Zero-Day und Patchday: Warum Updates im Homelab zählen

Kurz gesagt: Eine Zero-Day-Lücke wird angegriffen, bevor es ein Update gibt — dagegen hilft vor allem, wenig angreifbare Fläche ins Internet zu stellen. Viele Angriffe nutzen aber Lücken, für die längst ein Update bereitliegt, das nur noch niemand eingespielt hat. Der Abstand zwischen Update und Angriff ist 2026 auf Stunden bis wenige Tage geschrumpft. Fürs Homelab heißt das: Alles, was aus dem Internet erreichbar ist, bekommt Updates sofort; alles andere in einem festen Rhythmus — mit Backup davor.

Zero-Day, N-Day, Patchday: drei Begriffe, ein Wettlauf #

• Zero-Day: Google definiert einen Zero-Day als Schwachstelle, die bösartig ausgenutzt wurde, bevor ein Patch öffentlich verfügbar warHerstellerangabe. Der Hersteller hatte also „null Tage“, um zu reagieren.
• N-Day: Eine Lücke, für die es schon ein Update gibt — seit „n“ Tagen. Auch N-Days sind für Angreifer interessant, weil jedes Update verrät, wo der Fehler steckte. Wer den Unterschied zwischen alter und neuer Version vergleicht, findet die Stelle schneller.
• Patch und Patchday: Ein Patch ist ein Update, das einen Fehler behebt. Ein Patchday ist ein fester Veröffentlichungstermin. Microsoft bündelt seine Updates am zweiten Dienstag jedes Monats, viele andere Hersteller veröffentlichen, sobald ein Fix fertig ist.

Der Vorteil fester Termine: Admins können planen. Der Nachteil: Am selben Tag wissen auch Angreifer, wo sie suchen müssen.

Wie viele Zero-Days gibt es eigentlich? #

Weniger, als die Schlagzeilen vermuten lassen — aber sie treffen gezielt. Die Google Threat Intelligence Group zählte 90 in echten Angriffen ausgenutzte Zero-Days im Jahr 2025, nach 78 im Jahr 2024 und 100 im Rekordjahr 2023; 43 davon (48 Prozent) betrafen Unternehmenssoftware und Geräte, ein neuer HöchstwertHerstellerangabe. Google betont selbst, dass die Zahl nur die erkannten Fälle umfasst und sich nachträglich ändern kann.

Auffällig ist, welche Unternehmensprodukte es trifft. Rund die Hälfte der Unternehmens-Zero-Days (21) betraf Sicherheits- und Netzwerkprodukte; 14 Zero-Days betrafen sogenannte Edge-Geräte, und Google hält diese Zahl für eher zu niedrig, weil auf solchen Geräten kaum Erkennungssoftware läuftHerstellerangabe. Edge-Geräte sind die Systeme am Rand eines Netzes: VPN-Gateways, Firewalls, Router — also genau die Geräte, die direkt am Internet hängen.

Was 2026 tatsächlich ausgenutzt wurde #

Die beste öffentliche Liste nachweislich angegriffener Lücken führt die US-Cybersicherheitsbehörde CISA: den Katalog Known Exploited Vulnerabilities (KEV). Eine Lücke kommt nur hinein, wenn es Belege für echte Ausnutzung gibt. In der Ausgabe vom 23. Oktober 2026 umfasst der Katalog 1.756 Einträge; 272 davon wurden 2026 neu aufgenommen, darunter 87 Lücken mit CVE-Nummern aus früheren JahrenBelegt (eigene Auszählung der offiziellen Katalogdaten). Alte Lücken bleiben also gefährlich, solange ungepatchte Geräte im Netz hängen.

Für Selbsthoster lesen sich die Einträge 2026 wie ein Inventar des eigenen Homelabs: WordPress Core, der Linux-Kernel, MikroTik RouterOS, Ubiquiti UniFi OS, Roundcube Webmail, Zammad, ONLYOFFICE Docs und Collabora Online stehen darin. Ein besonders anschauliches Beispiel ist Plex. Plex meldete im Oktober 2026, dass vier Lücken im Plex Media Server bis Version 1.43.2 aktiv und breit ausgenutzt werden; zusammen erlauben sie Angreifern ohne Anmeldung, Code mit den Rechten des Plex-Dienstes auszuführen, und wurden unter anderem zum Einschleusen von Krypto-Minern genutztHerstellerangabe. CISA nahm alle vier Lücken am 20. Oktober 2026 in den KEV-Katalog aufBelegt. Plex rät, jeden Server mit älterer Version, der aus dem Internet erreichbar war, als möglicherweise kompromittiert zu behandeln.

Das BSI zeigt dasselbe Muster aus deutscher Sicht. Unter den Cyber-Sicherheitswarnungen des BSI aus September und Oktober 2026 betreffen mehrere aktiv ausgenutzte Zero-Days Sicherheits- und Zugangsprodukte, etwa von Citrix, Ivanti, F5, Cisco und BeyondTrustBelegt. Dazu kam am 21. Oktober die Warnung zu den kritischen PHP-Lücken, die im ersten Teil dieser Reihe ausführlich erklärt ist.

Der Patchday im Oktober 2026 #

Am Patchday vom 13. Oktober 2026 schloss Microsoft 1.411 Lücken — ein Rekord —, darunter eine bereits aktiv ausgenutzte Lücke in der Windows-Shell, mit der Angreifer die Warnung für heruntergeladene Dateien („Mark of the Web“) umgehen könnenBelegt. BleepingComputer bringt den Rekord damit in Verbindung, dass Microsoft verstärkt KI-Werkzeuge zur Fehlersuche einsetzt. Das dürfte erklären, warum Patchdays größer werden — und warum „ich warte mal ab“ keine Strategie ist.

Wie schnell muss man patchen? #

Die ehrliche Antwort lautet 2026: schneller als früher. Laut dem Mandiant-Bericht M-Trends 2026 lag die durchschnittliche „Time to Exploit“ — grob die Zeit zwischen dem Erscheinen eines Updates und der Ausnutzung der Lücke — 2018 noch bei 63 Tagen, 2024 bei minus einem Tag; für 2025 wird sie auf minus sieben Tage geschätztHerstellerangabe. Ein negativer Wert bedeutet: Im Durchschnitt beginnt die Ausnutzung, bevor das Update da ist. Der Wert für 2025 ist eine Schätzung.

Wie das konkret aussieht, zeigt ein Fall aus dem September. GitLab schloss eine kritische Lücke (CVE-2026-85706) im regulären Patchzyklus und meldete keine Ausnutzung; wenige Tage später häuften sich laut BSI Berichte über Angriffsversuche, CISA nahm die Lücke in den KEV-Katalog aufBelegt. Wer eine eigene GitLab-Instanz am Netz hatte und „am Wochenende mal“ updaten wollte, war damit schon spät dran.

Amazon empfiehlt nach den PHP-Angriffen, bei kritischen, aus dem Internet erreichbaren Lücken Patch-Zeiten in Stunden statt in 7 oder 30 Tagen zu messenHerstellerangabe. Auch Behörden ziehen an: Die CISA-Richtlinie BOD 26-04 vom Juni 2026 löst die bisherigen Vorgaben ab und macht die Frist von vier Faktoren abhängig — ob ein System öffentlich erreichbar ist, ob die Lücke im KEV-Katalog steht, ob sich der Angriff vollständig automatisieren lässt und wie viel Kontrolle er verschafft; in den schwersten Fällen gelten drei Tage plus forensische PrüfungBelegt. Diese Pflicht gilt für US-Bundesbehörden, die Logik passt aber erstaunlich gut aufs Homelab.

Was heißt das für dich? Eine Update-Strategie fürs Homelab #

Übertrag die vier CISA-Faktoren auf dein Netz und teil deine Systeme in drei Stufen ein:

1. Sofort (am selben Tag): Alles, was aus dem Internet erreichbar ist und für das eine aktiv ausgenutzte Lücke gemeldet wird. Typisch: per Portweiterleitung freigegebene Dienste wie Plex, Nextcloud, WordPress, GitLab, ein Reverse Proxy, das VPN-Gateway, die Firewall selbst. Kannst du nicht sofort patchen, nimm den Dienst vom Netz, bis das Update drauf ist.
2. Zeitnah (innerhalb einer Woche): Alle anderen Updates für erreichbare Dienste und Sicherheitsupdates für Router, NAS und Hypervisor.
3. Im Wartungsfenster (z. B. wöchentlich oder alle zwei Wochen): Interne Dienste, die nur im Heimnetz oder per VPN erreichbar sind.

Damit das ohne Stress funktioniert:

• Angriffsfläche klein halten. Der wirksamste Schutz gegen Zero-Days ist, dass ein Angreifer den Dienst gar nicht erst erreicht. Statt Portweiterleitungen lieber ein VPN nutzen — welche Variante zu dir passt, zeigt Tailscale vs. WireGuard. Plex selbst rät, den Fernzugriff abzuschalten, wenn du ihn nicht brauchst.
• Sicherheitsupdates automatisieren, wo es risikoarm ist. Auf Debian und Ubuntu installiert unattended-upgrades Sicherheitsupdates automatisch. Bei Router und NAS die automatische Firmware-Aktualisierung oder zumindest die Benachrichtigung einschalten.
• Container bewusst aktualisieren. Bei Docker heißt Update: neues Image ziehen und den Container neu erstellen. Lass dich über neue Versionen benachrichtigen, statt blind alles automatisch zu aktualisieren — ein fehlerhaftes Image kann sonst nachts deinen Dienst lahmlegen.
• Vor jedem Update ein Rückweg. Snapshot der VM oder des Containers, dazu ein funktionierendes Backup nach der 3-2-1-Regel. Wer zurückrollen kann, traut sich auch, schnell zu patchen.
• Informiert bleiben, ohne im Feed zu ertrinken. Abonniere die Sicherheitsmeldungen der Hersteller, deren Software du wirklich am Internet betreibst, und behalte die Warnungen des BSI im Blick. Neue KEV-Einträge sind ein gutes Signal, dass es ernst ist.
• Nach dem Update prüfen. Läuft der Dienst wieder? Ein einfaches Monitoring mit Uptime Kuma meldet dir, wenn nach einem Update etwas nicht mehr erreichbar ist.

Und wenn ein Dienst schon vor dem Update am Netz hing, während die Lücke ausgenutzt wurde: Update allein reicht dann nicht. Prüfe auf unbekannte Konten, Dateien und Prozesse — oder setz den Dienst aus einem sauberen Backup neu auf.