Cybersicherheit im Oktober 2026: PHP-Notfall, 1.407 Microsoft-Lücken und die Ransomware-Gruppe SafePay

Inhalt in Kürze

• PHP-Notfall am 21. Oktober: Das BSI warnte vor zwei kritischen Lücken in PHP, der Programmiersprache hinter WordPress und vielen anderen Websites. In Nordrhein-Westfalen nahmen Kliniken, Kommunen und Universitäten ihre Seiten vorsorglich vom Netz.
• Patchday am 13. Oktober: Microsoft schloss laut Tenable 1.407 Lücken, eine davon wurde schon vorher angegriffen. Gleichzeitig endeten die letzten Updates für Windows Server 2012 und Office 2021.
• Warnung zu SafePay: CISA, FBI und das LKA Rheinland-Pfalz beschreiben, wie die Gruppe in Firmennetze kommt. Gezielt angegriffen werden Firewalls, VPN-Zugänge und Backup-Server.
• Microsoft-Lagebericht: Deutschland war im ersten Halbjahr 2026 das am stärksten betroffene EU-Land, Ransomware-Angriffe stiegen um 276 Prozent.

Im September ging es um eine angegriffene Firewall-Lücke und um ein Datenleck, gegen das kein Backup half. Im Oktober warnte das BSI vor einer Lücke, noch bevor der Patch erschienen war. Welche der vier Meldungen Ihren Betrieb betrifft und was Sie diese Woche tun sollten, steht hier.

BSI-Warnung: Kritische PHP-Lücken bedrohen Firmenwebsites

Am 21. Oktober 2026 rief das Bundesamt für Sicherheit in der Informationstechnik Betreiber von Webservern zum sofortigen Handeln auf. Betroffen ist PHP, eine Programmiersprache, auf der ein großer Teil aller Websites läuft — darunter WordPress, Typo3, Joomla und viele Online-Shops. Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 verwundbar.

Die beiden Lücken heißen CVE-2026-109618 und CVE-2026-109619, in Berichten auch „PHP2Shell”. Sie haben den Schweregrad 9,2 von 10. Ein Angreifer kann damit aus der Ferne eigenen Code auf dem Webserver ausführen, ohne Passwort und ohne dass jemand etwas anklickt. Das PHP-Projekt stuft das Risiko für Server mit dem Apache-Modul mod_php am höchsten ein. Dort genügt eine einzige Anfrage, bevor die Website-Software überhaupt startet.

Die Folgen waren sichtbar. Laut WDR nahmen allein in Nordrhein-Westfalen viele Kliniken, Kommunen, Universitäten und die Landesregierung ihre Seiten vorsorglich vom Netz. Am 22. Oktober ergänzte das BSI: Auch Hersteller von Netzwerkgeräten veröffentlichen inzwischen Hinweise, weil PHP in ihren Produkten steckt.

Für Sie heißt das: Liegt Ihre Firmenwebsite bei einem Webhoster oder einer Agentur, ist der Dienstleister für das Update zuständig. Ob er es erledigt hat, sollten Sie trotzdem nachfragen.

1. Website-Dienstleister fragen: Welche PHP-Version läuft auf unserer Website, im Shop und im Kundenportal? Sicher sind laut PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
2. Alte Versionen aussortieren: PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Läuft so etwas noch, braucht die Website einen Umzug auf eine aktuelle Version.
3. Geräte im Haus prüfen: Werden Firewall, NAS-Speicher oder Telefonanlage über eine Web-Oberfläche verwaltet, prüfen Sie beim Hersteller, ob ein Hinweis zu PHP2Shell vorliegt, und spielen Sie die Firmware ein.
4. Interne Webanwendungen nicht vergessen: Läuft ein Ticketsystem, eine Zeiterfassung oder ein Intranet mit PHP auf eigenem Server, braucht es dasselbe Update.

Microsoft-Patchday Oktober 2026: 1.407 Lücken und das Ende von Server 2012

Am 13. Oktober 2026 hat Microsoft laut Tenable 1.407 Sicherheitslücken geschlossen. Andere Zählungen kommen auf etwas mehr, je nachdem, welche Produkte mitgerechnet werden. Im September waren es 964 Lücken. Tenable nennt den Oktober den zweiten Monat in Folge mit dem größten Patchday bisher.

Die angegriffene Lücke heißt CVE-2026-96951 und steckt in der Windows Shell, also der Oberfläche, über die Sie Dateien öffnen. Sie hat den Schweregrad 8,8. Windows markiert Dateien aus dem Internet normalerweise und warnt vor dem Öffnen. Über diese Lücke entfällt die Warnung. Der Angriff läuft per E-Mail oder Chat-Nachricht mit präparierter Datei. Die US-Behörde CISA hat die Lücke noch am Patchday in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Wer Exchange Server noch im eigenen Haus betreibt, hat zwei weitere Baustellen: CVE-2026-70571 (kritisch, ausgelöst durch eine präparierte E-Mail an den Server) und CVE-2026-70279 (Schweregrad 9,3). Microsoft hält bei beiden eine Ausnutzung für „wahrscheinlicher”. Dazu kommt CVE-2026-70229 in den Active-Directory-Diensten, also im zentralen Benutzerverzeichnis auf dem Domänencontroller.

Die Meldung mit der längsten Wirkung steht aber am Ende des Tenable-Berichts. Im September haben wir geschrieben, dass Windows Server 2012 nur noch mit kostenpflichtiger Verlängerung (ESU) Updates bekommt. Seit dem 13. Oktober ist auch diese Verlängerung vorbei.

Ein Server ohne Updates bleibt bei jeder künftigen Lücke offen. Ein Rechner mit Windows 11 24H2 lässt sich dagegen auf eine aktuelle Version heben. Wie Sie dabei vorgehen, ohne den Betrieb zu stören, steht in unserem Ratgeber zum Windows-11-Upgrade für Unternehmen. Wer bei 1.407 Lücken pro Monat nicht selbst nachhalten will, welches Gerät welches Update hat, findet das in unseren Managed IT Services mit Patch-Management: Wir prüfen den Installationsstand jedes Geräts.

SafePay: Behörden warnen vor einer der aktivsten Ransomware-Gruppen

Am 20. Oktober 2026 veröffentlichten sechs Behörden eine gemeinsame Warnung zur Ransomware-Gruppe SafePay (Kennung AA26-293A). Ransomware ist Schadsoftware, die Daten verschlüsselt und Lösegeld fordert. Unter den Autoren ist neben CISA, FBI und zwei britischen Behörden das Landeskriminalamt Rheinland-Pfalz. Es hat eigene Ermittlungsergebnisse beigesteuert. Die Behörden zählen seit August 2024 mindestens 600 Opfer in Nord- und Südamerika, Europa und Australien.

Die Warnung beschreibt Schritt für Schritt, wie SafePay vorgeht. Für einen Mittelständler sind vier Punkte entscheidend:

• Der Weg hinein: gestohlene oder erratene Passwörter, Phishing und VPN-Zugänge. Dazu bekannte Lücken in Firewalls von Cisco (ASA/FTD) und SonicWall sowie in der Backup-Software Veeam Backup & Replication. Alle fünf genannten Lücken stehen seit 2023 oder 2024 im CISA-Katalog. Es sind also alte Lücken, für die es längst Updates gibt.
• Die Werkzeuge: Programme, die jede IT-Abteilung kennt — PsExec, Windows-Fernverwaltung, Remotedesktop, AnyDesk und TeamViewer. Ein Virenscanner schlägt bei diesen Programmen nicht automatisch an.
• Der Datenabfluss: Die Täter packen Daten mit 7-Zip oder WinRAR und kopieren sie mit RClone, WinSCP oder über OneDrive nach draußen. Wer nicht zahlt, findet die Daten auf der Leak-Seite der Gruppe wieder. Zusätzlich rufen Mitglieder der Gruppe beim Opfer an, um Druck zu machen.
• Die Sicherungen: SafePay stoppt die Windows-Schattenkopien und setzt NAS-Speicher mit Sicherungsdaten auf Werkseinstellungen zurück. Liegt die einzige Sicherung auf so einem Gerät im Firmennetz, ist sie damit weg.

Die Behörden empfehlen an erster Stelle, Firewalls und andere Geräte am Netzrand zu patchen, Administrator-Werkzeuge auf die Leute zu beschränken, die sie brauchen, und überall eine Anmeldung mit zweitem Faktor einzuführen. So sieht das für einen Betrieb mit 40 Arbeitsplätzen aus:

• VPN nur mit zweitem Faktor: Ein erratenes Passwort darf allein nicht reichen. Wie das in Microsoft 365 sauber eingerichtet wird, zeigt unser Beitrag zu MFA und Conditional Access.
• Firewall und Veeam auf Stand bringen: Firmware der Firewall und Version des Backup-Servers prüfen. Die von SafePay genutzten Lücken sind seit Jahren geschlossen, aber nur auf aktualisierten Geräten.
• Eine Sicherung außer Reichweite: Mindestens eine Kopie muss getrennt vom Firmennetz oder unveränderlich liegen, sodass auch ein Administrator-Konto sie nicht löschen kann.
• Fernwartungs-Programme inventarisieren: Welche Rechner haben AnyDesk oder TeamViewer installiert, und wer braucht das wirklich?

Eine Sicherung, die Erpresser nicht erreichen, ist der Kern unseres Backups für Unternehmen mit Wiederherstellungstest. Die Firewall gehört in denselben festen Ablauf. Unsere Managed Firewall übernimmt Überwachung und Firmware-Updates.

Microsoft-Lagebericht: Deutschland ist das am stärksten betroffene EU-Land

Am 1. Oktober 2026 stellte Microsoft in Berlin die deutschen Zahlen aus dem Microsoft Digital Defense Report 2026 vor. Der Bericht deckt den Zeitraum Juli 2025 bis Juni 2026 ab.

Weltweit liegt Deutschland auf Platz 10. Drei Befunde betreffen Ihre Mitarbeiter direkt:

1. Gefälschte Absender: Fast 85 Prozent der im zweiten Quartal geprüften Phishing-Mails gaben sich als eine bestimmte Person aus — Vorgesetzte, Kollegen, Geschäftspartner. Laut Microsoft imitieren die Täter dafür mit KI den Schreibstil vertrauter Personen.
2. Mail-Bombardierung: Ein Postfach wird mit Massen an Mails geflutet. Danach meldet sich die angebliche IT-Abteilung und bietet Hilfe an. Wer darauf eingeht, gibt sein Passwort preis oder installiert Schadsoftware.
3. Gefälschte KI-Erweiterungen: Browser-Erweiterungen, die angeblich ChatGPT oder DeepSeek unterstützen, lasen die Chats mit. Sie wurden laut Microsoft fast 900.000-mal installiert, in mehr als 20.000 Unternehmen.

Microsoft beschreibt außerdem einen Ransomware-Angriff namens JADEPUFFER aus dem Juli 2026, bei dem KI-Agenten große Teile des Angriffs selbstständig ausführten. Was KI-Agenten für die eigene Sicherheit bedeuten, ordnen wir im Beitrag zu den Sicherheitsrisiken von KI-Agenten im Unternehmen ein.

Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.

Jens HagelGründer, hagel IT-Services GmbH

Die Mail-Bombardierung funktioniert nur, wenn Mitarbeiter nicht wissen, wie die echte IT sich meldet. Legen Sie das fest und sagen Sie es allen: Die IT ruft nie unaufgefordert an und fragt nie nach Passwörtern. Ob Ihr Microsoft-365-Konto gegen die übrigen Tricks abgesichert ist, prüfen Sie hier:

Aus der Praxis: Der Oktober-Aktionsplan

• Website-Dienstleister anschreiben: PHP-Version und Datum des Updates schriftlich bestätigen lassen — für Website, Shop und Kundenportal.
• Oktober-Patchday nachweisen: Alle Windows-Rechner und -Server auf den Stand vom 13. Oktober bringen. Exchange Server und Domänencontroller zuerst.
• Altsysteme zählen: Wie viele Server mit Windows Server 2012, wie viele Rechner mit Office 2021 oder Windows 11 24H2 haben Sie? Für jedes Gerät ein Austausch- oder Upgrade-Datum festlegen.
• Firewall, VPN und Backup-Server prüfen: Firmware aktuell, VPN nur mit zweitem Faktor, eine Sicherung außerhalb des Netzes.
• Mitarbeiter einweisen: Wie meldet sich die echte IT? Diese eine Regel schützt gegen die Mail-Bombardierung.

Den Vormonat können Sie hier nachlesen: Cybersicherheit im September 2026. Alle bisherigen Ausgaben liegen im Hub der Cybersecurity-Reports.