Die wichtigsten Meldungen des Tages reichen von einer international aktiven Ransomware-Gruppe über russische Spionage gegen NATO-Ziele bis zu kritischen Risiken in verbreiteter Server-Software. Gemeinsam ist ihnen eine klare defensive Priorität: exponierte Zugänge, privilegierte Infrastruktur und Wiederherstellungswege müssen als zusammenhängende Angriffsfläche behandelt werden.
SafePay traf laut Behörden mindestens 600 Organisationen
CISA, FBI, US Secret Service und das Landeskriminalamt Rheinland-Pfalz haben eine gemeinsame Analyse der SafePay-Ransomware veröffentlicht. Demnach traf die seit August 2024 beobachtete Gruppe mindestens 600 Organisationen in mehreren Sektoren kritischer Infrastruktur. Betroffene gab es in Nord- und Südamerika, Europa sowie Australien; 2026 gehörte SafePay laut den beteiligten Behörden zu den aktivsten Ransomware-Gruppen.
Der Bericht ist besonders relevant, weil er nicht nur Schadsoftware beschreibt, sondern eine wiederkehrende Angriffskette. SafePay verschafft sich unter anderem über kompromittierte VPN-Profile und verwundbare Edge-Systeme Zugang, weitet Rechte aus, bewegt sich per legitimer Fernadministration im Netz und schleust Daten aus. Erst danach folgt die Verschlüsselung. In einigen Fällen löschten die Angreifer sämtliche netzgebundenen Sicherungen. Ein Backup, das aus derselben administrativen Vertrauenszone erreichbar ist, schützt damit nicht zuverlässig vor Erpressung.
Verteidiger sollten externe Zugänge vollständig inventarisieren, bekannte Schwachstellen an Edge-Geräten priorisiert schließen und MFA für Fernzugriffe erzwingen. Ebenso wichtig sind getrennte, unveränderliche oder offline gehaltene Sicherungskopien und regelmäßig getestete Wiederanläufe. Auffällige Anmeldungen an VPN, neu angelegte Administratorkonten, unerwartete Fernwartungssoftware und Zugriffe auf Backup-Systeme gehören in eine gemeinsame Erkennungslogik.
APT28 spioniert bei Rüstungs- und Behördenzielen
Die Symantec-Forschungseinheit beschreibt unter dem Namen „Swallowtail“ eine neue Kampagne der auch als APT28, Fancy Bear oder Forest Blizzard bekannten russischen Spionagegruppe. Betroffen waren drei Organisationen in zwei NATO-Staaten: eine Strafverfolgungsbehörde, ein Marineschiffbauer und ein Hersteller militärischer Flugzeugtriebwerke. US-Behörden ordnen die Gruppe dem russischen Militärnachrichtendienst GRU zu.
Beim Schiffbauer blieb der Zugriff mindestens zwei Monate bestehen. Die Angreifer stahlen Zugangsdaten, richteten einen dauerhaften SSH-Tunnel in das interne Netz ein und setzten einen zuvor nicht dokumentierten Loader ein, der seine Nutzlast erst im Speicher entschlüsselt. Die Forscher sahen außerdem wiederholte manuelle Aktivitäten auf einem kompromittierten System. Das spricht für gezielte Aufklärung statt einer zufälligen Masseninfektion. CyberScoop ordnet die Kampagne in die länger laufende russische Sammlung von Informationen über europäische Regierungs- und Verteidigungsziele ein; ein konkretes Operationsziel ließ sich jedoch nicht bestätigen.
Für Verteidigungsunternehmen und ihre Zulieferer reicht es deshalb nicht, nur bekannte Malware-Signaturen zu blockieren. Entscheidend sind die Korrelation von Identitäts-, Endpunkt- und Netzwerkdaten, Alarmierung auf ungewöhnliche SSH-Tunnel und die Suche nach wiederverwendeten Zugangsdaten. Auch Systeme ohne direkten Internetzugang müssen untersucht werden, wenn ein exponierter Einstiegspunkt kompromittiert wurde.
PHP kündigt zwei kritische Sicherheitslücken an
Das PHP-Projekt warnte am Abend vor zwei kritischen Schwachstellen mit einer Bewertung von jeweils 9,2 nach CVSS 4.0. Die offizielle Vorabmeldung setzte die Sicherheitsveröffentlichung für den 21. Oktober um 14:00 Uhr UTC an und forderte alle PHP-Nutzer auf, das Update vorzubereiten. Betroffene und korrigierte Versionen sowie technische Details waren zu diesem Zeitpunkt noch nicht veröffentlicht. Hinweise auf aktive Ausnutzung bestätigte die Meldung ebenfalls nicht.
Gerade diese Unsicherheit war die operative Nachricht: Betreiber mussten bereits Inventar, Wartungsfenster und Neustarts für Webserver, PHP-Worker, Container und eingebettete Laufzeiten vorbereiten, ohne aus unvollständigen Informationen eigene Exploitannahmen abzuleiten. Später veröffentlichte technische Details sind deshalb nicht rückwirkend in diese Tageslage eingearbeitet. Die gesonderte Analyse ist im Beitrag „PHP2Shell: Updates für kritische PHP-Lücken verfügbar“.
Apache Tomcat schließt Authentifizierungs- und Datenlecks
Apache machte drei Schwachstellen in Tomcat öffentlich. Die schwerwiegendste,
CVE-2026-101296, kann bei einer JNDI-Realm-Konfiguration mit einem
SASL-Verfahren außerhalb von GSSAPI eine Anmeldung ohne korrektes Passwort
ermöglichen. Zwei weitere Fehler betreffen die Trennung von HTTP-Antworten:
Bei HTTP/2 mit asynchronen Servlets kann es zu einer Vermischung zwischen
Benutzern kommen; in Tomcat 11 kann außerdem eine große nicht blockierende
Ausgabe Teile einer Antwort in die nächste Anfrage derselben Verbindung
verschieben. Apache dokumentiert die Details und betroffenen Bereiche in den
Sicherheitsseiten für
Tomcat 11,
Tomcat 10 und
Tomcat 9.
Korrigiert sind die Fehler in 11.0.27, 10.1.61 und 9.0.123; der zusätzliche Fehler bei großen nicht blockierenden Ausgaben betrifft nur den 11er-Zweig. Teams sollten deshalb nicht allein auf die hohe Bewertung reagieren, sondern zuerst JNDI-Realm-, HTTP/2- und Async-Servlet-Nutzung prüfen und anschließend den passenden Zweig aktualisieren. Nicht mehr unterstützte Tomcat-Versionen brauchen einen Migrationsplan statt einer dauerhaften Ausnahme.
Was vom Tag bleibt
Die Meldungen zeigen dieselbe Abhängigkeit aus unterschiedlichen Blickwinkeln: Identitäten, Edge-Systeme und Serverprozesse öffnen den Weg, während schlecht isolierte Backups und privilegierte Build- oder Betriebsumgebungen die Wirkung vergrößern. Verteidiger sollten Updates daher mit Zugangskontrolle, Telemetrie-Korrelation und belastbar getesteter Wiederherstellung verbinden.
Quellen
- #StopRansomware: SafePay Ransomware — CISA, FBI, USSS und LKA Rheinland-Pfalz
- Swallowtail: Russian Espionage Group Targets Defense Firms in Two NATO Countries — Symantec Threat Hunter Team / SECURITY.COM
- Russian GRU hackers hit NATO shipbuilder, aircraft engine maker, law enforcement agency in espionage campaign — CyberScoop
- Upcoming Critical PHP Security Release — PHP
- Apache Tomcat 11 vulnerabilities — Apache Software Foundation
- Apache Tomcat 10 vulnerabilities — Apache Software Foundation
- Apache Tomcat 9 vulnerabilities — Apache Software Foundation