Heute, am 30. Oktober 2026, wirkt die IT der Universität Leipzig weiterhin wie ausgesteckt: Die Universität wurde Opfer eines Cyberangriffs, ihre IT-Systeme blieben Ende Oktober offline. Gleichzeitig meldete die Berliner Charité einen Angriff auf einen Webserver. Dabei wurden personenbezogene Kontaktdaten abgegriffen.

Der folgende Überblick bündelt Sicherheitsmeldungen und Cyberangriffe der vergangenen Tage. Es ist eine lange Liste – und manche Einträge liegen unangenehm nah an unserem Alltag: Server, Hochschulen, Konten, Wallets und Software, die eigentlich im Hintergrund ruhig ihren Dienst tun sollte.

Kritische Lücken in Servern, Linux und Fernwartung

Besonders viel Aufmerksamkeit gilt Supermicro-Mainboards. Die Schwachstelle CVE-2026-18450 wurde am 26. Oktober 2026 veröffentlicht und betrifft laut dem Sicherheitsüberblick 392 Motherboard-Modelle. Die Lücke steckt in der BMC-/IPMI-Firmware und erreicht einen CVSS-Score von 9,8. Angreifer können in einer gültigen Sitzung ohne Authentifizierung IPMI-Befehle ausführen. Supermicro schloss sie zusammen mit acht weiteren Schwachstellen durch BMC-Updates.

Am selben Tag veröffentlichte Supermicro zwei Sicherheitswarnungen. Insgesamt wurden neun CVEs genannt: CVE-2026-18450 ist kritisch und erreicht CVSS 9,8; CVE-2026-65220 ist mit 8,8 hoch eingestuft und kann manipulierte RAKP+-Nachrichten nutzen, um ein Konto auf Administratorrechte hochzustufen. CVE-2026-18449 erreicht 7,5: Ein fest kodierter SMCRAKP-Schlüssel kann das Knacken eines Passwort-Hashes ermöglichen, sofern SMCRAKP aktiviert ist. CVE-2026-65219 kommt auf 7,4 und kann durch eine RAKP-Nachricht außerhalb der vorgesehenen Reihenfolge eine RMCP+-Sitzung etablieren.

Weitere Lücken sind CVE-2026-65211 mit CVSS 7,2, über die Personen mit IPMI-Administratorrechten den BMC-Speicher lesen und schreiben sowie Code ausführen können, CVE-2026-65213 mit 6,6 für Root-Befehle auf dem BMC und CVE-2026-65210 mit 4,9 zum Lesen beliebiger Dateien auf dem BMC-Dateisystem. CVE-2026-18451 ist mit 3,1 bewertet; ein vorhersehbares KVM-Start-Token kann die Übernahme einer KVM-Sitzung ermöglichen. CVE-2026-16521 erreicht 7,2 und betrifft eine OS-Befehlsinjektion in der BMC-Syslog-Funktion, die Administratorrechte voraussetzt. Gemeldet wurde sie von Jihye Lee von der Korea University.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Ein BMC ist ein separater Computer auf der Serverplatine. Er kann den Server ein- und ausschalten oder neu starten, Zugriff auf die Konsole und den Speicher gewähren und die Administration übernehmen, selbst wenn das eigentliche Betriebssystem ausgefallen ist. Supermicro-BMCs verwenden IPMI. IPMI-2.0-Sitzungen sollen jeden Befehl mit Integritätsprüfung und Verschlüsselung schützen.

Genau dort liegt das Problem von CVE-2026-18450: Das BMC entscheidet anhand von Header-Bits eines einzelnen Pakets, ob es Prüfung und Entschlüsselung ausführt. Ein Abgleich mit der für die Sitzung ausgehandelten Cipher Suite findet nicht statt. Sind beide Bits deaktiviert, wird das Paket ohne HMAC-Prüfung und Entschlüsselung an den Befehls-Handler weitergereicht. Ein Besitzer einer aktiven Sitzung kann dann unverschlüsselte und unsignierte Befehle mit den Rechten dieser Sitzung ausführen.

runZero demonstrierte das auf einem X13-System mit Firmware 1.07 unter Cipher Suite 3 und erklärte, dass der Fehler auch für Cipher Suite 17 gilt. Supermicro bewertet die Lücke mit 9,8 und „Critical“, runZero mit 8,1 und „High“ bei hoher Angriffskomplexität. Nach Angaben von runZero muss ein Angreifer zunächst eine gültige Sitzungs-ID erhalten – etwa „on path“ aus dem Datenverkehr oder möglicherweise aus vorhersehbaren ID-Sequenzen. Der Off-Path-Angriffsweg über vorhersehbare IDs sei noch nicht abschließend bestätigt; eine sitzungsübergreifende Übernahme wurde nicht demonstriert. IPMI-Überwachungstools halten allerdings häufig aktive Sitzungen offen.

Mehrere Schwachstellen lassen sich laut runZero zu Angriffsketten verbinden: CVE-2026-65220 kann ein Konto mit niedrigen Rechten zum Administrator machen. Danach sind der Datei-Lese- und der Speicher-Schreibfehler erreichbar; über den Speicher-Schreibpfad kann laut runZero dauerhafte Kontrolle über den BMC entstehen.

Betroffen sind ausgewählte Boards und BMC-Firmware-Versionen aus den Intel-Familien X11, X12, X13 und X14, aus den AMD-Reihen H11, H12, H13 und H14 sowie M11/M12, A3, B-Serie, C9X299, G1/G2 und R12/R13. Hinzu kommen SSE-T-Switches und das CMM-6-Chassis-Managementmodul. Für nahezu jedes betroffene Board führt Supermicro eine korrigierte Firmware auf. Viele X11-Boards benötigen Version 01.74.26, 03.75.35 oder 03.78.08, abhängig vom Board; H11-Boards Version 01.52.26. Für X12-, X13-, H12- und H13-Boards gelten jeweils eigene Versionen, etwa 01.08.16 für MBD-X13DEG-QT. X14- und H14-Boards liegen überwiegend zwischen 01.07.xx und 01.12.xx, einige bei 01.00.xx oder 01.06.xx. Für MBD-X12DGU und MBD-X13SEW-TF-OS1 ist die Fix-Version noch TBD.

Die genaue Zuordnung von Board und Firmware steht in Supermicros Tabelle. runZero nennt zusätzlich X9, darunter X9DRT-HF, und X10 als betroffene Produkte; in Supermicros Fix-Tabelle sind dafür keine Boards aufgeführt. Supermicro erklärt, die Firmware erstellt zu haben, die betroffenen Produkte aber noch zu testen und zu validieren. Vor der Installation sollen die Release Notes des jeweiligen Boards geprüft werden. runZero beschreibt CVE-2026-18450 als BMC-Lücke in Versionen vor X14, während CVE-2026-65213 auch X14 betrifft. Supermicro ordnet die Boards nicht einzelnen CVEs zu; alle in der Tabelle aufgeführten Boards sollen aktualisiert werden.

Supermicro kennt nach eigenen Angaben keine böswillige Nutzung der Lücken in freier Wildbahn. Öffentliche funktionsfähige Exploits oder bekannte Schadcode-Implementierungen wurden nicht gefunden. runZero veröffentlichte mit oobscan einen Open-Source-Scanner zum Testen. Am 27. Oktober 2026 war keine der neun CVEs im CISA-Katalog der ausgenutzten Schwachstellen (KEV) enthalten. Veröffentlicht wurden auch keine Indicators of Compromise.

Der zeitliche Ablauf: Am 24. Juli 2026 informierte runZero Supermicro, am 6. August reservierte Supermicro CVE-2026-18450. Am 26. Oktober veröffentlichte Supermicro beide Warnungen; runZero stellte seine Analyse bereit und aktualisierte seinen Blog. Am 27. Oktober zwischen 09:16 und 10:16 Uhr veröffentlichte die NVD alle neun CVEs. Um 12:06 Uhr wurde der CISA-KEV-Katalog geprüft – keine der neun CVEs war enthalten.

NVD führte alle neun CVEs am 27. Oktober mit dem Status „Received“. Die angezeigten Bewertungen stammten von der CVE-Nummerierungsstelle und entsprachen Supermicros Angaben; NVD hatte CVE-2026-18450 zu diesem Zeitpunkt noch nicht selbst bewertet. Für die Lücke nennt NVD den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H und CWE-306 („Missing Authentication for Critical Function“). runZeros Bewertung lautet CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.

Empfohlen wird, für jedes System das Motherboard zu identifizieren und die zugehörige BMC-Firmware aus Supermicros Tabelle zu installieren – zuerst bei BMCs, die außerhalb eines dedizierten Managementnetzes erreichbar sind. IPMI, BMC-Weboberfläche und KVM sollten ausschließlich in einem isolierten Managementnetz laufen; Zugriffe aus Benutzer-, Produktions- oder Internetnetzen gehören gesperrt. IPMI-over-LAN sollte deaktiviert werden, wenn es nicht gebraucht wird. Bis zum Update sollten aktive IPMI-S