Sicherheitslage KW 45: 26 Warnungen für Software im Büroalltag, zwei davon kritisch

Vom 1. November bis 8. November 2026 hat das BSI 26 Mal vor Software gewarnt, die in Betrieben täglich läuft. Zwei davon gelten als kritisch, 14 als hoch und neun als mittel. Dazu kommen drei Schwachstellen, die nachweislich bereits angegriffen werden.

Die Reihenfolge hier folgt nicht der technischen Einstufung, sondern der Frage, wer damit zu tun hat. Was auf dem Schreibtisch läuft, steht oben. Was im Serverschrank läuft, steht unten. Für eine Awareness-Betrachtung ist das die nützlichere Sortierung.

Mailprogramme

Hier kommt an, was Angreifer verschicken. Updates verhindern, dass ein präparierter Anhang von allein losläuft. Sie verhindern nicht, dass jemand ihn öffnet, weil die Mail plausibel wirkt.

• Microsoft Exchange — Einstufung hoch. Meldung beim BSI nachlesen

Browser

Der Browser ist heute das wichtigste Programm im Haus — Postfach, Buchhaltung, Kundenportal laufen darin. Entsprechend lohnend ist er als Ziel, und entsprechend wichtig sind diese Updates.

• Mozilla Firefox und Thunderbird — Einstufung hoch, 9 Meldungen. Meldung beim BSI nachlesen
• Google Chrome und Microsoft Edge — Einstufung hoch, 3 Meldungen. Meldung beim BSI nachlesen
• Apple Safari — Einstufung mittel. Meldung beim BSI nachlesen

Betriebssysteme

Diese Updates macht man einmal und hat Ruhe. Aufgeschoben werden sie trotzdem regelmäßig, weil gerade etwas Wichtigeres ansteht. Das ist menschlich und genau deshalb ein Thema fürs Team, nicht nur für die IT.

• Microsoft Windows — Einstufung kritisch. Meldung beim BSI nachlesen
• Apple macOS — Einstufung hoch. Meldung beim BSI nachlesen
• Apple iOS und iPadOS — Einstufung hoch. Meldung beim BSI nachlesen
• Android — Einstufung hoch, 2 Meldungen. Meldung beim BSI nachlesen

Website und Fachanwendungen

Eine gekaperte Firmenwebsite verschickt Schadsoftware im Namen des Hauses — an genau die Kunden, die dem Absender vertrauen. Das ist Aufgabe der Technik, trifft aber den Ruf.

• WordPress — Einstufung hoch. Meldung beim BSI nachlesen
• TYPO3 — Einstufung mittel. Meldung beim BSI nachlesen

Netzwerk und Server

Diese Geräte stehen an der Außengrenze des Netzes und sind deshalb ein bevorzugtes Ziel. Wenn ein Systemhaus das betreut, ist diese Liste die passende Grundlage für die nächste Rückfrage.

• Zyxel Switch — Einstufung kritisch. Meldung beim BSI nachlesen
• SonicWall — Einstufung hoch. Meldung beim BSI nachlesen
• Cisco Unified Computing System (UCS) — Einstufung mittel. Meldung beim BSI nachlesen
• Cisco Identity Services Engine (ISE) — Einstufung mittel. Meldung beim BSI nachlesen
• Cisco Unified Communications Manager (CUCM) — Einstufung mittel. Meldung beim BSI nachlesen

Das wird bereits angegriffen

Zwischen „es gibt eine Lücke" und „sie wird angegriffen" liegt der entscheidende Unterschied. Die folgenden Schwachstellen stehen im Katalog der US-Cybersicherheitsbehörde für nachweislich ausgenutzte Lücken. Für amerikanische Behörden gilt dann eine Frist — für alle anderen ist es ein sehr deutlicher Hinweis.

• SonicWall SonicOS SSLVPN — CVE-2026-19868, aufgenommen am 06.11.2026.
• Apple Multiple Products — CVE-2024-27834, aufgenommen am 04.11.2026.
• WordPress WordPress Core — CVE-2026-119977, aufgenommen am 03.11.2026.

Was das für Ihr Team bedeutet

• Mailprogramm aktualisieren. Und weil das die häufigste Eintrittstür ist: gleich einmal nachfragen, ob jemand diese Woche etwas Verdächtiges im Postfach hatte.
• Kurz prüfen, ob der Browser aktuell ist. Im Menü unter „Über" steht die Fassung; ein ausstehendes Update wird dort gleich mit angeboten.
• Ausstehende Windows- oder macOS-Updates einspielen, auch wenn der Neustart gerade ungelegen kommt.
• Eine Minute im Team: Wer diese Woche eine verdächtige Mail bekommen hat, erzählt kurz davon. Nichts schärft den Blick so sehr wie ein echtes Beispiel aus dem eigenen Haus.

Thema der Woche: Wenn das Handy dreimal hintereinander fragt

Zwei-Faktor-Anmeldung ist ein großer Gewinn — und hat eine bekannte Schwachstelle: Wer abends zum fünften Mal eine Bestätigung aufs Handy bekommt, tippt irgendwann auf „Ja", um Ruhe zu haben. Genau darauf setzen Angreifer, die das Passwort bereits haben. Die Regel dagegen ist einfach: Eine Anfrage, die ich nicht selbst ausgelöst habe, wird abgelehnt und gemeldet — immer, ohne Ausnahme.

Updates schließen Lücken in Software. Die Lücke, um die es bei unseren Trainings geht, sitzt zwischen einer glaubwürdigen Bitte und einem Klick — und die schließt kein Patch. Wie sich das ändern lässt, steht in der Bedrohungslage.

Quellen

• BSI, Warn- und Informationsdienst (CERT-Bund) — Schwachstellen-Meldungen, Stand 08.11.2026, 18:00 Uhr.
• CISA, Katalog bekannter ausgenutzter Schwachstellen — nachweislich angegriffene Schwachstellen.

Diese Übersicht entsteht automatisch aus den beiden genannten amtlichen Quellen. Gezeigt wird nur, was auf Rechnern in normalen Betrieben läuft; Meldungen zu Serverbibliotheken und Entwicklerwerkzeugen bleiben außen vor.