„Nicht klicken“ reicht nicht mehr

Am 1. Oktober hat die National Cybersecurity Alliance den dreiundzwanzigsten Monat der Sensibilisierung eröffnet. Der Satz passt auf ein Plakat: Don’t Make It Easy for Them. Machen Sie es ihnen nicht leicht. Lisa Plaggemier, die Direktorin, sagte es ohne Theater. Das Delikt rechnet damit, dass Sie beschäftigt sind.

Was das Plakat verlangt

Vier Gewohnheiten. Ein langes Passwort, in einem Manager. Ein zweiter Faktor. Ein Blick auf die Nachricht, die drängt. Ein Update. Nichts davon ist überflüssig. Phishing ist im September nicht in Rente gegangen.

Was der September schon getan hatte

Zwischen dem 28. August und dem 8. September beschrieb Proofpoint ein Kit. Sie nannten es BlueMoon. Es kettet zwei Fehler in der Chrome-Engine, CVE-2026-85046 und CVE-2026-87491, an einen Windows-Fehler, CVE-2026-85880, der Rechte hebt. Google schloss die Browser-Fehler am 3. und am 8. September. Der Windows-Fehler kam am Patch Tuesday.

Ars Technica brachte den Satz, den ein Vorstand unterstreichen sollte. Diese Browser-Fehler waren im öffentlichen Chromium-Code schon behoben. Noch nicht in dem stabilen Chrome, den die Leute offen haben. Proofpoint nennt das einen Patch-Gap-Zero-Day: der Fix existiert, Ihr Haus hat ihn nicht.

Das ist kein Zero-Click

Machen Sie keinen Film daraus. Mindestens ein berichteter Einsatz war gezielte E-Mail. Das Kit beweist nicht, dass niemand etwas öffnen musste. Es beweist etwas anderes: eine Seite, oder eine Nachricht, gegen einen Browser, der dem schon veröffentlichten Fix hinterherläuft.

Wenn der einzige Satz des Unternehmens in diesem Oktober das Plakat ist, trainieren Sie den Klick und messen die Verspätung nicht.

Was Sie am Montag fragen

1. Auf welcher Chrome-Version sitzt die Leitung, und wer misst das in Tagen?
2. Sagt der Plan des Monats etwas zu dem Fall, in dem die Person nicht die Tür ist?
3. Wer kann ein Vorstand-Notebook vom Netz nehmen, bevor der Patch da ist?
4. Ist der zweite Faktor auch die Antwort, wenn die Lücke kein Passwort verlangt?