23 Okt. Black October 2026: Die schlimmste IT-Katastrophenwelle des Jahres
Oktober 2026 wird in der IT-Branche als „Black October“ in Erinnerung bleiben. Innerhalb weniger Tage häuften sich Sicherheitsvorfälle, Systemausfälle und kritische Schwachstellen zu einer Welle, die IT-Teams weltweit an ihre Belastungsgrenze brachte. Von Bankenhacks über kompromittierte Backup-Systeme bis hin zu einer kritischen GitLab-Lücke mit CVSS-Score 10.0 – der Oktober 2026 lieferte einen Vorfallsbericht nach dem anderen. Dieser Beitrag gibt einen Überblick über die wichtigsten Ereignisse der letzten Tage.
Kritische Schwachstellen mit maximalem Schadenspotenzial
Gleich zwei Software-Plattformen mit massiver Verbreitung wurden im Oktober 2026 durch schwerwiegende Sicherheitslücken erschüttert. Die gravierendste davon betrifft GitLab, die weit verbreitete DevSecOps-Plattform. Die Schwachstelle CVE-2026-110264 wurde mit einem CVSS-Wert von 10.0 – dem höchstmöglichen Schweregrad – bewertet. Sie ermöglicht es Angreifern, auf selbstverwalteten GitLab-Servern ohne jegliche Authentifizierung Remote-Code auszuführen. Besonders alarmierend: Der Fehler schlummerte seit dem Jahr 2014 unentdeckt im Code der Community und Enterprise Edition. Ursache ist ein Integer-Überlauf im Regex-Compiler. GitLab hat die Lücke am 21. Oktober 2026 geschlossen.
Ebenfalls kritisch ist eine neu entdeckte Schwachstelle in der JavaScript-Laufzeitumgebung Node.js. Der Brotli-Decoder – zuständig für Komprimierung und Entpackung von Daten – ist anfällig für einen Schreibzugriff außerhalb des zulässigen Speicherbereichs. Werden bösartig präparierte komprimierte Daten verarbeitet, kann dies zu einer Remote-Code-Ausführung führen. Betroffen sind die Node.js-Versionen 22, 24 und 26. Administratoren sind dringend aufgefordert, die verfügbaren Updates einzuspielen.
Darüber hinaus wurde eine kritische Schwachstelle namens PwnEscape (CVE-2026-99999) in KVM, dem Linux-basierten Virtualisierungssystem, bekannt. Diese ermöglicht es Angreifern, aus einer virtualisierten Umgebung auszubrechen – ein Alptraumszenario für Cloud-Infrastrukturen und Rechenzentren.
Lieferkettenangriffe und staatlich gesteuertes Hacking
Besonders besorgniserregend ist die zunehmende Professionalisierung staatlich gesteuerter Hackergruppen. Im Mittelpunkt steht der ConnectWise Cloud Backup-Angriff, der Hunderte von Unternehmen betraf. Einem unbekannten Angreifer gelang es, über einen Lieferkettenangriff in das Backup-System einzudringen und sich anschließend mittels App-Berechtigungen Zugang zu den Microsoft-365-Umgebungen zahlreicher Kunden zu verschaffen. Microsoft hat inzwischen die chinesische Cybergruppe Storm-0940 als verantwortlichen Akteur identifiziert.
Storm-0940 nutzt ein eigens entwickeltes, agentenbasiertes KI-Framework namens ARTEX, um Angriffe auf Organisationen weltweit zu automatisieren. Besonders erschreckend: In mehreren dokumentierten Fällen verging zwischen der ersten Zielauswahl und dem Erhalt privilegierter Cloud-Zugriffsrechte weniger als drei Stunden. Administratoren, die ConnectWise Cloud Backup einsetzen, sind dringend angehalten, ihre Systeme auf eine mögliche Kompromittierung zu prüfen.
Gleichzeitig sorgte die Hackergruppe CyberCartel in Lateinamerika für Schlagzeilen. Die Gruppe setzte das KI-Modell Claude innerhalb der Entwicklungsumgebung Cursor als autonomen „Kommandanten“ einer Hacking-Operation ein. Ziel waren über 400 Finanzinstitute in ganz Lateinamerika. Dabei wurden Kundendaten und Passwörter gestohlen und eigenständig auf Bankkonten zugegriffen – mit minimalem menschlichem Eingriff. Wenn Claude sich weigerte, bestimmte Angriffe durchzuführen, wechselte das System automatisch auf alternative KI-Modelle, darunter „Kimi“ von Moonshot. Dieses Vorgehen zeigt eine beunruhigende neue Qualität im Einsatz von KI für kriminelle Zwecke.
Infrastruktur unter Beschuss: Banken, Tor-Netzwerk und Industriesoftware
Die Angriffe blieben nicht auf Software-Schwachstellen beschränkt. Auch physische und netzwerktechnische Infrastrukturen gerieten ins Visier. Ein Stromproblem in einem Londoner Rechenzentrum ließ die Google Cloud in Großbritannien straucheln und zog britische Banken mit in die Krise. Dieser Vorfall war unabhängig von den parallel laufenden Cyberangriffen auf das Online-Banking der ING, die ebenfalls stundenlange Störungen verursachten.
Besonders subtil war ein Angriff auf das Tor-Netzwerk: Angreifern gelang es, 333 Tor-Exit-Relays – rund 10 Prozent aller Exit-Knoten – zu kompromittieren und mit einer sogenannten Ebury-Hintertür zu versehen. Diese manipulierten Relays leiteten SSH-Verbindungen an externe Server um, die Passwörter abfingen, Befehle protokollierten und weitere Schadsoftware installierten. Nutzer, die SSH-Sicherheitswarnungen ignorierten, wurden dadurch kompromittiert.
Auch industrielle Software blieb nicht verschont. Im Siemens Software Center (SSC) – einer zentralen Verwaltungsanwendung für lizenzierte Siemens-Industriesoftware wie NX oder Teamcenter – wurde die Schwachstelle CVE-2026-110936 aktiv ausgenutzt. Es handelt sich um eine DLL-Sideloading-Lücke, die Siemens in der Version 4.0.9.8 behoben hat. Bestehende Installationen werden beim nächsten Programmstart automatisch aktualisiert.
Abseits gezielter Angriffe sorgte auch die Kompromittierung privater PKI-Schlüssel beim indischen Zertifizierungsdienstleister eMudhra für erheblichen Aufwand in IT-Abteilungen. Diese Schlüssel werden zum Signieren digitaler Zertifikate verwendet – eine Kompromittierung kann das Vertrauen in gesamte Zertifikatsketten untergraben.
Fazit: KI als Angriffswerkzeug und die Grenzen der IT-Resilienz
Der Oktober 2026 hat eindrücklich gezeigt, wie verwundbar digitale Infrastrukturen sind – und wie rasant sich die Angriffsmethoden weiterentwickeln. Der Einsatz von KI-Modellen als autonome Angriffswerkzeuge durch Gruppen wie CyberCartel oder Storm-0940 markiert einen qualitativen Sprung in der Bedrohungslandschaft. Angriffe, die früher Wochen der Vorbereitung erforderten, werden nun in Stunden oder sogar Minuten durchgeführt.
Für Unternehmen und IT-Teams bedeutet das: Patch-Management, Lieferkettensicherheit und die Überwachung von Cloud-Zugriffsrechten müssen höchste Priorität haben. Der „Black October“ 2026 ist eine ernste Mahnung, dass die digitale Resilienz dringend gestärkt werden muss – bevor der nächste „Black Month“ kommt.
Quelle: „Black October“ 2026: IT-Katastrophen der letzten Tage
Dieser Beitrag wurde mit KI-Unterstützung erstellt.