IT-News 13.08.2026: NGINX-UI, TPM-Lücke, Hotel-Phishing
1. NGINX-UI: Mehrere schwere Schwachstellen entdeckt
Im Verwaltungswerkzeug NGINX-UI, mit dem sich der beliebte Webserver NGINX komfortabel über eine grafische Oberfläche steuern lässt, wurden mehrere Sicherheitslücken gefunden. Laut BSI CERT-Bund können Angreifer darüber erweiterte Berechtigungen erlangen und im schlimmsten Fall beliebigen Code mit Root-Rechten ausführen, also die vollständige Kontrolle über den betroffenen Server übernehmen. Zusätzlich lassen sich Sicherheitsmechanismen umgehen, vertrauliche Daten offenlegen oder der Dienst durch gezielte Angriffe lahmlegen.
Die Einstufung „hoch" durch das BSI unterstreicht den Ernst der Lage. Wer NGINX-UI im Einsatz hat, sollte die Meldung nicht auf die lange Bank schieben, denn ein kompromittierter Webserver ist meist der direkte Zugang zu Kundendaten, Shop-Systemen oder internen Anwendungen dahinter.
Was heißt das für den Mittelstand? Prüfen Sie umgehend, ob NGINX-UI in Ihrer Infrastruktur läuft, etwa auf eigenen Servern oder bei einem Hosting-Partner, und spielen Sie das verfügbare Update zeitnah ein. Root-Zugriff auf den Webserver bedeutet im Zweifel Zugriff auf alles, was darauf läuft, von der Firmenwebsite bis zum Shopsystem. Wenn Sie unsicher sind, ob Ihre Serverlandschaft aktuell und sauber abgesichert ist, hilft ein strukturierter Blick von außen: Unser Website-Audit deckt genau solche offenen Flanken auf, bevor es jemand anderes tut.
Quelle: BSI CERT-Bund
2. Gehackter IT-Dienstleister trifft Hotelbranche über Phishing-Welle
Nach einem Sicherheitsvorfall bei einem österreichischen IT-Dienstleister für die Hotelbranche rollt derzeit eine gezielte Phishing-Welle über die betroffenen Hotels und deren Gäste. Angreifer nutzen offenbar Informationen aus dem ursprünglichen Vorfall, um täuschend echte Nachrichten zu verschicken und Gäste zur Preisgabe sensibler Daten zu bewegen.
Der Fall zeigt ein Muster, das längst nicht nur die Hotellerie betrifft: Nicht der eigene Betrieb wird zuerst gehackt, sondern ein Dienstleister in der Kette, über den sich Angreifer anschließend Zugang zu dessen Kunden und deren Endkunden verschaffen. Für die betroffenen Hotels bedeutet das einen doppelten Schaden, den eigenen Vorfall gibt es zwar nicht, das Vertrauen der Gäste leidet aber trotzdem.
Was heißt das für den Mittelstand? Machen Sie sich bewusst, dass die eigene IT-Sicherheit immer nur so stark ist wie die Ihres schwächsten Dienstleisters. Wer sensible Kunden- oder Gästedaten an externe Systeme, Buchungsportale oder Software-Anbieter weitergibt, sollte regelmäßig hinterfragen, wie diese Partner selbst abgesichert sind, und im eigenen Haus klare Prozesse für den Ernstfall etablieren. Eine unabhängige IT-Sicherheit-Beratung hilft dabei, solche Lieferketten-Risiken systematisch zu bewerten, bevor eine Phishing-Welle Ihre Kunden erreicht.
Quelle: heise online
3. Sicherheitschip TPM: Das Fundament wackelt
Das Trusted Platform Module, kurz TPM, ist in modernen Firmenrechnern ein kleiner, aber entscheidender Baustein: Es speichert kryptografische Schlüssel, sichert die Festplattenverschlüsselung ab und bildet die Vertrauensbasis für den Windows-Login. Nun zeigt sich laut heise Security, dass ausgerechnet dieser Security-Coprozessor selbst angreifbar ist, obwohl er eigentlich als besonders geschütztes Element gilt.
Das ist deshalb bedeutsam, weil ein kompromittiertes TPM die gesamte Vertrauenskette eines Rechners untergraben kann. Funktionen, die eigentlich vor Manipulation schützen sollen, verlieren dadurch einen Teil ihrer Wirkung, selbst wenn Betriebssystem und Anwendungen sauber gepflegt sind.
Was heißt das für den Mittelstand? Halten Sie nicht nur Windows und Ihre Software aktuell, sondern auch die Firmware Ihrer Hardware, also BIOS- beziehungsweise UEFI- und TPM-Updates der Gerätehersteller. Gerade bei größeren Rechnerflotten geht das schnell unter, weil solche Updates seltener kommuniziert werden als klassische Software-Patches. Wenn Ihnen dafür intern die Zeit oder das Personal fehlt, übernimmt unsere Fernwartung die laufende Pflege Ihrer Geräte, damit auch diese tieferliegende Schutzschicht nicht in Vergessenheit gerät.
Quelle: heise Security
Kurz gefasst
- NGINX-UI: mehrere hoch eingestufte Lücken, im Zweifel Root-Zugriff auf den Webserver, sofort patchen.
- Hotelbranche: gehackter IT-Dienstleister löst Phishing-Welle gegen Gäste aus, Lieferketten-Risiko ernst nehmen.
- TPM-Coprozessor: Vertrauensbasis vieler Firmenrechner ist angreifbar, Firmware-Updates nicht vergessen.
- Drei unterschiedliche Angriffspunkte, ein gemeinsamer Nenner: veraltete Software und blinde Flecken in der Lieferkette sind das größte Risiko. Lassen Sie Ihre IT-Sicherheit regelmäßig prüfen, statt auf den nächsten Vorfall zu warten.