Microsofts Patch Tuesday vom März 2026 behebt 84 Schwachstellen, darunter 2 öffentlich bekannte Zero-Days. Iranische Hacktivisten behaupten, beim Medizintechnikriesen Stryker mehr als 200.000 Geräte gelöscht zu haben. FortiGate-Firewalls wurden ausgenutzt, um AD/LDAP-Zugangsdaten zu stehlen. Der AI-Browser von Perplexity wurde in weniger als 4 Minuten zu Phishing verleitet. Außerdem: KadNap-Botnet, npm-Lieferkettenangriffe, Ausnutzung einer n8n-RCE, Metas Vorgehen gegen Betrug, Googles 32-Milliarden-Dollar-Übernahme von Wiz und der gegen Personalabteilungen gerichtete EDR-Killer BlackSanta.
Microsofts Patch Tuesday vom März 2026 behebt 84 Sicherheitslücken: 8 kritisch, 76 wichtig. Zwei Schwachstellen wurden öffentlich bekannt gegeben, bevor Patches verfügbar waren. Alle durch NIS2 regulierten Einrichtungen müssen die sofortige Bereitstellung priorisieren.
Microsoft hat sein Sicherheitsupdate für März 2026 veröffentlicht und behebt damit 84 Schwachstellen im gesamten Windows-Ökosystem. Die Aufschlüsselung zeigt einen deutlichen Schwerpunkt auf Rechteausweitung — ein klares Zeichen dafür, dass Angreifer sich auf laterale Bewegungen nach einer erfolgreichen Kompromittierung konzentrieren.
| Kategorie | Anzahl | Risikostufe |
|---|---|---|
| Rechteausweitung | 46 | Hoch — ermöglicht laterale Bewegung |
| Remote-Codeausführung | 18 | Kritisch — ermöglicht initialen Zugriff |
| Offenlegung von Informationen | 10 | Mittel — ermöglicht Aufklärung |
| Spoofing | 4 | Mittel |
| Diensteverweigerung | 4 | Mittel |
| Umgehung von Sicherheitsfunktionen | 2 | Hoch |
CVE-2026-26127 (CVSS 7.5) — Eine öffentlich vor dem Patch bekannt gegebene Diensteverweigerungs-Schwachstelle in .NET. Angreifer können .NET-basierte Dienste aus der Ferne zum Absturz bringen und dadurch die Verfügbarkeit von Webanwendungen und APIs beeinträchtigen, die mit dem Framework entwickelt wurden.
CVE-2026-21262 (CVSS 8.8) — Eine Schwachstelle zur Rechteausweitung in SQL Server. Aufgrund des hohen CVSS-Werts und der öffentlichen Bekanntgabe ist sie besonders gefährlich für Organisationen, die SQL Server in Produktionsumgebungen einsetzen. Ein authentifizierter Angreifer könnte seine Rechte auf die eines Datenbankadministrators ausweiten.
Darüber hinaus hat Microsoft 10 Chromium-/Edge-Schwachstellen separat behoben, sodass der gesamte Behebungsaufwand in diesem Zyklus 94 Fehlerbehebungen umfasst.
Das Medizintechnikunternehmen Stryker wurde von Handala, einer Iran-nahen, propalästinensischen Hacktivistengruppe, mit Wiper-Malware angegriffen. Die Gruppe behauptet, mehr als 200.000 Geräte gelöscht zu haben. Sollte dies bestätigt werden, wäre es einer der bislang verheerendsten Wiper-Angriffe auf den Gesundheitssektor.
Stryker — ein Fortune-500-Medizintechnikunternehmen, das chirurgische Geräte, Implantate und Krankenhausinfrastruktur herstellt — wurde Opfer eines destruktiven Wiper-Angriffs. Die mit iranischen Staatsinteressen in Verbindung gebrachte Hacktivistengruppe Handala bekennt sich zu dem Angriff und behauptet, mehr als 200.000 Geräte im Stryker-Netzwerk gelöscht zu haben.
Dieser Angriff hat enorme Auswirkungen auf die Patientensicherheit. Die Produkte von Stryker sind weltweit in Operationssäle, Intensivstationen und Systeme zur Operationsplanung integriert. Störungen der internen Systeme könnten zu verzögerten Geräteupdates, beeinträchtigten Lieferketten und einer gefährdeten Produktsicherheit führen.
Im Rahmen von NIS2 gilt das Gesundheitswesen als wesentlicher Sektor. Hersteller von Medizinprodukten und ihre Lieferketten unterliegen verbindlichen Cybersicherheitsanforderungen. Dieser Angriff zeigt genau, warum:
Wenn Ihre Organisation Produkte von Stryker verwendet, wenden Sie sich umgehend an Ihren Stryker-Ansprechpartner, um die Auswirkungen auf Produktupdates, Supportleistungen und die Kontinuität der Lieferkette zu verstehen. Dokumentieren Sie diese Bewertung im Rahmen Ihrer Verpflichtungen zum Lieferketten-Risikomanagement gemäß NIS2.
SentinelOne hat eine Kampagne entdeckt, bei der FortiGate-NGFW-Systeme missbraucht werden, um in Netzwerke einzudringen und Konfigurationsdateien mit Zugangsdaten von Active-Directory- und LDAP-Dienstkonten zu extrahieren. Zu den Zielen gehören das Gesundheitswesen, Behörden und Managed-Service-Provider.
Sicherheitsforscher von SentinelOne haben eine systematische Kampagne gegen Fortinet FortiGate Next-Generation Firewalls aufgedeckt. Angreifer nutzen Schwachstellen in diesen Geräten aus, um Konfigurationsdateien zu extrahieren, die Klartext-Zugangsdaten oder wiederherstellbare Zugangsdaten von Dienstkonten für die AD/LDAP-Integration enthalten.
Die Ironie ist verheerend: Genau die Geräte, die Netzwerke schützen sollen, werden zu deren Kompromittierung eingesetzt. Sobald Angreifer AD/LDAP-Zugangsdaten aus FortiGate-Konfigurationen erhalten, verfügen sie über privilegierten Zugriff auf die gesamte Active-Directory-Umgebung.
Forscher von Guardio demonstrierten, dass der AI-Browser Comet von Perplexity in weniger als 4 Minuten zu einem Phishing-Angriff manipuliert werden kann. Dabei wird eine von ihnen als „Agentic Blabbering“ bezeichnete Schwachstelle ausgenutzt.
Sicherheitsforscher von Guardio Labs haben einen verheerenden Machbarkeitsnachweis veröffentlicht, der zeigt, wie Comet von Perplexity — ein AI-gestützter Webbrowser — zur Durchführung eines Phishing-Betrugs verleitet werden kann. Der Angriff nutzt einen grundlegenden Konstruktionsfehler von AI-Browsern aus: ihre Tendenz, ihre Aktionen zu erläutern, wodurch Sicherheitsbarrieren unbeabsichtigt geschwächt werden.
Die als „Agentic Blabbering“ bezeichnete Technik funktioniert, weil AI-Browser erklären sollen, was sie gerade tun. Angreifer erstellen Prompts, die diese dialogorientierte Funktionsweise ausnutzen und die AI dazu verleiten, schädliche Anweisungen als legitime Browseraufgaben zu behandeln. Das Ergebnis: Der AI-Browser selbst wird zum Phishing-Vektor.
Black Lotus Labs von Lumen hat die gegen Asus-Router gerichtete KadNap-Malwarekampagne entdeckt, die ein Proxy-Botnet aus mehr als 14.000 infizierten Geräten aufbaut. Die Malware verwendet für eine widerstandsfähige Befehls- und Steuerungsinfrastruktur ein eigenes Kademlia-DHT-Protokoll.
Eine neue Malwarevariante namens KadNap zielt auf Router von Asus für Privathaushalte und kleine Unternehmen. Black Lotus Labs von Lumen hat mehr als 14.000 infizierte Geräte identifiziert, von denen sich 60 % in den Vereinigten Staaten befinden. Die Malware verwandelt kompromittierte Router in Knoten eines Proxy-Botnets und ermöglicht Angreifern, schädlichen Datenverkehr über legitime IP-Adressen von Privat- und Geschäftskunden zu leiten.
Durch KadNaps Einsatz eines eigenen Kademlia-Protokolls für verteilte Hashtabellen (DHT) lässt sich die Malware besonders schwer ausschalten. Anders als herkömmliche Botnets mit zentraler Befehls- und Steuerungsstruktur verfügt KadNap aufgrund seiner dezentralen Architektur über keinen einzelnen Server, der abgeschaltet werden könnte.
Eine neue Welle von Lieferkettenangriffen namens PhantomRaven hat 88 schädliche Pakete in der npm-Registry platziert, die Daten von den Rechnern von JavaScript-Entwicklern und aus CI/CD-Umgebungen exfiltrieren sollen.
Die PhantomRaven-Kampagne ist ein raffinierter Angriff auf die Softwarelieferkette, der auf das npm-Ökosystem abzielt. Die 88 identifizierten schädlichen Pakete nutzen Typosquatting und Dependency-Confusion-Techniken, um Entwickler zur Installation mit Hintertüren versehener Bibliotheken zu verleiten, die Umgebungsvariablen, SSH-Schlüssel und API-Token exfiltrieren.
Für Organisationen, die Webanwendungen und Microservices entwickeln, ist dies eine unmittelbare Bedrohung für die Codeintegrität und die Sicherheit der CI/CD-Pipeline. Ein einziger kompromittierter Entwicklerarbeitsplatz kann zu manipulierten Produktions-Builds führen.
npm audit verwenden und einen privaten Registry-Proxy in Betracht ziehenCISA hat eine aktiv ausgenutzte Schwachstelle zur Remote-Codeausführung in der Workflow-Automatisierungsplattform n8n in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und Bundesbehörden angewiesen, sie umgehend zu patchen.
Die n8n-Automatisierungsplattform — die häufig zur Workflow-Orchestrierung, API-Integration und Verwaltung von Datenpipelines eingesetzt wird — weist eine kritische RCE-Schwachstelle auf, die derzeit aktiv ausgenutzt wird. Die Aufnahme in den KEV-Katalog von CISA bedeutet, dass es sich nicht um eine theoretische Gefahr handelt — Angreifer nutzen diese Schwachstelle bereits jetzt aus.
n8n-Instanzen werden häufig mit weitreichendem Zugriff auf interne Systeme bereitgestellt und sind daher besonders wertvolle Ziele. Eine kompromittierte n8n-Instanz könnte Angreifern Zugriff auf verbundene Datenbanken, APIs, Cloud-Dienste und interne Anwendungen verschaffen.
Im Rahmen einer bedeutenden Strafverfolgungsaktion hat Meta mehr als 150.000 Konten deaktiviert, die mit südostasiatischen Betrugszentren in Verbindung stehen — vor allem mit „Pig-Butchering“- und Liebesbetrug. Die Königlich Thailändische Polizei nahm bei koordinierten Razzien 21 Personen fest, unterstützt von Behörden aus 11 Ländern.
Obwohl dies eine positive Entwicklung für die Plattformsicherheit ist, verdeutlicht das enorme Ausmaß — 150.000 Konten —, wie tief diese Machenschaften inzwischen verwurzelt sind. Für Organisationen besteht die wichtigste Erkenntnis darin, dass Angriffe durch die Kompromittierung geschäftlicher E-Mails (BEC) und Social Engineering häufig aus derselben kriminellen Infrastruktur stammen.
Google hat die 32 Milliarden US-Dollar schwere Übernahme von Wiz offiziell abgeschlossen. Das Cloud-Sicherheits-Startup entwickelte sich zu einem der am schnellsten wachsenden Cybersicherheitsunternehmen der Geschichte. Wiz wird innerhalb von Google Cloud weiterhin als eigenständige Marke agieren und seine Multi-Cloud-Sicherheitsplattform beibehalten, die AWS, Azure und GCP unterstützt.
Diese Übernahme verändert die Cloud-Sicherheitslandschaft. Durch die Integration der Cloud-Native Application Protection Platform (CNAPP) von Wiz in Google Cloud stehen Organisationen nun vor strategischen Entscheidungen hinsichtlich Anbieterbindung und Multi-Cloud-Sicherheit.
| Überlegung | Auswirkung |
|---|---|
| Multi-Cloud-Neutralität | Wiz verspricht, Multi-Cloud-fähig zu bleiben, doch Googles Eigentümerschaft weckt langfristige Bedenken hinsichtlich der Funktionsgleichheit für AWS und Azure |
| Preisgestaltung | Googles finanzielle Stärke könnte zunächst zu wettbewerbsfähigen Preisen führen, Konsolidierungen ziehen jedoch häufig Preiserhöhungen nach sich |
| Datensouveränität | Durch GDPR/NIS2 regulierte Einrichtungen sollten ihre Auftragsverarbeitungsvereinbarungen überprüfen, während Wiz in die Infrastruktur von Google Cloud integriert wird |
| Bewertung von Alternativen | Jetzt ist der richtige Zeitpunkt, Alternativen wie Orca, Lacework und Prisma Cloud zu bewerten, um die Abhängigkeit von einem einzelnen Anbieter zu vermeiden |
Ein russischsprachiger Bedrohungsakteur greift Personalabteilungen mit Malware an, die BlackSanta einschleust — einen EDR-Killer, der Antivirenprogramme und Endpunkterkennung auf Kernel-Ebene deaktivieren kann, bevor die endgültige Schadsoftware ausgeführt wird.
Die BlackSanta-Kampagne ist besonders heimtückisch, weil sie auf Personalabteilungen abzielt — Teams, die routinemäßig Anhänge von unbekannten Absendern öffnen müssen, etwa Lebensläufe, Bewerbungsschreiben und Rechnungen. Die Angriffskette liefert einen EDR-Killer aus, der auf Kernel-Ebene arbeitet und Sicherheitswerkzeuge deaktiviert, bevor die primäre Schadsoftware — wahrscheinlich Ransomware oder ein Infostealer — ausgeführt wird.
Diese Technik — Bring Your Own Vulnerable Driver (BYOVD) — missbraucht legitime, signierte Kernel-Treiber, um Sicherheitsprodukte zu deaktivieren. Sobald EDR neutralisiert ist, kann der Angreifer ungehindert auf dem System agieren.
KENSAI überwacht Ihre Infrastruktur kontinuierlich auf die neuesten Schwachstellen, ordnet diese den Compliance-Anforderungen von NIS2, DORA und GDPR zu und erstellt prüfungsfertige Berichte — vollständig unterstützt durch AI-Bedrohungsinformationen.
Kostenlosen Sicherheitsscan starten →Bleiben Sie zuverlässig gepatcht und wachsam,
das KENSAI-Team für Bedrohungsinformationen
Tägliches Sicherheitsbriefing auf Basis von AI-Bedrohungsinformationen. Jeden Tag um 06:00 Uhr MEZ veröffentlicht.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →