LONDON (IT BOLTWISE) – Eine Schwachstelle im KnowledgeDeliver-LMS wird laut Sicherheitsberichten als Zero-Day missbraucht, um erst einen Webshell-Zugriff (Godzilla) und anschließend eine Cobalt-Strike-Implementierung bereitzustellen. Der Angriff nutzt eine ViewState-Deserialisierung in ASP.NET, die durch hardcodierte machineKey-Werte ermöglicht wird. Für Unternehmen bedeutet das vor allem: Standardisierte Secrets in Deployment-Templates können ganze Installationslandschaften gleichzeitig kompromittieren. Jetzt rücken Patch-Verfügbarkeit, Rotationskonzepte für Schlüssel und engmaschiges Monitoring bei Internet-exponierten Applikationen in den Vordergrund.
Der Missbrauch einer zuvor noch nicht ausreichend geschlossenen Schwachstelle im Learning-Management-System KnowledgeDeliver zeigt erneut, wie schnell sich ein einzelner Fehler in einer webfähigen Plattform in eine komplette Angriffskette verwandeln kann. Laut Sicherheitsbeobachtern wurde die Lücke als Zero-Day genutzt, um zunächst mit einem Godzilla-Webshell-Zugriff (in Berichten auch BLUEBEAM genannt) in die kompromittierte Umgebung einzudringen und danach die Auslieferung weiterer Payloads anzustoßen. Besonders brisant ist dabei nicht nur der Zugriff auf die Server, sondern die anschließende Manipulation von Client-seitigem Verhalten, um Nutzer gezielt in eine weitere Infektionsphase zu ziehen. Das Ereignis fällt zudem in eine Zeit, in der viele Unternehmen ihre LMS- und Portal-Setups noch immer als „betriebsnah“ und damit weniger dynamisch als Kernproduktionssysteme behandeln.
Technisch betrachtet liegt dem Fall CVE-2026-5426 (CVSS 7,5) eine klassische ASP.NET-Fehlkonzeption zugrunde: hardcodierte machineKey-Werte im vendorseitigen web.config-Template. Diese Schlüssel werden in der ASP.NET-Runtime zum Verschlüsseln und Signieren von Daten verwendet, unter anderem für ViewState-Payloads, die über HTTP-Requests zwischen Client und Server persistiert werden. Wenn Angreifer die machineKey-Werte einer Installation kennen, können sie einen speziell präparierten ViewState-Container konstruieren und ihn über den __VIEWSTATE-Parameter an die Anwendung senden. Der Server deserialisiert den Inhalt dann im falschen Sicherheitskontext und öffnet damit Tür und Tor für unauthenticated remote code execution, obwohl keine regulären Authentifizierungsmechanismen umgangen werden müssten.
Die beobachtete Angriffsdynamik verdeutlicht zudem, wie stark solche Schwachstellen mit Taktiken aus dem Tooling-Ökosystem realer Angreifer verknüpft sind. In dem beschriebenen Ablauf wurden nach erfolgreicher Ausnutzung Godzilla-Komponenten installiert, die es den Angreifern erlaubten, Kommandos auszuführen und weitere Payloads nachzuladen. Auffällig war dabei eine Eskalation der Rechte im Dateisystem: Der Angreifer setzte Rechte so, dass „Everyone“ vollständigen Zugriff auf das Verzeichnis der Webanwendung erhielt. Damit wurde die Kontrolle über die Server-Operating-Umgebung nicht nur erlangt, sondern für spätere Schritte robust gemacht. Anschließend kam es zu einer stillen Veränderung einer JavaScript-Datei, um eine gefälschte Sicherheitswarnung im Browser zu erzeugen und Nutzer zur Installation eines vermeintlichen „Security Authentication Plugins“ zu verleiten.
Damit rückt der Market- und Branchenkontext in den Fokus. Solche Ketten sind im Umfeld von gleichartigen CMS- und Web-Portal-Plattformen wiederkehrend: Berichte verweisen auch auf Missbrauch ähnlicher Schwachstellen in Sitecore Experience Manager (XM) sowie in weiteren Enterprise-Plattformen wie Gladinet CentreStack und TrioFox. Das Muster ist dabei häufig dasselbe: Deployment-Templates enthalten standardisierte Secrets, die in der Praxis über mehrere Installationen hinweg weitergereicht werden. Wenn ein Angreifer einen Satz dieser Secrets in einer Umgebung extrahiert oder öffentlich verfügbar macht, kann er die gleichen kryptografischen Abhängigkeiten in anderen, internetexponierten Instanzen zur Deserialisierung missbrauchen. Experten ordnen das als strukturelles Risiko ein, weil es „Blast Radius“ und Angriffsfläche systematisch vervielfacht.
Wie aus einer Formulierung von Google Mandiant und der Google Threat Intelligence Group hervorgeht, sei es einem unbekannten Akteur gelungen, die Lücke zu nutzen, um bösartigen Code in das LMS einzuschleusen, mit dem Ziel, Besucher der Seite zu infizieren. Wichtig für die operative Einordnung ist dabei die konkrete Sicherheitslogik: „The ASP.NET ViewState persists page state across postbacks“, wie Google es beschreibt. Und weiter: Sobald der machineKey bekannt ist, „can a threat actor craft a malicious ViewState payload“. Im Kern ist das eine Warnung, dass „Sicherheitsmechanismen durch Geheimnisse“ in Templates in der Realität selten einzigartig bleiben, weil Organisationen häufig auf Wiederverwendung, Konsistenz und einfache Bereitstellung optimieren.
Für die Zukunftsplanung ergibt sich daraus ein klarer Handlungsrahmen, der über reines Patch-Management hinausgeht. Die zentrale Implikation lautet: Secrets müssen pro Installation eindeutig sein, und die Endpoint-Überwachung muss ViewState- und Deserialisierungs-anomalien mit in die Erkennungslogik aufnehmen. Unternehmen sollten außerdem prüfen, ob standardisierte web.config-Templates wirklich nur einmal genutzt werden oder ob sie faktisch als „shared secret“ für eine ganze Landschaft dienen. Im Vergleich zu reinen Cloud- oder API-first Architekturen sind klassische Server-Renderings mit ViewState besonders anfällig, wenn kryptografische Schlüssel nicht restriktiv verwaltet werden. Der nächste Schritt ist daher eine Kombination aus Schlüsselrotation, harter Konfigurationskontrolle und detektierenden Signalen wie ungewöhnlichen __VIEWSTATE-Strukturen, Webshell-Indizien in Upload-Pfaden sowie auffälligen Dateimodifikationen an JavaScript-Assets. Damit wird nicht nur die aktuelle Lücke geschlossen, sondern die Wahrscheinlichkeit sinkt, dass sich ähnliche Deserialisierungsangriffe erneut in eine End-to-End-Infection-Kette verwandeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KnowledgeDeliver-LMS: CVE-2026-5426 ermöglicht Godzilla und Cobalt Strike über ViewState" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KnowledgeDeliver-LMS: CVE-2026-5426 ermöglicht Godzilla und Cobalt Strike über ViewState" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KnowledgeDeliver-LMS: CVE-2026-5426 ermöglicht Godzilla und Cobalt Strike über ViewState« bei Google Deutschland suchen, bei Bing oder Google News!