Der Wochenbeginn im September bringt eine dichte Reihe an Sicherheitsmeldungen, die von großen Serverumgebungen bis zum Balkonkraftwerk reichen. Ein öffentlich verfügbarer Exploit für Microsoft Exchange sorgt für Druck bei Administratoren, während die weitverbreitete Hosting-Software cPanel/WHM eine Lücke mit Root-Folgen schließt. Parallel liefert der Wechselrichter-Hersteller Hoymiles nach einer Enthüllung des Chaos Computer Clubs Firmware nach, und das BSI warnt vor einer Firefox-Schwäche auf dem iPhone.

Die einzelnen Fälle wirken auf den ersten Blick unabhängig voneinander. Zusammen zeichnen sie aber ein Bild, das für Privatanwender wie für Betreiber gleichermaßen relevant ist: Angreifbar ist oft nicht die exotische Software, sondern das System, das seit Monaten unbeachtet im Netz hängt. Wir ordnen die wichtigsten Meldungen ein und zeigen, worauf es konkret ankommt.

Exchange: 85 Prozent der deutschen Server bleiben offen

Kurz vor dem Wochenende erschien ein Proof-of-Concept-Exploit (PoC) für eine hochriskante Sicherheitslücke in Microsoft Exchange. Als Teil einer Schwachstellenverkettung hilft der Code Angreifern dabei, verwundbare Server zu übernehmen. Genau das macht die Lage brisant: Sobald ein funktionierender PoC kursiert, sind reale Angriffe jederzeit möglich.

Das CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) hat auf Anfrage von heise online Zahlen genannt, die aufhorchen lassen. Rund 85 Prozent der On-Premises-Exchange-Server in Deutschland waren am Freitag noch für die Lücke CVE-2026-62911 verwundbar. Diese ermöglicht laut BSI die Übernahme der Systeme aus dem Internet ohne vorherige Authentifizierung – der denkbar schlechteste Fall bei einer Schwachstelle. Microsoft hatte den Fehler bereits am August-Patchday mit einem Update behoben, doch die Verbreitung des Flickens läuft schleppend.

Seit dem 14. August benachrichtigt das BSI deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen. Für Exchange SE steht das Sicherheitsupdate KB5121573 bereit. Deutlich schwieriger ist die Lage bei älteren Versionen: Der reguläre Support für Exchange 2016 und 2019 lief im Oktober 2025 aus. Patches erhalten nur noch Teilnehmer am kostenpflichtigen Extended-Security-Updates-Programm (ESU). Laut BSI waren in Deutschland allerdings nur neun Exchange-Server 2016/2019 bekannt, auf denen tatsächlich ein ESU-Patch installiert war. Zur Erinnerung: Ende Oktober 2025 liefen noch 92 Prozent der rund 33.000 On-Premises-Exchange-Server in Deutschland mit inzwischen aus dem Support gefallenen Versionen und mit aus dem Netz erreichbaren OWA-Instanzen.

Als Sofortmaßnahme empfiehlt das BSI, den Zugriff aus dem Internet auf webbasierte Exchange-Dienste auf vertrauenswürdige Quell-IPs zu beschränken oder über ein VPN abzusichern. Wer die Aktualisierungen noch nicht eingespielt hat, sollte das nach Einschätzung der Behörde umgehend nachholen.

cPanel/WHM: Root-Lücke im Hosting-Panel

Ein zweiter Fall betrifft die Server-Landschaft direkt hinter vielen Webseiten. Die Entwickler der weitverbreiteten Webhosting-Control-Panel-Software cPanel/WHM haben eine Schwachstelle geschlossen, über die Angreifer unter bestimmten Voraussetzungen als root-Nutzer Schadcode ausführen können. Die Lücke trägt die Kennung CVE-2026-65643.

Laut Warnmeldung des Softwareentwicklers muss ein Angreifer bereits authentifiziert sein und Zugriff auf die Parked- oder Addon-Domains-Verwaltungsfunktion haben. Ist diese Bedingung erfüllt, kann er auf einem nicht näher beschriebenen Weg eigene Dateien auf den Server schieben – was in der Ausführung von Schadcode mit root-Rechten endet. Damit erlangen Angreifer die volle Kontrolle über das System.

Eine Bewertung nach dem CVSS-Score steht bislang aus, doch die weitreichenden Folgen legen eine kritische Einstufung nahe. Betroffen sind laut Hersteller alle im Support befindlichen Versionen. Admins sollten sicherstellen, dass mindestens eine der reparierten Ausgaben installiert ist:

  • 11.110.0.141
  • 11.134.0.53
  • 11.136.0.37
  • 11.138.0.2
  • WP2: 11.138.1.7

Nach aktuellem Stand gibt es keine Hinweise auf laufende Angriffe, und wie sich bereits kompromittierte Systeme erkennen lassen, ist noch nicht bekannt. Trotzdem raten Fachleute zur Eile: cPanel/WHM ist stark verbreitet und damit ein lohnendes Ziel. Bereits im Juni hatten root-Attacken auf cPanel-Instanzen mit LiteSpeed-Plug-in für Schlagzeilen gesorgt, wie heise online berichtet.

Hoymiles liefert Firmware für PV-Wechselrichter nach

Sicherheit betrifft längst nicht nur klassische IT. Anfang Juli hatte der Chaos Computer Club (CCC) Schwachstellen in der Umsetzung des proprietären DTU-Protokolls von Hoymiles aufgedeckt. Die Wechselrichter des Anbieters nutzen DTU zur Kommunikation und gelangen etwa über DTU-Dongles als Bridges ins WLAN und Internet.

Das Problem beschrieb der CCC so: Die DTU-Implementierungen im 868-MHz-Bereich ebenso wie bei den HM-Serien im 2,4-GHz-Band setzen keine Verschlüsselung um. Pakete müssen lediglich die letzten acht Stellen der Seriennummer mitbringen – und diese liefern die Geräte als Antwort auf bestimmte Broadcast-Pakete frei Haus. Angreifer können damit praktisch ohne großen Aufwand auf Wechselrichter mit DTU-Einheit zugreifen. Der CCC schätzte das Risiko so hoch ein, dass sich sogar die Firmware ohne Authentifizierung ersetzen ließe.

Der Hersteller hatte aktualisierte Firmware für den 30. August 2026 versprochen und dieses Datum eingehalten. Die Updates stehen für die HM-Serien sowie die HMS/HMT-Baureihen bereit, darunter Modelle wie HMT-2000-4T, HMS-2000-4T, HMS-800-2T, HMS-600-2T sowie HM-1500, HM-800 und HM-600. Kunden mit Hoymiles-Cloud-Account erhalten ein automatisches Upgrade: Über die S-Miles-Home-App, die Installer-App oder das Web-Portal wird eine Benachrichtigung angestoßen, das Update soll innerhalb von zehn Arbeitstagen nach der Autorisierung greifen. Wer die Cloud nicht nutzt, füllt ein Formular im Self-Service-Center aus und wird vom Kundendienst kontaktiert.

Einen wichtigen Hinweis liefert Hoymiles mit: Nach dem Update funktioniert die Kommunikation mit Drittanbieterprodukten für die offene Datenkommunikation wie OpenDTU oder AhoyDTU nicht mehr. Ob diese Projekte künftig wieder Zugang erhalten, ist offen – eine Zusammenarbeit erwähnt der Hersteller bislang nicht. Ungeklärt bleibt außerdem, wie das Update auf nicht online angebundene Wechselrichter kommen soll. Der Kundensupport hat auf Anfrage angeboten, dafür einen DTU-Dongle zu senden; eine offizielle Stellungnahme zum genauen Vorgehen steht laut Bericht noch aus.

Firefox auf dem iPhone: gefälschte Adressleiste

Auch das mobile Ökosystem ist betroffen. Das Bürger-CERT des BSI warnt vor einer Schwachstelle in Firefox für iOS, über die ein Angreifer die Adressleiste des Browsers fälschen kann. Über eine manipulierte Webseite lässt sich eine vertrauenswürdige Webadresse anzeigen, obwohl der Browser weiterhin die Inhalte des Angreifers darstellt.

Diese Kombination ist geradezu maßgeschneidert für Phishing: Ein Nutzer sieht in der Adressleiste eine seriöse Domain, gibt womöglich Zugangsdaten ein – und übermittelt sie in Wahrheit an eine gefälschte Seite. Zur Ausnutzung muss das Opfer allerdings eine vom Angreifer präparierte Webseite aufrufen. Wer aufmerksam bleibt und Links aus unbekannter Quelle nicht anklickt, reduziert das Risiko deutlich. Details führt das BSI in seinem Warnhinweis aus.

Der BSI-Advisory-Strom: viel Open Source, viele Baustellen

Neben den prominenten Einzelfällen zeigt der laufende Warn- und Informationsdienst des BSI, wie breit die Angriffsfläche ist. In den vergangenen Tagen häuften sich Meldungen zu weitverbreiteten Bausteinen freier Software – oft nicht spektakulär, aber in Summe relevant, weil diese Komponenten in unzähligen Systemen stecken.

Als hoch eingestuft wurden unter anderem eine Codeausführungs-Lücke in xz, über die ein entfernter, anonymer Angreifer beliebigen Programmcode ausführen kann, sowie mehrere vim-Schwachstellen mit demselben Ziel. Ebenfalls im hohen Bereich liegt eine Lücke in VMware Tanzu Spring Security, die das Umgehen von Sicherheitsvorkehrungen ermöglicht, sowie eine Privilegieneskalation in QEMU, die zusätzlich das Ausführen von Code erlaubt. Für Server-Umgebungen relevant ist die als hoch bewertete Schwachstelle in JFrog Artifactory, über die sich Administratorrechte erlangen lassen.

Im mittleren Bereich reiht sich eine lange Liste: eine Privilegieneskalation in sudo und daneben eine weitere sudo-Lücke zum Umgehen von Sicherheitsvorkehrungen, Codeausführung über ncurses und Python, Denial-of-Service-Probleme in expat, rsyslog, libxml2 und im Linux-Kernel sowie eine ffmpeg-Schwachstelle, die aus einem angrenzenden Netzwerk zu Codeausführung oder DoS führen kann. Auch Rsync und GNU tar tauchen mit Lücken zum Umgehen von Schutzmechanismen auf, libpng mit einer Informationsoffenlegung.

Ein Detail sticht heraus: Für eine als mittel eingestufte DoS-Lücke in Red Hat Undertow markiert das BSI den Status ausdrücklich als ungepatcht. Solche Fälle verdienen besondere Aufmerksamkeit, weil hier vorerst nur Absicherung durch Konfiguration oder Netzsegmentierung bleibt, bis ein Fix erscheint. Bei den HP-Computern wiederum wurde im System-BIOS bestimmter PC-Geräte ein Risiko für Rechteausweitung und Codeausführung festgestellt – ein Fall, der zeigt, dass auch Firmware unterhalb des Betriebssystems im Blick bleiben muss.

Phishing und Betrug: die zweite Front

Parallel zu den technischen Lücken berichten mehrere Medien von einer anhaltenden Welle an Betrugsmaschen, die weniger auf Softwarefehler als auf menschliche Reaktionen zielen. Die Bandbreite reicht von gefälschten Steuer-Mails im Namen von Elster über betrügerische Bußgeld-SMS bis zu Angriffen über Messenger. Diese Meldungen sind hier nur als Kontext zu verstehen, unterstreichen aber einen wichtigen Punkt: Die Firefox-Schwäche auf dem iPhone spielt genau solchen Maschen in die Hände, weil eine glaubwürdig aussehende Adressleiste die letzte Hürde vor der Dateneingabe senkt.

Für dich heißt das: Selbst ein vollständig gepatchtes Gerät schützt nicht, wenn ein täuschend echt wirkender Link zur Eingabe von Passwörtern oder Zahlungsdaten verleitet. Technische Updates und gesundes Misstrauen gegenüber unerwarteten Nachrichten gehören zusammen.

Was bedeutet das für dich?

Die Meldungen betreffen unterschiedliche Zielgruppen – vom privaten Balkonkraftwerk-Besitzer bis zum Server-Administrator. Diese Schritte helfen, das eigene Risiko zu senken:

  • Exchange-Betreiber: Prüfe umgehend, ob deine Server das August-Update eingespielt haben. Für Exchange SE steht KB5121573 bereit. Beschränke den Zugriff aus dem Internet auf vertrauenswürdige IP-Adressen oder sichere ihn über ein VPN ab.
  • cPanel/WHM-Admins: Aktualisiere auf eine der reparierten Versionen (etwa 11.138.0.2 oder 11.136.0.37) und kontrolliere, wer Zugriff auf die Parked- und Addon-Domains-Verwaltung hat.
  • Hoymiles-Nutzer: Folge im Web-Portal oder in der S-Miles-Home-App der Upgrade-Benachrichtigung. Ohne Cloud-Anbindung nutzt du das Formular im Self-Service-Center. Bedenke, dass OpenDTU und AhoyDTU nach dem Update nicht mehr funktionieren.
  • iPhone-Nutzer mit Firefox: Halte den Browser auf dem aktuellen Stand und misstraue Links aus E-Mails, SMS oder Messenger-Nachrichten. Gib Zugangsdaten nur ein, wenn du die Seite selbst aufgerufen hast.
  • Linux- und Server-Umgebungen: Spiele Distributions-Updates zügig ein, insbesondere für sudo, xz, vim, den Kernel und QEMU. Behalte ungepatchte Lücken wie in Red Hat Undertow im Auge und sichere betroffene Dienste zusätzlich ab.

Als Grundregel gilt: Systeme, die aus dem Internet erreichbar sind, sind das dringlichste Ziel. Wer den Zugriff einschränkt, verschafft sich Zeit, bis Patches installiert sind.

Kurz beantwortet

Häufige Fragen

Wie gefährlich ist die Exchange-Lücke CVE-2026-62911 wirklich?

Sie gilt als hochriskant, weil sich verwundbare Server laut BSI aus dem Internet ohne vorherige Authentifizierung übernehmen lassen. Mit dem öffentlich verfügbaren Proof-of-Concept-Exploit sind Angriffe jederzeit möglich. Da rund 85 Prozent der deutschen On-Premises-Server am Freitag noch anfällig waren, ist das Zeitfenster für Angreifer groß. Das Einspielen des August-Updates ist daher dringend.

Muss ich als Hoymiles-Kunde selbst aktiv werden?

Wenn du einen Hoymiles-Cloud-Account nutzt, erhältst du das Upgrade automatisch – du folgst dazu der Benachrichtigung in der App oder im Web-Portal, das Update greift innerhalb von zehn Arbeitstagen nach der Autorisierung. Ohne Cloud-Anbindung füllst du ein Formular im Self-Service-Center aus, und der Kundendienst meldet sich. Für Wechselrichter ohne DTU-Verbindung ist der genaue Weg noch nicht abschließend geklärt; der Support bot an, dafür einen DTU-Dongle zu senden.

Verliere ich durch das Hoymiles-Update den Zugriff über OpenDTU?

Ja. Der Hersteller weist ausdrücklich darauf hin, dass nach dem Update die Kommunikation mit Drittanbieterprodukten wie OpenDTU oder AhoyDTU nicht mehr funktioniert. Ob diese Projekte künftig wieder Zugang bekommen, ist offen – eine Zusammenarbeit hat Hoymiles bislang nicht erwähnt.

Bin ich von der cPanel-Lücke betroffen, wenn ich nur eine Webseite bei einem Hoster habe?

Direkt betroffen sind die Betreiber der Server, also in der Regel dein Hosting-Anbieter. Als Endkunde kannst du die reparierten Versionen nicht selbst installieren. Sinnvoll ist, beim Anbieter nachzufragen, ob die Aktualisierung auf eine der genannten Versionen bereits erfolgt ist, da die Lücke bei erfolgreichem Angriff zu voller Server-Kontrolle mit root-Rechten führt.

Wie erkenne ich die gefälschte Adressleiste in Firefox für iOS?

Zuverlässig erkennen lässt sich die Manipulation kaum, weil die angezeigte Adresse gerade den Eindruck einer vertrauenswürdigen Seite erwecken soll. Der beste Schutz ist, gefährdete Links gar nicht erst zu öffnen und Webseiten mit sensiblen Eingaben selbst über ein Lesezeichen oder die manuelle Eingabe der Adresse anzusteuern. Halte den Browser zudem aktuell, damit ein Fix greift, sobald er verfügbar ist.