Black October: Welche Vorfälle Ihre Kundenprojekte betreffen

Eine Woche, elf Vorfälle

Das Etikett „Black October“ stammt nicht von einer Behörde oder einem Hersteller, sondern aus Beiträgen in sozialen Medien, die die Meldungen von zwei Tagen zu einer Liste zusammenfassten. Die Liste ist lang, aber die Dichte täuscht: Mehrere der Vorfälle begannen Wochen oder Monate vor ihrer Bekanntgabe. Die GlobalProtect-Lücke wird laut Unit 42 seit Juni ausgenutzt, die HTTP/3-Fehler hat FoxIO den Herstellern seit November 2025 gemeldet, bei Zeabur begann der Zugriff am 14. Oktober, bei TeamUpdraft am 17. Oktober. Was sich in der Woche häufte, waren die Veröffentlichungen, nicht unbedingt die Angriffe.

Für eine Agentur zählt eine andere Sortierung: Welche Meldung betrifft die Laufzeiten, Plattformen und Werkzeuge, auf denen Kundenprojekte laufen, und was ist dort zu tun. Die Tabelle fasst elf Vorfälle so zusammen. Sieben davon haben einen eigenen Beitrag, vier sind hier abgehandelt. Jede Zeile hat unter Quellen eine Primärquelle: den Hinweis des Projekts, den Bericht des Unternehmens oder die Analyse der Forscher, die den Fehler gefunden haben.

Laufzeiten: Node.js und PHP

Am 21. Oktober hat das Node.js-Projekt zehn Lücken geschlossen. Eine davon, CVE-2026-111497 im mitgelieferten Brotli-Decoder, lässt präparierte komprimierte Daten über das Ende eines Puffers hinaus schreiben, bis hin zur Ausführung fremden Codes. Korrigiert sind 22.23.4, 24.22.1 und 26.12.1; Node.js 20 erhält keine Korrektur. Betroffen ist jeder Prozess, der fremde Brotli-Daten entpackt, über fetch() oder über die Body-Parser von Express 5. Welche Pfade das sind und wie ein Inventar auch Container und CI erfasst, steht im Beitrag Node2Shell: Die Node.js-Lücke im Brotli-Decoder.

Am selben Tag erschienen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 gegen zwei Lücken, die das Projekt als kritisch einstuft und die ohne Anmeldung zur Codeausführung führen können, zusammen PHP2Shell genannt. Betroffen ist jede PHP-Installation, die Webanfragen bedient, also jede WordPress-, Shopware- oder TYPO3-Seite, bis der Interpreter darunter aktualisiert ist. Der Workaround über session.upload_progress überbrückt, ersetzt das Update aber nicht. Die Prüfliste für Agenturen mit vielen Kundenseiten steht im Beitrag PHP2Shell: Zwei kritische PHP-Lücken und Ihre Kundenprojekte.

Plattformen: Railway, Zeabur und Onamae

Railway berichtet, dass ein Angreifer vom 20. bis 22. Oktober über die Build-Infrastruktur an Zugangsdaten der CI-Umgebung kam und verschlüsselte Umgebungsvariablen abfragte, von denen er einen Teil entschlüsseln konnte. Betroffen sind höchstens 1,85 Prozent der Workspaces, aber Railway kann nicht sagen, welche, und bittet jeden Kunden mit einem Konto von vor dem 21. Oktober, seine Secrets zu rotieren. Zeabur berichtet einen Zugriff ab dem 14. Oktober über einen AWS-Schlüssel und ein Admin-Token ohne Ablaufdatum, das seit Januar 2026 im Klartext in einem Konfigurations-Repository lag; gelesen wurden die Daten von 321.810 Konten und über 3,2 Millionen Umgebungsvariablen. Am 17. Oktober kündigte Zeabur die Einstellung an: Verlängerungen enden am 1. Dezember, alles endet am 31. Dezember. Was beide Berichte gemeinsam haben und wie ein Exit-Plan aussieht, steht im Beitrag Wenn die Plattform ausfällt: Lehren aus Railway und Zeabur.

Ein dritter Fall kommt aus Japan. GMO Internet teilte am 21. Oktober mit, dass Dritte unbefugt auf den Dienst Onamae.com Desktop Cloud zugegriffen haben. Am 20. Oktober fand das Unternehmen in Serverumgebungen einzelner Kunden eingeschleuste Programme. 26.739 Server könnten betroffen sein; Informationen auf diesen Servern könnten eingesehen worden sein. Ein Abfluss von Kundendaten oder ein Missbrauch der eingesehenen Daten war am 21. Oktober um 4:00 Uhr nicht bestätigt, Zahlungsdaten hält GMO nach eigener Angabe nicht. Seit diesem Zeitpunkt stoppt GMO die Server aller Tarife nacheinander; einen Termin für die Wiederaufnahme nennt die Mitteilung nicht. Kunden sollen jede Kennung und jedes Passwort ändern, das auf den Servern gespeichert oder benutzt wurde, und mit Phishing im Namen des Vorfalls rechnen. Die Lehre deckt sich mit Railway und Zeabur: Ein Vorfall beim Hoster wird zum Vorfall jedes Kunden, der dort Secrets liegen hat.

Zertifikate: eMudhra

Am 17. Oktober um 18:05 UTC erfuhr das Chrome Root Program, dass die privaten Schlüssel von acht Zwischenzertifikaten der Zertifizierungsstelle eMudhra aus zu wenig Zufall erzeugt wurden und sich berechnen lassen. Um 19:45 UTC sperrte Chrome die Schlüssel über ein CRLSet-Update, Firefox folgte über OneCRL. Vor der Sperre war kein Zertifikat aus diesen Ketten in den Protokollen der Certificate Transparency eingetragen. Chrome entfernt am 27. Oktober die Wurzel emSign ECC Root CA - G3; wer ein Zertifikat aus dieser Kette einsetzt, braucht bis dahin ein neues aus einer anderen. Für Programme mit eigenem Vertrauensspeicher, von Go bis zum Container-Image, bleibt das Risiko, bis ihr Speicher aktualisiert ist. Was CAA, Certificate Transparency und Trust-Store-Pflege leisten, steht im Beitrag eMudhra: Acht CA-Schlüssel berechenbar, was Ihre Domains jetzt schützt.

WordPress: UpdraftCentral

TeamUpdraft, der Anbieter des Backup-Plugins UpdraftPlus, fand am Wochenende des 17. und 18. Oktober einen unbefugten Zugriff auf seine Website und geht davon aus, dass seine Kundendatenbank gelesen wurde, mit den Verbindungsschlüsseln für UpdraftCentral, UpdraftVault und UpdraftClone. Mit den Schlüsseln sendeten Angreifer signierte Befehle an verbundene WordPress-Seiten und installierten Backdoor-Plugins unter 99 Namen, beobachtet von Patchstack zwischen dem 18. Oktober, 15:32 Uhr, und dem 19. Oktober, 9:23 Uhr. Das Plugin selbst hat keinen Fehler; die Abhilfe ist, den Schlüssel zu löschen, Administratorkonten und Plugins zu prüfen und Speicherzugänge zu erneuern. Für Agenturen, die Dutzende Seiten aus einer Konsole warten, ist das die wichtigste Meldung der Woche. Der Beitrag UpdraftCentral: Gestohlene Schlüssel öffnen WordPress-Seiten geht sie Schritt für Schritt durch.

KI-Werkzeuge: LiteLLM

Am 21. Oktober erschien LiteLLM 1.107.0 auf PyPI und Docker Hub mit einem Schadprogramm, das beim Start des Python-Interpreters lief und Cloud-Token, Schlüssel, Browser-Daten und Umgebungsvariablen an einen fremden Server sendete. Nach Angaben von LiteLLM wurde die Veröffentlichung über die GitHub-Konten dreier Mitarbeitender ausgelöst, mit gestohlenen OAuth-Token der GitHub-CLI; die Version war binnen Stunden entfernt. Wer sie installiert hat, behandelt alle erreichbaren Zugangsdaten als offengelegt und pinnt 1.106.2. Der Vorfall ist der zweite dieser Art im Jahr, und er trifft ein Werkzeug, das in vielen Agenturprojekten zwischen Anwendung und KI-Anbieter steht. Der Beitrag LiteLLM 1.107.0: Lieferkettenangriff auf ein KI-Werkzeug beschreibt den Ablauf und was Projekte mit KI-Abhängigkeiten daraus ableiten.

Entwicklung: GitLab

GitLab veröffentlichte am 21. Oktober Korrekturen für zwölf Fehler, darunter CVE-2026-110264 mit der höchsten Bewertung 10,0: ein Ganzzahlüberlauf im Compiler für reguläre Ausdrücke, der einem nicht angemeldeten Nutzer die Ausführung fremden Codes auf dem Server erlauben konnte. Betroffen sind alle Versionen seit 7.0; korrigiert sind 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13. GitLab.com und GitLab Dedicated sind gepatcht, einen Workaround gibt es nicht. Wer für Kunden oder sich selbst ein GitLab betreibt, aktualisiert; wer bei GitLab.com liegt, hat nichts zu tun. Der Beitrag GitLab CVSS 10: Update für jede selbst betriebene Instanz nennt die Versionen je Zweig und die Erkennungsmerkmale, die GitLab angibt.

Edge und Netz: HTTP/3, NGINX und GlobalProtect

FoxIO beschrieb am 20. Oktober unter dem Namen „Header Accordions“ Fehler in der QPACK-Dekompression von HTTP/3-Servern. Eine einzige Verbindung kann den Speicher oder den Prozessor eines Servers ausschöpfen; die Forscher schreiben: „One connection is enough to OOM or pin a default-configured server.“ Korrigiert sind quic-go 0.57.0 (CVE-2025-64702), Cloudflares quiche 0.29.3 (CVE-2026-12523), lsquic 4.9.0 sowie Wireshark 4.6.2 und 4.4.12; bei Veröffentlichung ohne Korrektur waren Bun, aioquic und die Rust-Bibliothek h3. Es geht um Verfügbarkeit, nicht um Datendiebstahl oder Codeausführung. quic-go ist die Bibliothek hinter Caddy, Traefik und cloudflared; die Meldungen an die Hersteller begannen am 9. November 2025. Wer HTTP/3 anbietet, aktualisiert die Bibliothek oder schaltet das Protokoll ab, bis das möglich ist.

NGINX veröffentlichte am 14. Oktober die Versionen 1.30.6 und 1.31.7 gegen eine Reihe von Fehlern, darunter ein Pufferüberlauf bei alias zusammen mit rewrite (CVE-2026-15176), ein Use-after-free bei asynchroner Datei-Ein- und Ausgabe (CVE-2026-97205) und ein Pufferüberlauf in der Auswertung von Skriptvariablen (CVE-2026-93479). F5 stuft diese drei in seinem außerplanmäßigen Hinweis als kritisch ein, mit 9,2 nach CVSS v4; nginx.org führt sie in seiner Liste als medium. Beide Lesarten passen zusammen: Ob ein Server verwundbar ist, hängt von seiner Konfiguration ab, und Angriffe sind nicht gemeldet. Aktualisieren und die Konfiguration auf die genannten Direktiven prüfen, ist der Schritt.

CVE-2026-0257 ist eine Umgehung der Anmeldung in Portal und Gateway von GlobalProtect auf PAN-OS, seit Mai 2026 korrigiert und seit dem 13. Mai im KEV-Katalog der CISA. Unit 42 beobachtet die Ausnutzung seit Juni und ergänzte seinen Bericht am 19. und 20. Oktober: Jetzt nutzen die Ransomware-Gruppen, die Unit 42 als Spikey Scorpius (Qilin) und Tarnished Scorpius (Inc) führt, die Lücke für den Einstieg. Der beobachtete Weg: eine VPN-Sitzung ohne MFA, dann die vCenter-Verwaltung, abgeschaltete Schutzfunktionen auf ESXi-Hosts und Zugangsdaten aus der virtuellen Festplatte eines Domänencontrollers. Die Abhilfe: ein eigenes Zertifikat nur für die Authentication-Override-Cookies oder Authentication Override ganz aus, der Patch, und die Suche nach den Indikatoren, die Unit 42 nennt. Für Agenturen betrifft das weniger die eigenen Projekte als die Netze von Kunden, in die sie per VPN kommen.

Was das für Kunden von obhut heißt

Zu den vier Vorfällen, die hier ohne eigenen Beitrag stehen, ist der Stand bei obhut kurz. Der Caddy der Steuerungsebene und der Statusseiten spricht HTTP/1.1 und HTTP/2, kein HTTP/3, und der Edge in Go enthält keinen QUIC-Code; die QPACK-Fehler erreichen obhut nicht. Der Edge von obhut besteht aus Caddy und eigenem Go-Code, nicht aus NGINX. Zu GlobalProtect und zu Onamae gibt es keinen Bezug. Was die übrigen sieben Vorfälle für Kunden von obhut bedeuten, steht im jeweiligen Beitrag in einem Abschnitt gleichen Namens, mit dem, was obhut geprüft oder geändert hat, und mit dem, was offen ist.

Was nicht auf dieser Liste steht

Die Listen in sozialen Medien führen weitere Meldungen aus derselben Woche. Sie betreffen Endgeräte, einzelne Unternehmen oder Branchen ohne Bezug zu Agenturprojekten: keine Laufzeit, Plattform oder Bibliothek, die in einem Kundenprojekt steckt. Wir haben sie nicht gegen Primärquellen geprüft und führen sie deshalb hier nicht auf. Wer eine davon für sein Haus einordnen muss, liest die Mitteilung des betroffenen Herstellers, nicht die Zusammenfassung.

Häufige Fragen

Woher kommt der Name „Black October“?

Aus sozialen Medien. Beiträge vom 21. und 22. Oktober zählten die Meldungen von zwei Tagen zusammen und gaben der Woche den Namen. Keine Behörde und kein Hersteller verwendet ihn. Mehrere der Vorfälle begannen lange vorher; die Woche war eine Woche der Veröffentlichungen.

Muss ich alles sofort tun?

Nein, aber in einer Reihenfolge. Zuerst, was von außen ohne Anmeldung erreichbar ist und Codeausführung erlaubt: PHP, Node.js in Diensten mit Body-Parsern, ein selbst betriebenes GitLab. Dann gestohlene Schlüssel, bei denen jede Stunde zählt: UpdraftCentral, Secrets auf Railway und Zeabur, LiteLLM 1.107.0, Onamae. Dann Zertifikatsketten und Trust Stores. Zuletzt Verfügbarkeit und Konfiguration: HTTP/3 und NGINX. GlobalProtect gehört den Netzen, die es einsetzen.

Wie halte ich solche Wochen künftig aus?

Mit drei Dingen, die vor der Woche da sein müssen. Ein Inventar, das je Kunde Laufzeiten, Plattformen, Plugins und Schlüssel nennt, damit eine Meldung in eine Liste von Projekten übersetzt werden kann statt in eine Suche. Ein fester Takt für Updates, mit Ausnahmen für Sicherheitsreleases, damit das Update zur Routine wird. Und Wartungsverträge, die diese Arbeit vorsehen und bezahlen, wie sie der Beitrag zu Wartung und Betrieb beschreibt. Wer das hat, arbeitet in so einer Woche eine Liste ab. Wer es nicht hat, improvisiert.