Was in KW42/2026 geschah…

Verfasst von Andreas Kleutgens

Kritische Lücken ohne Anmeldung: Was Sie bei NAS und Mac jetzt prüfen sollten

Im September gab es zwei Meldungen, die auf den ersten Blick nichts miteinander zu tun haben: eine Sicherheitslücke im Betriebssystem von Synology-NAS-Systemen und eine Lücke in der Bildverarbeitung von iPhone, iPad und Mac. Beide haben etwas gemeinsam, das für jedes Büro mit eigener IT zählt: Zum Ausnutzen braucht es kein Passwort und keinen besonders unvorsichtigen Mitarbeiter. Deshalb lohnt sich ein genauer Blick.

Synology: Zwei kritische Lücken, keine Zwischenlösung

Am 18. September 2026 hat Synology die Sicherheitsmeldung Synology-SA-26:13 für DiskStation Manager (DSM) veröffentlicht. Sie umfasst acht Schwachstellen. Zwei davon sind mit dem Höchstwert 9,8 (von 10) bewertet und als „kritisch" eingestuft. Laut Synology können sie aus der Ferne und ohne Anmeldung zum Lesen und Schreiben von Dateien sowie zu einem Dienstausfall führen. Betroffen sind die Komponenten SCGI (CVE-2026-13684) und die Anmeldelogik (CVE-2026-13639). Die übrigen sechs Lücken sind niedriger bewertet und setzen überwiegend einen angemeldeten Benutzer oder Administrator voraus.

Wichtig: Synology nennt keine Zwischenlösung („Mitigation: None"). Es hilft nur das Update auf diese oder neuere Versionen:

  • DSM 7.4: 7.4-90075
  • DSM 7.3: 7.3.2-86009-4
  • DSM 7.2.2: 7.2.2-72806-9
  • DSM 7.2.1: 7.2.1-69057-12

Apple: Lücke in CoreGraphics, möglicherweise gezielt ausgenutzt

Ende September hat Apple iOS und iPadOS 26.7.1, macOS Tahoe 26.7.1 und macOS Sequoia 15.8.1 veröffentlicht. Sie schließen CVE-2026-86950, einen Speicherfehler in CoreGraphics, dem Framework für Bilder und PDF-Dateien. Eine präparierte Datei könnte demnach fremden Code ausführen. Laut Malwarebytes, die sich auf Apples Hinweise stützen, wurde die Lücke möglicherweise in einem äußerst gezielten Angriff gegen bestimmte Personen genutzt. Die Angabe stammt aus zweiter Hand; die Original-Sicherheitshinweise von Apple sollten Sie im Zweifel selbst prüfen.

Für Büros ist das relevant, weil Bilder und PDFs zum Alltag gehören: Anhänge, Pläne, Druckdaten, Verträge, Scans.

Was das für Ihr Büro bedeutet

Die folgenden Punkte sind meine fachliche Einschätzung, keine Aussagen der Hersteller:

1. Ist Ihr NAS aus dem Internet erreichbar? Bei Lücken ohne Anmeldung ist die entscheidende Frage, ob ein Angreifer das Gerät überhaupt erreichen kann. Ein NAS, das nur im Büronetz hängt, ist deutlich schwerer anzugreifen als eines mit Portfreigabe im Router. Für den Zugriff von außen ist ein VPN meist die sauberere Lösung als offene Ports. Prüfen Sie, welche Freigaben Ihr Router tatsächlich hat – oft sind es Altlasten aus früheren Einrichtungen.

2. Welche DSM-Version läuft? Prüfen Sie in der Systemsteuerung unter Aktualisierung und Wiederherstellung, ob Ihre Version zu den oben genannten gehört. Läuft ein älteres DSM, das Synology nicht mehr pflegt, ist ein Gerätewechsel auf Dauer unvermeidlich. Welche Modelle welche DSM-Version unterstützen, steht auf der Synology-Website.

3. Automatische Updates für Apple-Geräte. Auf iPhone, iPad und Mac lassen sich Updates automatisch einspielen. In Büros mit mehreren Geräten übernimmt das ein Gerätemanagement zentral, sodass kein Rechner „vergessen" wird.

4. Ein Backup, das den Angriff übersteht. Wer Dateien auf dem NAS schreiben kann, kann sie im ungünstigen Fall auch verändern. Ein Backup, das vom produktiven System getrennt liegt – etwa auf einem zweiten Gerät oder in einem Cloud-Speicher mit Versionierung –, schützt vor dem Totalverlust. Testen Sie gelegentlich, ob sich Daten tatsächlich zurückholen lassen.

5. Wissen, wer was verwaltet. Ob Sie die Geräte selbst pflegen oder ein Dienstleister: Klären Sie, wer Sicherheitsmeldungen verfolgt und innerhalb welcher Frist Updates eingespielt werden.

Fazit

Updates sind keine Formalie, wenn Lücken ohne Anmeldung ausnutzbar sind. Ein halber Tag Planung für Updates, Zugriffskonzept und Backup-Test kostet deutlich weniger als der Ausfall eines Büros. Wenn Sie unsicher sind, ob Ihr NAS erreichbar ist oder welche Version läuft, sprechen Sie mich gern an – ich schaue mir das mit Ihnen an.

Hinweis zur Abgrenzung: Dieser Beitrag behandelt Updates unter dem Blickwinkel „Erreichbarkeit". Der Beitrag vom 28.09.2026 („Patch-Disziplin") behandelte die allgemeine Update-Pflicht.

Quellen

Andreas Kleutgens
Weiter

Neues aus der Apple Welt - KW 38