Kritische Sicherheitslücken in Craft CMS: Hackerangriffe auf Server

MÜNCHEN (IT BOLTWISE) – Sicherheitsforscher haben eine neue Angriffswelle auf Craft CMS-Server entdeckt, bei der Hacker kritische Sicherheitslücken ausnutzen, um unbefugten Zugriff zu erlangen.

In der Welt der Cybersicherheit sind neue Bedrohungen allgegenwärtig, und die jüngsten Angriffe auf Craft CMS-Server sind ein eindrucksvolles Beispiel dafür. Sicherheitsforscher von Orange Cyberdefense SensePost haben am 14. Februar 2025 eine Serie von Angriffen entdeckt, bei denen Hacker zwei kritische Sicherheitslücken in Craft CMS ausnutzen, um Server zu kompromittieren. Diese Schwachstellen, bekannt als CVE-2024-58136 und CVE-2025-32432, ermöglichen es Angreifern, unbefugten Zugriff auf Server zu erlangen und schädlichen Code auszuführen.

Die erste Schwachstelle, CVE-2024-58136, betrifft eine unzureichende Schutzmaßnahme im Yii PHP-Framework, das von Craft CMS verwendet wird. Diese Schwachstelle ermöglicht es Angreifern, auf eingeschränkte Funktionen oder Ressourcen zuzugreifen. Die zweite Schwachstelle, CVE-2025-32432, ist eine Remote-Code-Ausführungs-Schwachstelle, die es Angreifern ermöglicht, schädlichen Code auf dem Server auszuführen. Diese Schwachstelle wurde in den Versionen 3.9.15, 4.14.15 und 5.6.17 von Craft CMS behoben.

Besonders besorgniserregend ist, dass CVE-2025-32432 in einer integrierten Bildtransformationsfunktion von Craft CMS liegt. Diese Funktion erlaubt es Administratoren, Bilder in ein bestimmtes Format zu konvertieren. Angreifer können jedoch eine POST-Anfrage an den Endpunkt senden, der für die Bildtransformation verantwortlich ist, und die Daten innerhalb der POST-Anfrage werden vom Server interpretiert. Dies eröffnet eine Schwachstelle, die es Angreifern ermöglicht, schädlichen Code einzuschleusen.

Die Angreifer hinter dieser Kampagne haben eine Methode entwickelt, um mehrere POST-Anfragen zu senden, bis eine gültige Asset-ID gefunden wird. Sobald diese ID entdeckt ist, wird ein Python-Skript ausgeführt, um zu überprüfen, ob der Server verwundbar ist. Ist dies der Fall, wird eine PHP-Datei von einem GitHub-Repository heruntergeladen und auf dem Server platziert. Zwischen dem 10. und 11. Februar verbesserten die Angreifer ihre Skripte, um die Datei filemanager.php mehrfach auf den Webserver herunterzuladen.

Bis zum 18. April 2025 wurden schätzungsweise 13.000 verwundbare Craft CMS-Instanzen identifiziert, von denen fast 300 möglicherweise kompromittiert wurden. Craft CMS hat in einer Sicherheitswarnung darauf hingewiesen, dass verdächtige POST-Anfragen an den actions/assets/generate-transform-Endpunkt ein Hinweis darauf sein könnten, dass die Website auf diese Schwachstelle gescannt wurde. Nutzer werden aufgefordert, Sicherheitsmaßnahmen zu ergreifen, um ihre Systeme zu schützen.

Diese Vorfälle verdeutlichen die Notwendigkeit, Sicherheitslücken schnell zu beheben und Systeme regelmäßig zu aktualisieren. In einer zunehmend vernetzten Welt ist es entscheidend, dass Unternehmen proaktiv handeln, um ihre digitalen Infrastrukturen zu schützen und das Risiko von Cyberangriffen zu minimieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!