Die erste Woche des Oktober 2026 war von mehreren bedeutenden Ereignissen geprägt: der dritten Festnahme im Fall ShinyHunters, der Beschlagnahme von Werkzeugen der Gruppierung Flax Typhoon, der massenhaften Veröffentlichung kritischer Patches durch Atlassian, Fortinet und Dutzende weiterer Hersteller sowie dem Auftauchen einer neuen Klasse von Techniken – dem Einbetten von Anweisungen in natürlicher Sprache in Malware, um AI-Analysatoren zu täuschen. Im Folgenden finden Sie eine Analyse der wichtigsten Ereignisse mit Bewertung der Auswirkungen und Empfehlungen.
Kritische Schwachstellen der Woche
Atlassian: beliebiger Dateizugriff (CVE-2026-21589)
Die Schwachstelle CVE-2026-21589 (CVSS 9.3) betrifft zahlreiche Atlassian-Data-Center-Produkte: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible und Fisheye. Die Schwachstelle ermöglicht beliebigen Zugriff auf Dateien auf dem Server. Laut dem Sicherheitshinweis von Atlassian muss der Angreifer für eine Ausnutzung den exakten Namen und Pfad der Zieldatei im Voraus kennen – ein Auflisten von Verzeichnissen ist nicht möglich.
Ein wichtiger Aspekt für die Risikobewertung: Die Cloud-Produkte von Atlassian wurden bereits gepatcht, und der Hersteller gibt an, keine Anzeichen einer Ausnutzung in der Cloud-Umgebung festgestellt zu haben. Dringende Maßnahmen sind daher nur für Organisationen erforderlich, die selbst verwaltete (Data Center) Installationen einsetzen. Diese Unterscheidung ist wesentlich und bestimmt die Priorität der Reaktion.
Laut The Hacker News begann die Ausnutzung der Schwachstelle in Honeypot-Netzwerken bereits zwei Stunden nach der Veröffentlichung der technischen Details durch die Forscher von watchTowr. In den primären, verifizierbaren Quellen ließ sich jedoch keine unabhängige Bestätigung einer aktiven Ausnutzung finden.
Fortinet FortiPAM: Umgehung der Authentifizierung in der Chrome-Erweiterung
Fortinet hat den Sicherheitshinweis FG-IR-26-168 mit einem CVSSv3-Score von 9.6 veröffentlicht, der eine Schwachstelle zur Umgehung der Authentifizierung (CWE-287) beschreibt. Bemerkenswert ist eine Diskrepanz: Die Überschrift des Hinweises verweist auf den „FortiPAM Server“, während der eigentliche Text die Schwachstelle explizit in der Fortinet Privileged Access Agent Chrome Extension beschreibt. Die Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, den Browser-Traffic eines Nutzers beim Besuch einer schädlichen Website über kontrollierte Server umzuleiten.
Zammad: zwei Zero-Days mit Ausnutzung in freier Wildbahn
Zwei Schwachstellen im Ticketsystem Zammad – CVE-2026-102489 (Remote Code Execution, Versionen 6.3.0–6.5.4) und CVE-2026-102490 (Rechteausweitung, alle Versionen 1.5.0–7.1.0-alpha) – wurden als Zero-Day bei dem Angriff auf das Niederländische Institut für die Offenlegung von Schwachstellen (DIVD) ausgenutzt. CISA nahm beide Schwachstellen am 2. Oktober in den Katalog der Known Exploited Vulnerabilities mit einer Frist zur Behebung bis zum 5. Oktober 2026 auf.
Maßnahmen der Strafverfolgungsbehörden
Dritte Festnahme im Fall ShinyHunters
Das FBI gab die dritte Festnahme im Rahmen der Ermittlungen zur Aktivitäten der Gruppierung ShinyHunters bekannt, die mit dem Vorfall auf der Plattform FBIjobs.gov in Verbindung gebracht wird. Laut Gerichtsunterlagen und unabhängigen Journalisten handelt es sich bei dem Festgenommenen um Edward Dubrovsky – einen 54-jährigen kanadischen IT-Sicherheitsleiter und Investor aus Toronto. Ihm werden Verschwörung zur Erpressung und Behinderung geschäftlicher Tätigkeit durch Drohungen vorgeworfen. Die Gruppierung selbst kündigte in ihrem Telegram-Kanal an, ihre Aktivitäten auf der Plattform aufgrund der Festnahmen einstellen zu wollen.
Beschlagnahme der Werkzeuge von Flax Typhoon
Dem Statement des US-Justizministeriums zufolge führte das FBI eine gerichtlich angeordnete Beschlagnahme der Werkzeuge Microscan (Aufklärung und Schwachstellenscans) und FishHub (gezieltes Phishing und Auslieferung von Payloads) durch, die mit der chinesischen APT-Gruppierung Flax Typhoon und der Firma Integrity Technology Group in Verbindung gebracht werden. Laut DOJ zählten zu den Zielen von Microscan ein Energieunternehmen in South Carolina, Flughäfen in Japan und Polen sowie taiwanische Gas- und Energieinfrastruktur. FishHub wurde den Anklageunterlagen zufolge gegen etwa 20 taiwanische Universitäten eingesetzt.
Unter den beschlagnahmten Domains, die mit der Auslieferung von FishHub in Verbindung stehen:
- 98aicai[.]com
- 98aicode[.]com
- outlook3650[.]com
- youtubecard[.]com
- linkedinns[.]net
Wir haben bereits über Schwachstellen in Cisco-Produkten geschrieben, die ebenfalls im Zusammenhang mit Angriffen auf kritische Infrastrukturen erwähnt wurden.
Neue Techniken: AI-Umgehung in Malware
Laut einer Untersuchung von Cisco Talos beginnen Malware-Autoren damit, Anweisungen in natürlicher Sprache direkt in den Code einzubetten – mit dem Ziel, die Ergebnisse der automatisierten AI-Analyse zu beeinflussen. Die Technik, die den Namen AI-Analysis Evasion (A3) erhalten hat, wurde in vier Malware-Familien gefunden: FRUITSHELL, PLOTSAFE, HOLLOWCLAD und MANTLEMAZE. Insgesamt wurden 84 Samples für den Zeitraum von Januar 2025 bis Juli 2026 analysiert.
Die Methoden reichen von anti-analytischen Kommentaren im Quellcode bis hin zu vorgefertigten Anweisungen, die Warnungen vor einer Honeypot-Umgebung imitieren. Nach Einschätzung von Talos verschoben solche Techniken das Ergebnis der AI-Analyse im besten Fall in etwa 35 % der Testläufe zugunsten des Angreifers. Gleichzeitig stellen die Forscher fest, dass die Notwendigkeit, die Anweisungen im Klartext zu speichern, eine stabile Angriffsfläche für die Erkennung schafft – Organisationen, die AI-Werkzeuge zur Malware-Analyse einsetzen, können Erkennungsregeln gezielt auf diese Textmuster aufbauen.
Akira: typische Angriffskette
Die Untersuchung einer Huntress-Analyse zum Angriff der Gruppierung Akira im September ergab eine charakteristische Abfolge von Aktionen: anfänglicher Zugriff über RDP, Deaktivierung des Antivirenprogramms, Einsatz von Rclone zur Datenexfiltration, Einrichtung eines GOST-Tunnels (mutmaßlich zur Sicherung des persistenten Zugriffs) und abschließende Ausbringung des Verschlüsselungstrojaners. Zu den Indikatoren einer Kompromittierung gehört die IP-Adresse des C2-Servers des GOST-Tunnels: 64.227.4.134. Dieser Indikator ist spezifisch für den konkreten Vorfall und erfordert eine kontextbezogene Validierung vor einer Sperrung.
Weitere wichtige Ereignisse
Nach Angaben von OpenAI wurden zwei Einflussoperationen – eine russische (Dark Clark) und eine iranische (Bogus Bylines) – unterbunden, die ChatGPT zur Erstellung fiktiver journalistischer Identitäten und Thinktanks nutzten. Die iranische Operation konnte erfolgreich fast 100 Artikel in verschiedenen Publikationen platzieren, von denen einige ein Publikum von 2 Millionen Abonnenten auf Facebook erreichten. OpenAI weist darauf hin, dass der konkrete Akteur hinter der iranischen Operation nicht identifiziert werden konnte.
Die Statistik von Comparitech für Q3 2026 verzeichnet rekordverdächtige 2.627 Ransomware-Vorfälle – ein Anstieg um 29 % gegenüber dem vorangegangenen Quartal und um 61 % gegenüber Q3 2025. Die mediane Lösegeldforderung lag bei 150.000 US-Dollar, der Durchschnitt bei 602.400 US-Dollar.
Empfehlungen
- Atlassian Data Center: Aktualisieren Sie alle selbst verwalteten Installationen von Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible und Fisheye umgehend auf die in den Herstellerhinweisen genannten Versionen. Kunden der Cloud-Produkte müssen nichts unternehmen.
- Zammad: Aktualisieren Sie auf eine Version, die CVE-2026-102489 und CVE-2026-102490 behebt. US-Bundesbehörden waren verpflichtet, das Patchen bis zum 5. Oktober abzuschließen.
- FortiPAM: Prüfen Sie, ob die Erweiterung Fortinet Privileged Access Agent in Chrome-Browsern vorhanden ist, und spielen Sie das Update gemäß dem Sicherheitshinweis von Fortinet ein.
- Flax Typhoon IOC: Überprüfen Sie Ihre Netzwerk-Logs auf Zugriffe auf die genannten Domains (98aicai[.]com, outlook3650[.]com u. a.) und blockieren Sie diese.
- Akira: Überwachen Sie den Einsatz von Rclone und GOST in der Unternehmensumgebung, schränken Sie den RDP-Zugang ein und überprüfen Sie die Integrität der Antivirenagenten.
Die Woche zeigte zwei parallele Tendenzen: Die Strafverfolgungsbehörden erhöhen den Druck auf Cybercrime-Gruppierungen (ShinyHunters, Flax Typhoon, Empire Market), gleichzeitig erschließen Angreifer grundlegend neue Techniken – von der Täuschung von AI-Analysatoren bis zur Ausnutzung von Schwachstellen innerhalb weniger Stunden nach deren Offenlegung. Priorität für Sicherheitsteams in den kommenden Tagen haben das Patchen von Atlassian Data Center und Zammad sowie die Überprüfung der Infrastruktur auf Indikatoren von Flax Typhoon.
