TECHBOARD #1: Citrix benötigt weitere Sicherheitsupdates, Angreifer verstecken Admin-Konten in WordPress

Real world hacks:

Manipulierte WordPress-Bestellungen können Angreifern Zugriff auf Websites verschaffen

Patchstack berichtete über eine Angriffskampagne, die gespeicherte XSS-Schwachstellen in den Plugins WPC Product Bundles und Ninja Forms ausnutzt. Die ersten Angriffsversuche wurden am 4. und 5. Oktober registriert. Die Plugins haben mehr als 30.000 bzw. 500.000 aktive Installationen. Diese Zahlen sagen jedoch nichts darüber aus, wie viele Websites tatsächlich kompromittiert wurden.

Angreifer schleusen Schadcode über eine Bestellung oder ein Formular ein. Wenn ein Administrator die betroffenen Daten aufruft, nutzt der Code dessen aktive Sitzung aus. Ohne das Passwort zu kennen, installiert er ein schädliches Plugin und erstellt Administratorkonten.

Der Angriff schafft mehrere Möglichkeiten, den Zugriff aufrechtzuerhalten: ein sichtbares Konto, ein verstecktes Konto, einen Anmeldelink für das älteste bestehende Administratorkonto und einen Dateimanager ohne Authentifizierung. Das Entfernen des schädlichen Plugins beseitigt weder die Konten noch die außerhalb des Plugins gespeicherten Hintertüren.

Administratoren sollten die neuesten Versionen von WPC Product Bundles und Ninja Forms installieren, die auch weitere Sicherheitskorrekturen enthalten. Bei Verdacht auf die Ausführung von Schadcode müssen die Benutzerdatenbank, Dateien und mu-plugins überprüft werden. Manipulierte Dateizeitstempel bedeuten, dass eine Kontrolle ausschließlich der jüngsten Änderungen nicht ausreicht. Auch wenn die Domain imgcdn1.com nicht in den Serverlogs auftaucht, lässt sich eine Kompromittierung nicht ausschließen.

Im Falle einer Kompromittierung müssen unbefugte Zugriffe entfernt sowie privilegierte Passwörter, WordPress-Authentifizierungsschlüssel und Salts geändert werden. Auch das älteste Administratorkonto kann kompromittiert sein, ohne dass dessen Passwort gestohlen wurde. Patchstack hat in seinen Telemetriedaten bislang nur eine begrenzte Anzahl von Angriffsversuchen über die beiden Plugins registriert. Für Penetrationstester zeigt dies, wie wichtig es ist, auch die Darstellung von Benutzereingaben in Administrationsoberflächen zu überprüfen.

Schwachstellen im Fokus:

Citrix NetScaler erhält weitere Sicherheitsupdates, nachdem Citrix im September die aktive Ausnutzung zweier Schwachstellen bestätigt hatte. CVE-2026-88771 ermöglicht es nicht authentifizierten Angreifern, Befehle auszuführen, ohne dass zusätzliche Funktionen aktiviert sein müssen. CVE-2026-88772 kann bei aktiviertem DTLS zur Ausführung von Schadcode oder zu Dienstunterbrechungen führen. DTLS ist auf virtuellen VPN-Servern standardmäßig aktiviert. Eine weitere Schwachstelle, CVE-2026-88779, die am 3. Oktober veröffentlicht wurde, gefährdet die Verfügbarkeit bei Konfigurationen mit SAML SP oder IdP. Betroffene Systeme benötigen ein neueres Sicherheitsupdate.

Ein Update beseitigt jedoch nicht unbedingt die Folgen einer bereits erfolgten Kompromittierung. CERT-EU beschrieb einen Angriff mit einer Webshell, über die Angreifer das Gerät mittels einer Weboberfläche steuern können. Unternehmen sollten Beweise sichern, Updates unverzüglich installieren und die Integrität der Systeme sowie das mögliche Ausmaß des Sicherheitsvorfalls untersuchen.

GitLab warnt vor der aktiv ausgenutzten Schwachstelle CVE-2026-85706, die es unter bestimmten Bedingungen auch nicht authentifizierten Angreifern ermöglichen kann, auf Dateien des Servers zuzugreifen. Unternehmen mit selbstverwalteten GitLab-Installationen sollten daher überprüfen, ob sie eine gepatchte Version verwenden. Laut GitLab sind GitLab.com und GitLab Dedicated bereits gegen diese Schwachstelle geschützt.

Ein Versuch, eine Datei auszulesen, bedeutet jedoch nicht zwangsläufig, dass deren Inhalt tatsächlich abgeflossen ist. Bei der Untersuchung muss festgestellt werden, welche Daten der Server tatsächlich an den Angreifer übertragen hat. Der HTTP-Statuscode allein reicht dafür nicht aus. Vor einem Update oder Neustart sollten deshalb die Logs gesichert und anschließend die übertragenen Daten anhand der GitLab-Anleitung überprüft werden.

Tools für Penetrationstester

SnafflePy und PyGroup3r helfen dabei, sensible Dateien und riskante Gruppenrichtlinienkonfigurationen zu identifizieren. Die Python-Versionen erleichtern das Testen. Wie schwerwiegend ein Fund ist, hängt von den verfügbaren Zugriffsrechten und den möglichen Auswirkungen ab.

ADCS_Tools unterstützen Tests zur Ausnutzung des Certificate Enrollment Web Service (CES) in Active Directory Certificate Services (AD CS). Durch das Weiterleiten von Authentifizierungsdaten können Angreifer unter Umständen Zertifikate für fremde Identitäten erhalten. Entscheidend sind die Konfiguration und die vorhandenen Authentifizierungsschutzmaßnahmen.

KI/LLM-News

TypeSafe AI stellte das Modell Jev vor, das für Entscheidungsprozesse in Softwareanwendungen entwickelt wurde. Im Bereich Cybersicherheit könnte es beispielsweise dazu eingesetzt werden, Sicherheitsmeldungen als dringend, weniger kritisch oder weiter zu untersuchen einzustufen. Korrekt formatierte Ergebnisse und eine hohe angegebene Konfidenz garantieren jedoch keine richtigen Entscheidungen. Vor dem Einsatz sollten Unternehmen insbesondere Szenarien testen, in denen das Modell eine tatsächliche Bedrohung fälschlicherweise als harmlos einstuft.

CITADELO News:

• In 43 Cloud-Penetrationstestprojekten identifizierten wir 18 kritische und 44 schwerwiegende Schwachstellen. Cloud-Projekte wiesen insgesamt die höchste Schwachstellendichte auf. In 42 % der Projekte wurde mindestens eine kritische Schwachstelle festgestellt.

• Die häufigste kritische Schwachstelle in Webanwendungen und APIs bleibt eine unzureichende Zugriffskontrolle. Auch verbundene Komponenten bergen Risiken, etwa anfällige Bibliotheken, offengelegte API-Schlüssel oder vergessene Benutzerkonten. Unternehmen sollten daher Anwendungen und ihre Umgebung regelmäßig testen, eingesetzte APIs erfassen und Berechtigungen direkt auf dem Server überprüfen.

Wissen Sie, welche Schwachstellen sich in Ihren Systemen verbergen?

Cyberbedrohungen entwickeln sich ständig weiter. Penetrationstests helfen Ihnen, Sicherheitslücken aufzudecken, bevor Angreifer sie ausnutzen. Lassen Sie die Sicherheit Ihrer Anwendungen, Infrastruktur und Systeme von Ethical Hackern überprüfen.