LONDON (IT BOLTWISE) – Eine groß angelegte Scan-Kampagne nutzt eine Sicherheitslücke in Vite, um auf internetexponierten Entwicklerservern sensible Dateien auszulesen. Angreifer greifen dabei über einen /@fs/-Mechanismus auf Konfigurations- und Secrets-Dateien zu und umgehen server.fs.deny durch spezielle Query-Parameter. Laut den vorliegenden Beobachtungen zielen die Anfragen auf AWS- und Azure-bezogene Daten sowie auf Infrastruktur- und Prozessinformationen. Kritisch ist vor allem, dass die Ausnutzung eine Netzfreigabe des Dev-Servers sowie erlaubte Dateipfade voraussetzt.
Die aktuelle Bedrohungslage dreht sich um Vite-Deployments, die aus Entwicklungsgründen ins öffentliche Internet oder zumindest in erreichbare Netzsegmente geraten. Nach Angaben von F5 Labs wurde im August 2026 eine massenhafte Scan-Kampagne beobachtet, die gezielt nach Vite-Entwicklungsservern sucht, um daraufhin Cloud-Zugangsdaten, Konfigurationen und weitere Verzeichnisspuren auszulesen. Die Angreifer kombinieren dabei eine serverseitige Dateizugriffs-Funktion mit einer konkreten Sicherheitslücke, die den Zugriff auf ansonsten blockierte Dateien möglich macht. Besonders relevant ist das für Teams, die zwar „nur“ Entwicklungsumgebungen betreiben, aber dabei Parameter setzen, die aus localhost effektiv einen direkt ansprechbaren Dienst machen.
Technische Grundlage der Ausnutzung ist CVE-2026-39364 mit einem CVSS-Score von 8,2. Die Schwachstelle wird als hochgradig eingestuft, weil ein nicht authentifizierter Angreifer über manipulierbare Query-Parameter Sicherheitsprüfungen umgehen und damit sensible Daten ausgeben kann. In der Beschreibung zu dem Fehler nennt Vite unter anderem ein Verhalten, bei dem Dateien, die eigentlich von server.fs.deny blockiert sein sollten (beispielsweise.env oder *.crt), trotz Blockregeln über HTTP 200 Antworten zurückgeliefert werden. Die Umgehung erfolgt dabei über genau benannte Parameterkombinationen wie?raw, ?import&raw oder?import&url&inline, die den Server dazu bringen, den Inhalt der referenzierten Datei als Klartext in der Antwort zu transportieren.
Wichtig ist dabei: Nicht jede Vite-Instanz ist automatisch betroffen. Laut der Auswertung von F5 Labs müssen drei Bedingungen zusammenkommen, damit die Dateiablage- und Dereny-Logik in der Praxis ausnutzbar wird: Der Dev-Server muss explizit ins Netzwerk gebunden sein (über –host bzw. die Konfiguration server.host), die angeforderte Datei muss in den erlaubten Bereichen liegen (server.fs.allow), und die gewünschte Datei darf zwar per server.fs.deny eigentlich blockiert sein, muss aber mit einem Muster übereinstimmen, das im Zusammenspiel mit dem Angriffspfad umgangen wird. Unter Standardkonfigurationen bindet Vite an localhost; erst durch die bewusste oder unbeabsichtigte Veröffentlichung ändert sich die Angriffsfläche. In der Praxis reicht dafür teils schon eine fehlerhafte Docker-Port-Weiterleitung, sodass der Dev-Server erreichbar wird, obwohl er als „nur lokal“ gedacht war.
Der eigentliche Ablauf der Kampagne setzt auf eine HTTP-Anfrage an den /@fs/-Pfad, bei der der Angreifer den Dateipfad referenziert und anschließend die Umgehungs-Query-Parameter anhängt. Dadurch kann die Anwendung die Anfrage verarbeiten, obwohl der beabsichtigte server.fs.deny-Check unterlaufen wird, und schließlich den Inhalt der gewünschten Datei im Body der HTTP-Antwort ausgeben. Für Unternehmen ist das deshalb so riskant, weil Vite-Projekte häufig projektnahe Konfigurationsdateien enthalten: F5 Labs nennt als beobachtete Zielkategorien unter anderem Environment-Konfigurationen, AWS Credentials und -Konfigurationen, Azure-Profile sowie Infrastruktur-State-Dateien wie terraform.tfstate und serverless.yml. Zusätzlich wurden System- und Prozessdetails abgefragt, darunter Pfade wie /etc/passwd sowie Prozessumgebungen über /proc (etwa /proc/self/environ, /proc/1/environ) und relative.env-Dateien, die im Kontext des laufenden Prozesses gelesen werden.
Beim Detailgrad der Rekonstruktion fällt auf, wie stark die Anfragen den Deployment-Stack „abklopfen“, ohne offensichtliche Treffer raten zu müssen. F5 Labs beschreibt das so, dass das „Probing“ von /proc/self/cwd/.env auf ein Verständnis des Pfadbezugs hinweist: Die aktive.env-Datei wird relativ zum Arbeitsverzeichnis des laufenden Prozesses gelesen, statt dass der absolute Web-App-Pfad erraten werden muss. Dazu passt auch die Kombination aus Täuschung und Log-Verwirrung: Laut den Beobachtungen verwenden die Anfragen gefälschte User-Agents, die große Crawler und KI-Bots imitieren, etwa Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot und Amazonbot. Zusätzlich werden X-Forwarded-For und X-Real-IP mit konkreten Beispielwerten injiziert, um IP-basierte Zugriffsbeschränkungen zu umgehen und zugleich die Nachvollziehbarkeit in Logs zu erschweren.
Aus Sicht der Abwehr ist weniger die Theorie als die praktische Angriffsfläche entscheidend. F5 Labs berichtet, dass ein bedeutender Teil der Aktivität aus den USA, Belgien, den Niederlanden, Singapur und Taiwan stammt und dass dabei Adressbereiche aus Google Cloud Platform (34.x und 35.x) genutzt wurden, um den Verkehr in gängige Plattform-Backbones einzubetten. Für Betreiber bedeutet das: Selbst wenn nur einzelne Entwicklerteams ihre Vite-Dev-Server zeitweise „für Tests“ freigeben, können automatisierte Scans diese Dienste sehr schnell wiederfinden. Die Sicherheitswirkung der Schwachstelle hängt daher direkt an klaren Betriebsregeln wie „Dev-Server nicht außerhalb von localhost verfügbar machen“, „Docker-Port-Mappings prüfen“ und „Konfigurationsdateien ohne Secrets-Gewöhnung in Produktionsbuilds konsequent ausblenden“ – ansonsten wird aus einem Komfortfeature unbeabsichtigt ein Datenabzugspfad.
Für die nächsten Schritte empfiehlt sich eine strukturierte Bewertung: Zunächst sollte geprüft werden, welche Vite-Instanzen im relevanten Zeitraum tatsächlich erreichbar waren und ob –host oder server.host gesetzt wurden. Danach ist wichtig, welche Dateien im Projektverzeichnis existieren, ob sie per server.fs.allow überhaupt in einem zulässigen Zugriffskorridor liegen und inwieweit Muster in server.fs.deny vorhanden sind. Parallel dazu sollte das Patch-Management für Vite so zeitnah wie möglich umgesetzt werden, sobald eine entsprechende Fix-Version verfügbar ist; denn die beobachtete Kampagne zeigt, dass selbst kurzlebige Exponierung durch Scans früh ausgenutzt wird. Für Unternehmen mit umfangreicher CI/CD- oder Container-Nutzung kommt zusätzlich eine Compliance-freie, aber harte Betriebsdisziplin hinzu: Sicherheitsfilter sollten nicht nur „offline“ in der Konfiguration liegen, sondern auch in der realen Netzpfad-Topologie wirken.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Vite-Sicherheitslücke CVE-2026-39364: Angreifer scannen Dev-Server und stehlen Cloud-Zugangsdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Vite-Sicherheitslücke CVE-2026-39364: Angreifer scannen Dev-Server und stehlen Cloud-Zugangsdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Vite-Sicherheitslücke CVE-2026-39364: Angreifer scannen Dev-Server und stehlen Cloud-Zugangsdaten« bei Google Deutschland suchen, bei Bing oder Google News!