerShell nachschauen, alles unter 11.2609.401.0 über den Store aktualisieren (in Intune per Store-App-Update) und danach noch einmal prüfen. Wer Paint nicht braucht, darf übers Entfernen nachdenken. Barbara aus der Buchhaltung wird es verkraften, die malt eh lieber in Excel.

# Paint-Versionen aller Benutzer anzeigen (Admin-PowerShell)
Get-AppxPackage -AllUsers -Name Microsoft.Paint |
  Select-Object Version, @{ n = 'Users'; e = { $_.PackageUserInformation.UserSecurityId.Username -join ', ' } }

# Provisioniertes Paket für neue Benutzer prüfen
Get-AppxProvisionedPackage -Online |
  Where-Object DisplayName -eq 'Microsoft.Paint' | Select-Object Version

Kurz notiert

• Binance-Raub: Das FBI ordnet den Diebstahl laut The Hacker News der nordkoreanischen Gruppe TraderTraitor zu. Die Rede ist von 6,43 Milliarden US-Dollar über 11 Blockchains, 2,85 Milliarden wurden eingefroren.
• Phishing-Kit MadApe: Group-IB beschreibt ein Kit für Microsoft-Device-Code-Phishing mit Business-PDFs als Köder und gefälschten Dokumentfreigaben. Warum da selbst MFA nicht hilft, erklären wir im Blog-Post der Woche.

Patchen, prüfen, nochmal prüfen. Und beim nächsten Update nicht nur auf den Fortschrittsbalken schauen. Mach MFA an. Think purple.