Sicherheit der Woche: Cisco-Lücke und PHP-Patch am 21.10.

PHP-Patch am 21. Oktober

2 kritische Lücken, 9,2

Zwei kritische PHP-Lücken mit der Höchstwertung 9,2 bekommen am 21. Oktober 2026 einen Patch. Dazu kommen vier weitere Meldungen dieser Woche, die Schweizer Admins betreffen.

Das Wichtigste in Kürze

• PHP kündigt am 21. Oktober 2026 um 14:00 UTC einen Sicherheitsrelease an. Er schliesst zwei kritische Lücken, beide mit CVSS v4.0 9,2.
• Cisco meldet eine Lücke in Nexus-3000- und 9000-Switches. Gefährdet sind Geräte mit aktivierter MPLS-OAM-Funktion. Angreifer könnten Code mit Root-Rechten ausführen.
• LiteLLM sollte auf Version 1.83.9 oder neuer. Check Point fand zwei Lücken im weit verbreiteten KI-Gateway.
• Die Oktober-Updates für Windows Server legen Exchange lahm. Zudem sind beim Datenabfluss von PK Softech laut Bericht praktisch alle Bundesangestellten betroffen.

Cisco Nexus: Fernzugriff mit Root-Rechten

Cisco beschreibt eine Lücke in der MPLS-OAM-Funktion von NX-OS. Sie betrifft die Nexus-3000- und 9000-Serie. Ein Angreifer ohne Anmeldung kann ein präpariertes MPLS-Echo-Paket an eine IP-Adresse des Geräts schicken. Das erlaubt Code mit Root-Rechten oder einen Absturz mit Neustart. Hintergrund ist eine fehlerhafte Prüfung beim Verarbeiten dieses Pakets. Details stehen im Advisory von Cisco.

Dabei ist die Funktion standardmässig aus. Das Papier gehört zu einer Gruppe, die Cisco am 7. Oktober 2026 angekündigt hat. Das genaue Veröffentlichungsdatum nennt der Text nicht.

Ob die Funktion läuft, zeigt der Befehl show feature | include mpls_oam. Cisco rät, die Entschärfung in der eigenen Umgebung zu prüfen. Weitere Hinweise liefert der Konfigurationsleitfaden.

PHP: Kritischer Release am 21. Oktober

Das PHP-Team hat zwei kritische Lücken angekündigt. Beide erreichen CVSS v4.0 9,2. Der Release ist für Mittwoch, 21. Oktober 2026, 14:00 UTC geplant. Das Team behält sich vor, früher zu veröffentlichen. Das gilt, falls Details bekannt werden oder Angriffe auftreten. Die Ankündigung steht in der PHP-Mailingliste. Technische Angaben zu den Lücken fehlen noch.

LiteLLM: Zwei Lücken im KI-Gateway

Check Point warnt vor zwei Schwachstellen in LiteLLM. Das Gateway verwaltet Zugangsdaten, Routing und Limits zwischen Anwendungen und KI-Anbietern. Laut Check Point hat es rund 97 Millionen Downloads pro Monat.

• Die erste Lücke erlaubt Nutzern mit wenigen Rechten, das Gateway zu übernehmen. Sie könnten Serverdateien lesen, Admin-Zugänge ändern und Code ausführen.
• Die zweite Lücke ist eine Server-Side Request Forgery. Angreifer leiten Anfragen um und greifen API-Schlüssel der KI-Anbieter ab.

Deshalb trifft es auch Firmen, die LiteLLM unbemerkt über andere Plattformen nutzen. Check Point empfiehlt Version 1.83.9 oder neuer. Zudem sollten Teams Benutzerkonten prüfen und unnötige löschen. Bei Verdacht auf Zugriff gehören die gespeicherten API-Schlüssel ersetzt. Die Meldung der Netzwoche vom 16. Oktober 2026 fasst die Lage zusammen.

Exchange fällt nach Windows-Updates aus

Das IT Magazine berichtete am 16. Oktober 2026 über Ausfälle nach den Oktober-Updates. Exchange-Systeme stellen laut Anwendern 24 bis 30 Stunden nach der Installation den Dienst ein. Mails laufen nicht mehr, OWA ist nicht erreichbar. Microsoft bestätigt das Problem. Die Ursache liegt laut Microsoft nicht bei den Exchange-Updates. Verantwortlich sind diese Pakete für das Betriebssystem:

• KB5126646 für Windows Server 2025
• KB5126655 für Windows Server 2022
• KB5126651 für Windows Server 2019

Dabei wachsen die Warteschlangen, und OWA zeigt den Fehler MapiExceptionMdbOffline. Im Application Log erscheint die Event ID 1006. Microsoft untersucht den Fall mit Partnern. Eine Lösung nennt der Bericht des IT Magazine nicht.

PK Softech: Datenabfluss trifft fast alle Bundesangestellten

Der Angriff auf den Pensionskassen-Softwarelieferanten PK Softech hat grössere Folgen als zuerst gedacht. Die Netzwoche hat ihren Artikel am 21. Oktober 2026 zuletzt aktualisiert. Sie stützt sich auf den «Tages-Anzeiger». Demnach gehen der Bundesrat und die Sicherheitsbehörden davon aus, dass Daten praktisch aller aktuellen und ehemaligen Angestellten des Bundes und bundesnaher Betriebe abgeflossen sind. Über 100 000 Personen sind betroffen. Ausgenommen sind nur die amtierenden Bundesratsmitglieder.

Die Datensätze enthalten Namen, Geburtsdaten, AHV-Nummern, Adressen, Löhne und Kontaktdaten. Teils kommen Bankverbindungen und Angaben zu Familie hinzu. Hinter dem Angriff steht die Ransomware-Gruppe Akira. Sie fordert Lösegeld. Der Bund hat laut Bericht eine Taskforce eingesetzt, und der Nachrichtendienst verzichtet vorerst auf bestimmte Auslandsoperationen.

Zudem warnten die Kantonspolizeien Zürich und Bern am 15. Oktober 2026 vor betrügerischen Anlageanrufen. Betrüger könnten sich als Finanzberater ausgeben und mit Lohn- und Vorsorgedaten Vertrauen aufbauen. Die Behörden raten davon ab, auf Erpressungsversuche einzugehen.

Einordnung: Was das für Admins in der Schweiz heisst

Dringend ist die Prüfung der Cisco-Switches. Wer MPLS OAM nicht braucht, schaltet die Funktion ab und plant das Update. Für PHP-Systeme gilt der 21. Oktober 2026, 14:00 UTC als Stichtag. Das Team sollte den Patch dann zügig einspielen, denn ein früherer Release ist möglich. Wer LiteLLM nutzt, auch indirekt, prüft die Version und tauscht bei Verdacht die API-Schlüssel. Betreiber von Mailservern behalten die drei genannten Pakete vorerst im Blick, bis Microsoft eine Lösung liefert. Wer vom Datenabfluss bei PK Softech betroffen ist, behandelt Anrufe zu Geldanlagen misstrauisch.

Fazit

Diese Woche stehen fünf konkrete Aufgaben an: Cisco prüfen, PHP-Termin vormerken, LiteLLM aktualisieren, Exchange beobachten und Mitarbeitende vor Anlagebetrug warnen. Beginne mit der Bestandsaufnahme der betroffenen Systeme. Danach folgen die Updates in der Reihenfolge ihrer Dringlichkeit.

Quellen: Cisco Security Advisories, Hacker News, Netzwoche, Netzwoche, IT Magazine. Stand: 25. Oktober 2026.

Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion