KW 44/2026

Rückblick mit weiterhin bestehendem Handlungsbedarf; keine neue Lücke dieser Berichtswoche.

Was ist passiert?

CERT.at warnt seit 21. Oktober vor CVE-2026-109618 und CVE-2026-109619. Fehler in der Speicherverwaltung können unter bestimmten Voraussetzungen unangemeldeten Angreifern Codeausführung mit den Rechten des PHP-Prozesses erlauben. CVE-2026-109619 kann zusätzlich Speicherinhalte offenlegen. CERT.at nennt einen CVSS-v4-Wert von 9,2.

Wer ist betroffen?

Verwundbare PHP-Installationen, die Webanfragen verarbeiten, darunter Apache mit mod_php und PHP-FPM. Besonders exponierte Webserver müssen priorisiert werden.

Was sollte man tun?

Mindestens PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 einsetzen beziehungsweise die korrigierten Pakete des Distributionsanbieters prüfen. Bei zurückportierten Fixes zählt dessen Sicherheitsmitteilung. Anwendungen und Worker nach dem Update kontrollieren. Ein WordPress-Update allein aktualisiert nicht automatisch die PHP-Laufzeit.

Angriffslage

Die technische Ausnutzbarkeit ist dokumentiert. Aus dieser CERT.at-Mitteilung allein lässt sich keine Zahl erfolgreicher Kompromittierungen ableiten.

CVE-2026-111497 | Herstellerbewertung Red Hat: Important

Was ist passiert?

Ein Speicherfehler im Brotli-Decoder kann beim Entpacken manipulierter Daten Informationen offenlegen, Prozesse zum Absturz bringen oder möglicherweise Codeausführung ermöglichen. Die tatsächliche Gefahr hängt von der Anwendung und ihrem Umgang mit fremden Daten ab.

Wer ist betroffen?

Anwendungen mit verwundbarem Decoder, die Brotli-Daten aus nicht vertrauenswürdigen Quellen verarbeiten. Die bloße Installation einer Bibliothek beweist noch keinen erreichbaren Angriffsweg.

Was sollte man tun?

Betroffene Bibliotheken, Laufzeiten und Container inventarisieren und Herstellerupdates installieren. Bei Red-Hat-Systemen kann die Korrektur je nach Node.js-Paket über die Systembibliothek oder das Node.js-Paket erfolgen. Bis zum Update die Verarbeitung fremder Brotli-Daten soweit praktisch möglich begrenzen.

Einordnung

Red Hat stuft die Schwachstelle wegen der Voraussetzungen und erschwerter Ausnutzung als Important ein. Potenzielle Codeausführung ist nicht mit bestätigten erfolgreichen Angriffen gleichzusetzen.

Neue Entwicklung vom 26./27. Oktober 2026

Was ist passiert?

Microsoft reagiert auf acht kompromittierte private Schlüssel von eMudhra-Zwischenzertifizierungsstellen: sechs für TLS und zwei für Codesignaturen. Damit könnten scheinbar vertrauenswürdige Zertifikate oder Signaturen erzeugt werden. Microsoft beschreibt dies als Problem der eMudhra-Zertifikatshierarchie.

Welche Schutzmaßnahmen gibt es?

Betroffene Zwischenstellen wurden über die Windows-Sperrliste blockiert; Edge und WebView2 erhielten separate Komponentenschutzmaßnahmen. Zusätzlich entfernte Microsoft am 26. Oktober sieben Zertifikate aus der Windows-Vertrauensliste und am 27. Oktober aus der Edge-Vertrauensliste.

Was sollte man tun?

Automatische Windows-Zertifikats- und Edge-Komponentenupdates zulassen. Auch isolierte Geräte prüfen. Eigene Dienste auf Abhängigkeiten von den entfernten Zertifikatsketten untersuchen und nötigenfalls Ersatzzertifikate beschaffen.

Wichtig: Zertifikatswarnungen nicht durch pauschales lokales Wiederherstellen des Vertrauens umgehen. Zuerst die betroffene Anwendung und die Zertifikatskette untersuchen.

CVE-2026-111497 sowie weitere korrigierte Schwachstellen

Was ist passiert?

Microsoft veröffentlichte .NET 8.0.33, 9.0.22, 10.0.14 und .NET 11 Release Candidate 3. Neben dem Brotli-Fehler adressiert die Ausgabe unsichere Eigentümerinformationen bestimmter Linux-Tarballs. Zwei bereits am 13. Oktober behandelte Probleme wurden außerdem nachgebessert.

Wer ist betroffen?

Bei Brotli sind Anwendungen relevant, die vom Angreifer kontrollierte komprimierte Daten verarbeiten. Automatische Request- und HttpClient-Response-Dekomprimierung sind standardmäßig nicht eingeschaltet. .NET Framework ist von dieser Brotli-Schwachstelle nicht betroffen. Microsoft bewertet CVE-2026-111497 in seinem Advisory mit HIGH, CVSS 3.1: 8,1.

Was sollte man tun?

Passende Laufzeit beziehungsweise SDK aktualisieren und Anwendungen neu starten. Self-contained-Anwendungen und Container müssen mit der korrigierten Laufzeit neu gebaut und bereitgestellt werden. Für NativeAOT genügt ein Update der gemeinsam installierten Host-Laufzeit nicht.

Rückblick: betriebliche Folgen der Oktober-Änderungen

Microsoft weist auf die NTLMv1-Härtung in den Oktober-Updates hin. Geräte ohne Credential Guard können bei bestimmten MS-CHAPv2-basierten WLAN-, LAN- oder VPN-Konfigurationen Probleme mit der automatischen Anmeldung bekommen. Betroffene Unternehmen sollten Abhängigkeiten prüfen und zertifikatsbasierte Anmeldung planen.

Windows 11 24H2 Home und Pro haben am 13. Oktober ihr Updateende erreicht; Enterprise und Education folgen einem anderen Lebenszyklus. Windows Server 2022 ist dagegen in den erweiterten Support gewechselt und erhält weiterhin Sicherheitsupdates. Diese Fälle dürfen nicht gleichgesetzt werden.

Empfehlung: Patchstand, Edition und konkrete Authentifizierungskonfiguration prüfen. Sicherheitsfunktionen nicht ohne Prüfung pauschal abschalten.

• Öffentlich erreichbare Webanwendungen und ihre PHP-Laufzeit zuerst kontrollieren.
• Bei Brotli prüfen, ob tatsächlich fremde komprimierte Daten verarbeitet werden.
• .NET-Updates auch in Containern und mitgelieferten Laufzeiten ausrollen.
• Zertifikatsupdates sicherstellen und fehlerhafte Vertrauensketten durch gültige ersetzen.
• Nach Änderungen Funktion und tatsächlich eingesetzte Versionen überprüfen.

Risikostufen: CRITICAL bedeutet dringenden Handlungsbedarf bei betroffenen Systemen; HIGH verlangt zeitnahe Prüfung und Abhilfe; AWARENESS dient der Planung und regelmäßigen Kontrolle. Die redaktionelle Priorität ersetzt keine Prüfung der eigenen Umgebung.