Tageszusammenfassung - 29.10.2026
End-of-Day report
Timeframe: Mittwoch 28-10-2026 18:00 - Donnerstag 29-10-2026 18:00 Handler: Michael Schlagenhaufer Co-Handler: Katharina SiessNews
AlpineLinux: GitLab security incident: attempted exploitation of CVE-2026-97229
On October 20 and 21, an attacker tried to exploit a GitLab vulnerability (CVE-2026-97229) on our instance, a week after the fix was released. The attack came close to working. We have found no evidence that it succeeded, but we cannot rule it out, so we treated the instance as compromised and rebuilt it from scratch. Our checks show that the aports repository, packages, and the October 21 releases were not tampered with. [..] GitLab is being tested before we open it to the public again. All passwords have been reset, so when it is back you will need to set a new one with -Forgot your password?- on the sign-in page.https://alpinelinux.org/posts/GitLab-security-incident-CVE-2026-97229.html
TLP Is Not a Suggestion
On October 21, 2026, the PHP project shipped an emergency fix for PHP2Shell, two critical remote code execution bugs. The release was scheduled for Thursday, October 22. It went out on Wednesday because a Hacker News post broke the embargo on the previous Monday, a vendor publicly confirmed the bugs within hours, a researcher published a reconstruction before the patch existed, and exploitation attempts started before most administrators knew there was anything to patch.https://www.akamai.com/blog/security-research/tlp-is-not-a-suggestion
PHP2Shell Update: Still No Confirmed WordPress Compromises, and Answers to the Questions We-re Hearing Most
As of October 28, 2026, Wordfence is not aware of any WordPress site compromised through PHP2Shell (CVE-2026-109618 and CVE-2026-109619). We continue to see PHP2Shell-related requests across the more than 5 million sites we protect. Those requests show ongoing scanning and exploitation attempts; they do not show whether an attempt succeeded. Our site-cleaning and incident response teams have not handled a WordPress compromise attributed to these vulnerabilities.Aufgedeckt: Großes Netzwerk an Fake-Portalen für Flugbuchungen
Sie versprechen niedrigste Preise und eine einfache Buchung. Um Ihre Opfer anzulocken, schalten Sie Werbung auf Facebook und Instagram, während der gute Name realer Tourismusunternehmen und Fluglinien als Tarnung fungiert. Wir haben uns ein umfassendes Netzwerk an Fake-Buchungsportalen für Flüge näher angesehen und zeigen, wie ausgefeilt die Plattformen sind und woran sich die Betrugsabsicht erkennen lässt.https://www.watchlist-internet.at/news/grosses-netzwerk-portale-flugbuchungen/
Cybervorfall im Umfeld der Tiroler Plattform Feratel; WhatsApp-Phishing bei Reisebuchungen
Der nächste potentielle Cybervorfall mit Zugriff auf Gästedaten im Hotel- und Übernachtungsgewerbe ist publik geworden. Die Plattform Feratel.com wird in Tirol (Österreich) als Buchungs- & Meldeplattform für Tourismus und Fremdenverkehr genutzt. Im Umfeld dieser Plattform hat es dort WhatsApp-Betrugsversuche gegeben, bei denen die Angreifer über Buchungsdaten von Gästen verfügten.UniFi OS 5.1.34 Update sperrt eMudhra-Zertifikate; macOS 27.2-Nutzer müssen selbst eingreifen
Bei Windows gab es die Tage ein Out-of-Band-Update zum Entfernen der eMudhra-Zertifikate [..] Apple hat dazu das Support-Dokument About the compromised eMudhra intermediate CAs veröffentlicht. Das behauptet, dass Apple zum 19. Oktober 2026 die kompromittierten eMudhra Intermedia-Zertifikate automatisch blockiert. Mac-Administratoren können laut Support-Dokument aber optionale Maßnahmen für einige Befehlszeilentools ergreifen. Dabei werden Git, Curl und Python3 explizit erwähnt. [..] Administratoren müssen also selbst aktiv werden und gemäß Apple-Support-Dokument in den Command-Line-Tools die Zertifikate sperren.Angreifer kapern 42 GitHub-Repositories für npm-Wurm-Kampagne -testmetest-
JFrog Security Research hat 42 GitHub-Repositories entdeckt, die Angreifer mit Ausführungs-Hooks und verstecktem Schadcode vermint haben. Die Forscher ordnen sie der npm-Wurm-Kampagne -testmetest- zu. Wie viele Rechner den Schadcode ausgeführt haben und welche Daten abgeflossen sind, ist unklar.Deploying a Local Ghidra Server for Your Malware Analysis Lab, (Thu, Oct 29th)
Building your malware analysis lab is a key point before playing with malware. [..] Ghidra ships with a component that many people ignore: Ghidra Server. It is included in the standard distribution (no extra download, no licence) and turns your local projects into "shared projects" backed by a central repository.https://isc.sans.edu/diary/rss/33470
Searchjacked: Hidden Browser Extensions Hijack Searches for 13 Million Users
You may have come across ads on webpages promoting "manual finder", "safe search", "PDF converter", or "AI search" tools which often end up as easy to install browser extensions. What are these extensions actually doing and who is behind them? This investigation expands on previous research with 264 newly identified extensions which exist only to capture users search queries impacting 8.7 million more users.https://socket.dev/blog/searchjacked
Vulnerabilities
Cisco Secure Firewall Adaptive Security Appliance and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability
A vulnerability in the Remote Access SSL VPN service of Cisco Secure Firewall Adaptive Security Appliance (ASA) Software and Cisco Secure Firewall Threat Defense (FTD) Software could allow an unauthenticated, remote attacker to cause the device to reload unexpectedly, resulting in a denial of service (DoS) condition. CVE-2026-76418Drupal Security Advisories 2026-October-28
1x highly critical, 11x criticalhttps://www.drupal.org/security
Diverse kritische Schwachstellen in WatchGuard Fireware OS
Schwere Sicherheitslücken gefährden Security-Appliances von WatchGuard. Updates stehen zur Verfügung und sollten schnell eingespielt werden. [..] WatchGuard gibt für alle 18 Lücken an, von keinen laufenden Angriffen zu wissen. [..] Die Lücken sind teilweise entfernten, nicht angemeldeten Angreifern zugänglich und erlauben ihnen, beliebigen Code auszuführen (remote code execution; mitunter sogar mit Root-Rechten), die Appliances lahmzulegen (denial of service) oder unwartbar zu machen sowie Sicherheitsbarrieren zu umgehen.https://www.heise.de/news/Diverse-kritische-Schwachstellen-in-WatchGuard-Fireware-OS-11504873.html
SPLUNK: SVD-2026-1015: Vulnerabilities in Node.js (CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069) on Splunk Products - October 2026
https://advisory.splunk.com/advisories/SVD-2026-1015