← Zurück zum Blog

Sicherheitsbriefing, 15. April 2026: Patch Tuesday, bösartige Chrome-Erweiterungen und Access Drift

Dieses Sicherheitsbriefing bündelt drei konkrete Themen des Tages: Microsofts Patch Tuesday im April, eine Kampagne mit mehr als 100 bösartigen Chrome-Erweiterungen und Zugriffsprobleme bei Kraken und McGraw-Hill.

---

---

1. Microsofts Patch Tuesday ist groß, und ein SharePoint-Zero-Day wurde bereits ausgenutzt

Microsoft hat im April 2026 Fixes für 167 Schwachstellen veröffentlicht, darunter zwei Zero-Days. Eine davon, eine SharePoint-Server-Spoofing-Schwachstelle, wurde bereits aktiv ausgenutzt. Außerdem lieferte Microsoft Patches für kritische Office-RCEs und eine Defender-Privilegieneskalation über die Antimalware-Plattform.

• Internet-exponierte SharePoint-Systeme und Office-lastige Umgebungen zuerst patchen.
• Den Zyklus nicht als abgeschlossen melden, bevor Ausnahmen, Staging-Kopien und Admin-Knoten abgeglichen sind.
• Nach dem Patchen die reale Exponierung neu prüfen, statt nur auf Ticketstatus zu vertrauen.

---

2. Mehr als 100 Chrome-Erweiterungen machten den Browser zur Identitätsangriffsfläche

Forscher von Socket verknüpften mehr als 100 bösartige Chrome-Web-Store-Erweiterungen mit einer koordinierten Kampagne. Die Erweiterungen sollen Google-OAuth2-Bearer-Tokens gestohlen, Kontodaten gesammelt, Telegram-Web-Sitzungen übernommen und im Hintergrund Befehle nachgeladen haben. Das ist kein normales Add-on-Risiko. Das ist Missbrauch von Identität, Session und Vertrauen in einer bereits authentifizierten Umgebung.

• Installierte Erweiterungen auf verwalteten Geräten noch heute prüfen.
• Bei Verdacht auf Erweiterungsmissbrauch Sessions und Tokens widerrufen.
• Den Browser als Teil der Identitäts-Kontrollfläche behandeln.

---

3. Kraken und McGraw-Hill zeigen, warum Insider- und Drittzugriffe weiter saubere Narrative zerstören

Kraken erklärte, eine Erpressergruppe drohe mit der Veröffentlichung von Videos interner Systeme, nachdem unzulässiger Zugriff durch Support-Mitarbeiter begrenzte Kundensupport-Daten von rund 2.000 Konten offengelegt habe. McGraw-Hill meldete separat den Zugriff auf begrenzte interne Daten über eine Fehlkonfiguration auf einer von Salesforce gehosteten Webseite, während ShinyHunters einen deutlich größeren Fund behauptete. Der genaue Schaden unterscheidet sich, das Muster ist gleich: Support-Prozesse und gehostete Geschäftssysteme behalten oft mehr Vertrauen, als Teams annehmen.

• Support- und Contractor-Zugänge standardmäßig zeitlich begrenzen.
• Gehostete Seiten, Support-Tools und Vendor-Admin-Pfade in jede Incident Response aufnehmen.
• Auch „begrenzte Datenoffenlegung“ als Reputations- und Erpressungsproblem behandeln.

---

Was Security-Teams heute tun sollten

1. Zuerst ausgenutzte und extern erreichbare Microsoft-Assets priorisieren.
2. Einen Extension-Sweep und Session-Revocation-Plan für Hochrisiko-Nutzer fahren.
3. Support-, Lieferanten- und SaaS-Admin-Zugriffe mit Ownern und Ablaufdatum prüfen.
4. Ein Management-Update nutzen, das Patches, Browser-Identitätsmissbrauch und Drittzugriff in einem Risikobild zusammenführt.

---

Bottom line: Alle heutigen Meldungen zeigen dieselbe operative Wahrheit. Angreifer gewinnen in der Lücke zwischen nomineller und verifizierter Kontrolle, zwischen „gepatcht“ und wirklich behoben, zwischen „eingeloggt“ und tatsächlich vertrauenswürdig, zwischen „temporärer Zugriff“ und stehengebliebenem Privileg.