Kritische Sicherheitslücke in Sitecore: CISA fordert sofortige Maßnahmen

WASHINGTON / LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in Sitecore-Systemen hat die US-amerikanische Cybersicherheitsbehörde CISA dazu veranlasst, sofortige Maßnahmen zu fordern. Die Schwachstelle ermöglicht es Angreifern, durch die Ausnutzung von ASP.NET-Maschinenschlüsseln Remote-Code-Ausführung zu erreichen.

Die US-amerikanische Cybersicherheits- und Infrastruktursicherheitsbehörde (CISA) hat eine dringende Warnung an alle Bundesbehörden herausgegeben, ihre Sitecore-Instanzen bis zum 25. September 2025 zu aktualisieren. Grund ist eine kritische Sicherheitslücke, die unter der Kennung CVE-2025-53690 verfolgt wird und eine CVSS-Bewertung von 9,0 aufweist, was auf eine hohe Schwere hinweist. Diese Schwachstelle betrifft die Sitecore Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC) und Managed Cloud und ermöglicht Angreifern die Ausnutzung von ASP.NET-Maschinenschlüsseln zur Remote-Code-Ausführung.

Die Sicherheitsfirma Mandiant, die den aktiven Angriff auf die ViewState-Deserialisierung entdeckte, berichtete, dass die Angreifer einen Maschinenschlüssel verwendeten, der in Sitecore-Bereitstellungsanleitungen aus dem Jahr 2017 und früher veröffentlicht wurde. Die Bedrohungsforscher konnten die Aktivitäten jedoch keinem bekannten Bedrohungsakteur zuordnen. Die Angreifer zeigten ein tiefes Verständnis für das kompromittierte Produkt und die ausgenutzte Schwachstelle, was sich in ihrem Fortschritt von der anfänglichen Serverkompromittierung bis zur Privilegieneskalation widerspiegelte.

Microsoft hatte bereits im Februar 2025 auf die missbräuchliche Nutzung öffentlich bekannter ASP.NET-Maschinenschlüssel hingewiesen, wobei begrenzte Ausnutzungsaktivitäten bis Dezember 2024 zurückverfolgt werden konnten. In diesen Fällen nutzten unbekannte Bedrohungsakteure den Schlüssel, um das Godzilla-Post-Exploitation-Framework bereitzustellen. Im Mai 2025 meldete ConnectWise eine Authentifizierungsschwachstelle in ScreenConnect, die von einem staatlichen Bedrohungsakteur für ViewState-Code-Injektionsangriffe genutzt wurde.

Um der Bedrohung entgegenzuwirken, wird Organisationen empfohlen, ihre ASP.NET-Maschinenschlüssel zu rotieren, Konfigurationen zu sichern und ihre Umgebungen auf Anzeichen einer Kompromittierung zu überprüfen. Caitlin Condon von VulnCheck betonte, dass die Schwachstelle sowohl durch die unsichere Konfiguration als auch durch die öffentliche Exposition entsteht. Ryan Dewhurst von watchTowr wies darauf hin, dass das Problem durch das Kopieren von Beispielschlüsseln aus der offiziellen Dokumentation durch Sitecore-Kunden verursacht wurde, anstatt einzigartige, zufällige Schlüssel zu generieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,90 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

75,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!