Brotli, Cisco und Sophos: Wenn die Konfiguration über die Angreifbarkeit entscheidet

Zwei neu ausgenutzte Schwachstellen führen den Sicherheitsrückblick dieser Woche an: eine Schwachstelle im weit verbreiteten Brotli-Decoder und ein Problem in Cisco-Firewalls, das Remote-Access-VPNs betrifft. Der OPENVAS ENTERPRISE FEED enthält bereits Checks für beide, dazu einen neuen Sophos-UTM-Check und eine breitere produktspezifische PHP2Shell-Abdeckung. Diese Updates helfen Sicherheitsteams, betroffene Assets in Software, Netzwerkgeräten und Betriebssystempaketen zu finden. In drei der Fälle dieser Woche verrät die Softwareversion allein jedoch nicht, ob ein System angreifbar ist. Das hängt davon ab, wie das Produkt konfiguriert ist; ein Scan-Ergebnis zeigt Ihren Sicherheitsverantwortlichen, wo sie an die Arbeit gehen müssen.

Brotli-Abdeckung reicht von Software bis zu Appliances

CVE-2026-111497 ist ein Out-of-Bounds-Write im Brotli-Decoder von Google. Software, die von Angreifern kontrollierte Brotli-Daten dekomprimiert, kann abstürzen, Speicherinhalte preisgeben oder potenziell Codeausführung ermöglichen. Google, die CVE Numbering Authority für diese Schwachstelle, bewertet sie mit 9,2 nach CVSS 4.0, und die CISA hat sie am 27. Oktober in den Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Betroffen sind die Brotli-Versionen ab 1.0.3 bis vor 1.0.10, ab 1.1.0 bis vor 1.1.1 und ab 1.2.0 bis vor 1.2.1; die behobenen Versionen sind 1.0.10, 1.1.1 und 1.2.1.

Brotli ist eine Bibliothek, die andere Software mitliefert, daher taucht dieselbe CVE in vielen Produkten auf. Das kanadische Cyber Centre nennt Node.js, Microsoft .NET, PowerShell, Bun, Envoy Proxy, Istio sowie die Python-Pakete Brotli und brotlicffi unter den betroffenen Technologien. Node.js hat den eingebundenen Decoder in v22.23.4, v24.22.1 und v26.12.1 behoben.

Greenbone hat Checks für Node.js unter Linux, macOS und Windows sowie einen PAN-OS-Check ergänzt. Die Paketabdeckung wuchs am 2. November um 19 neue Distributions-Advisory-Checks. Diese Breite ist wichtig, weil eine gemeinsam genutzte Komponente in mehreren Produkten und Update-Kanälen auftauchen kann. Stand 3. November umfasst der OPENVAS ENTERPRISE FEED 82 Checks für CVE-2026-111497, darunter:

• Node.js 22.x, 24.x und 26.x: Linux (Paketebene), macOS (Version der ausführbaren Datei) und Windows (Registry)
• Palo Alto PAN-OS 11.2, 12.1 und 12.2: Check auf Paketebene
• 76 Distributions-Advisory-Checks (Paketebene) für AlmaLinux, Amazon Linux, Debian, Fedora, Oracle Linux, Red Hat Enterprise Linux, Rocky Linux, SUSE, openSUSE, Slackware, Ubuntu und openEuler

Bei PAN-OS hängt die Angreifbarkeit von den Einstellungen für Brotli-Inspektion und TLS-Entschlüsselung ab, daher sollten Teams neben der Softwareversion auch die Konfiguration prüfen. Laut Palo Alto Networks sind unter den PAN-OS-Geräten nur PA-Series- und VM-Series-Firewalls angreifbar, die Brotli-komprimierten Datenverkehr bei aktivierter TLS/SSL-Entschlüsselung inspizieren. Die Management-Schnittstelle ist nicht betroffen, ebenso wenig PAN-OS 11.1 und 10.2. Der CLI-Befehl show system setting brotli zeigt, ob die Brotli-Inspektion aktiviert ist. Für PAN-OS 11.2, 12.1 und 12.2 stehen Hotfixes bereit; bis zu deren Installation schaltet set system setting brotli-encoding disable die Brotli-Inspektion ab.

Wenn sich ein Update nicht unverzüglich installieren lässt, empfiehlt das Cyber Centre, betroffene Anwendungen daran zu hindern, Brotli-komprimierte Inhalte aus nicht vertrauenswürdigen Quellen zu verarbeiten, bis das Update eingespielt ist.

Cisco-SSL-VPN-Ausnutzung erhöht die Priorität

CVE-2026-76418 kann es einem nicht authentifizierten Angreifer ermöglichen, ein betroffenes Cisco-ASA- oder -FTD-Gerät über dessen Remote-Access-SSL-VPN-Dienst zum Neustart zu zwingen. Cisco meldet aktive Ausnutzung und bewertet die Schwachstelle mit 8,6 nach CVSS 3.1. Die CISA hat sie am 29. Oktober in den KEV aufgenommen, und auch CERT-FR meldet die Schwachstelle als aktiv ausgenutzt.

Greenbone hat am selben Tag separate Checks für ASA (Remote Banner) und FTD (Paketebene) ergänzt.

Der angreifbare Pfad setzt einen erreichbaren SSL-VPN-Dienst und eine in der betroffenen Tunnelgruppe konfigurierte sekundäre Authentifizierung voraus. Cisco weist auf zwei leicht zu übersehende Details hin: Auch die Standard-Tunnelgruppe DefaultWEBVPNGroup zählt, und Angreifer benötigen keinen erfolgreichen VPN-Login, um den betroffenen Code zu erreichen. Teams mit dieser Konfiguration sollten die korrigierten Releases von Cisco prüfen und betroffene Geräte priorisieren. Beide Greenbone-Checks melden anfällige Releases; wenn SSL VPN und sekundäre Authentifizierung nicht eingerichtet sind, empfehlen die Checks, für das Ergebnis einen Override anzulegen.

Die ersten korrigierten Releases sind:

• ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 sowie 9.24.1.27 oder 9.24.10.1
• FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1

Cisco gibt an, dass kein Workaround die Schwachstelle behebt. Das Entfernen der sekundären Authentifizierung aus den betroffenen Tunnelgruppen ist eine vorübergehende Gegenmaßnahme, und Cisco empfiehlt nachdrücklich ein Upgrade auf ein korrigiertes Release.

Sophos UTM erfordert eine manuelle Patch-Prüfung

Ein neuer Greenbone-Check (Remote Banner, am 30. Oktober ergänzt) deckt außerdem CVE-2026-118633 in Sophos UTM ab. Sophos beschreibt einen kritischen, nicht authentifizierten Weg zur Ausführung von Befehlen mit Root-Rechten, wenn der E-Mail-Proxy mit aktiviertem Scanning verwendet wird und Angreifer eine Race Condition gewinnen. Die zugrunde liegende Schwachstelle ist eine Path-Traversal-Schwachstelle, und alle UTM-Versionen sind betroffen. UTM ist End of Life, und laut Sophos muss der Patch manuell installiert werden. Die Anleitung steht im Knowledge-Base-Artikel KBA-000049692; die Alternative ist der Wechsel auf eine unterstützte Version von Sophos Firewall. Der Check identifiziert Installationen, die geprüft werden sollten; Admins sollten die Konfiguration des E-Mail-Proxys und den Patch-Stand direkt bestätigen. Sobald der Hotfix installiert ist, empfiehlt der Check, für das Ergebnis einen Override anzulegen.

Seit letzter Woche: PHP2Shell-Abdeckung wächst weiter

Greenbone hat bereits ausführliche Hinweise zur Erkennung und zum Scannen von PHP2Shell veröffentlicht. Seitdem hat die CISA beide Schwachstellen, CVE-2026-109618 und CVE-2026-109619, am 26. Oktober in den KEV aufgenommen. Neue Feed-Ergänzungen erweitern die produktspezifischen Checks für beide CVEs auf weitere Infrastrukturprodukte, darunter:

• Juniper Junos OS (JSA112681): Junos OS und Junos OS auf SRX-Series-Geräten, beide per Remote Banner
• NetApp ONTAP 9 (NTAP-20261021-0021): Remote-Banner-Check
• Aruba ClearPass Policy Manager (HPESBNW05171): Check auf Paketebene
• Check Point Gaia (sk1000302): Remote-Banner-Check

Für Junos OS außerhalb der SRX Series war am 27. Oktober kein Fix verfügbar; SRX-Series-Geräte verwenden ab Junos OS 25.2R1 kein PHP mehr. Teams sollten weiterhin Herstellerprodukte prüfen, die PHP mitliefern, ebenso wie eigenständige PHP-Installationen.

Von der Abdeckung zur Maßnahme

Halten Sie den OPENVAS ENTERPRISE FEED aktuell, scannen Sie die relevanten Assets und planen Sie Updates anhand der Ergebnisse und der Herstellerhinweise. Für die Punkte dieser Woche:

1. Stoßen Sie ein manuelles Feed-Update an, um die neuen Checks jetzt zu erhalten.
2. Scannen Sie die Assets, auf denen Node.js, PAN-OS, Cisco ASA oder FTD, Sophos UTM und PHP laufen, einschließlich der Betriebssystempakete, die Brotli enthalten.
3. Vergleichen Sie bei jedem Fund zu PAN-OS, Cisco und Sophos die Konfiguration mit den oben genannten Bedingungen, bevor Sie die Priorität festlegen. Ist eine Bedingung nicht erfüllt oder bereits ein Hotfix installiert, legen Sie für das Ergebnis einen Override an.

Diese Checks erkennen potenziell anfällige Versionen oder Pakete; ein Fund belegt nicht, dass ein Asset ausgenutzt wurde.