In dieser Ausgabe steht eine aktiv ausgenutzte Zero-Day-Lücke in Check-Point-Gateways an erster Stelle. Die Angreifer drangen über das Mobile-Access-Portal ein, verschafften sich Root-Rechte und löschten bei einem Teil der Opfer auch ESXi-Hosts. Außerdem tauchen auf mehr als hundert selbst gehosteten ScreenConnect-Servern Fake-Sitzungen mit Namen von Kryptobörsen auf, das niederländische NCSC warnt vor kritischen Lücken in Zoom Workplace für Windows, und in Tactical RMM steckt eine ungepatchte Lücke, über die Angreifer Befehle an alle verwalteten Agents senden können.
- Check-Point-Gateways per Zero-Day übernommen: Angreifer erlangen Root-Rechte und löschen ESXi-Hosts
- Fake-Sitzungen mit Namen von Kryptobörsen auf mehr als hundert selbst gehosteten ScreenConnect-Servern
- NCSC warnt vor kritischen Lücken in Zoom Workplace für Windows
- Ungepatchte Lücke in Tactical RMM verschafft Zugriff auf alle verwalteten Agents
Check-Point-Gateways per Zero-Day übernommen: Angreifer erlangen Root-Rechte und löschen ESXi-Hosts
| Schwachstelle | Lokale Rechteausweitung auf root im DynamicCLI-Daemon (dynamic_server) von Gaia OS. Betroffen sind Check Point Security Gateway, Security Management Server, Multi-Domain Security Management, Scalable Platforms und Maestro Orchestrator, Versionen R81 bis einschließlich R82.20 |
| CVE-Nummer | CVE-2026-123039 (Erstzugriff über die PHP2Shell-Lücken CVE-2026-109618 und CVE-2026-109619) |
| CVSS-Score | 7,8 |
| Aktiv ausgenutzt | Ja, bei einigen Dutzend Kunden von Check Point, seit dem 30. Oktober 2026. Die CISA hat die Lücke am 13. November in den Katalog Known Exploited Vulnerabilities aufgenommen |
| Patch verfügbar | Ja, Hotfixes über sk1000362, unter anderem in R82.20 Take 14, R82.10 Take 52, R82 Take 132 und R81.20 Take 174. Übergangsmaßnahme: den Prozess dynamic_server stoppen und einen Neustart verhindern |
Wie wurde die Lücke ausgenutzt?
Laut der Untersuchung von Check Point Research drangen die Angreifer über die PHP2Shell-Lücken im Mobile-Access-Portal ein, etwa eine Woche nachdem dafür ein Update erschienen war. Vom Servicekonto des Portals aus nutzten sie anschließend die neue Zero-Day-Lücke, um Root-Rechte zu erlangen. Der DynamicCLI-Daemon läuft als root und lauscht auf einem lokalen Socket, auf den jeder Prozess schreiben darf, ohne zu prüfen, wer sich verbindet. Eine erste Welle am 30. Oktober traf israelische Organisationen, eine zweite am 2. November war breiter angelegt und betraf Organisationen in mehreren Ländern und Branchen. Laut BleepingComputer beobachtete Check Point den Missbrauch bei „a couple of dozen customers“.
Was können die Folgen sein?
Nach der Übernahme platzierten die Angreifer Webshells, die Backdoor TSGA mit der Proxy-Komponente TSProxy sowie den Scanner gogo. Bei einem Teil der Opfer aus der ersten Welle gelangten sie per SSH mit dem Konto vpxuser weiter auf einen VMware-ESXi-Host und führten dort den Wiper destroy_v6 aus, der Dateien mit Nullen überschreibt und anschließend löscht. Laut The Hacker News ähneln TSGA und TSProxy Bestandteilen des PhiliKit-Toolkits, das ESET zuvor einer chinesischen Gruppe zugeordnet hatte. Check Point hält die Beweislage für zu dünn, um die Kampagne dieser Gruppe zuzuschreiben.
Was müssen IT-Administratoren jetzt tun?
Installieren Sie den Hotfix aus sk1000362 auf Gateways und Management-Servern, und prüfen Sie, ob auch die PHP2Shell-Updates für Mobile Access installiert sind. Können Sie noch nicht patchen, stoppen Sie dynamic_server und verhindern Sie einen Neustart des Prozesses; dadurch werden allerdings die DynamicCLI-Befehle deaktiviert. Suchen Sie auf dem Gateway nach zz*.tpl-Dateien im Template-Verzeichnis des Portals, nach /lib/libcpfwcommon.so, nach slot_CPconfigdaemon und nach einem unbekannten Listener auf TCP-Port 11072. Prüfen Sie ESXi-Hosts auf SSH-Anmeldungen mit vpxuser und blockieren Sie die IP-Adressen 130.94.19.204 und 130.94.19.168. Das deutsche CERT-Bund hat die gepatchten Versionen zusammengestellt.
Fake-Sitzungen mit Namen von Kryptobörsen auf mehr als hundert selbst gehosteten ScreenConnect-Servern
| Schwachstelle | Missbrauch öffentlich herunterladbarer Guest-Installer selbst gehosteter ConnectWise-ScreenConnect-Server. Ein automatisierter Client meldet sich als Fake-Endpoint mit Namen wie KUCOIN-SRV und LAPTOP-BINANCE an. Vermutlich ein Köder für Techniker mit einem ungepatchten ScreenConnect-Client |
| CVE-Nummer | Für die Fake-Sitzungen wurde keine CVE vergeben. Das vermutliche Ziel ist CVE-2026-84869 im Technician-Client |
| Aktiv ausgenutzt | Ja, Fake-Sitzungen seit dem 3. November 2026 auf mindestens 118 Servern bei 109 Organisationen (Huntress, 13. November). Aus den Sitzungen heraus wurde bislang keine bösartige Aktivität beobachtet |
| Patch verfügbar | Ja, für CVE-2026-84869: Technician-Clients auf 26.6.5 oder höher aktualisieren. Übergangsweise Alternative: die Berechtigung TransferFiles entziehen. Die Fake-Sitzungen selbst müssen Sie manuell bereinigen |
Wie wurde das ausgenutzt?
Huntress-Forscher John Hammond beschreibt in einer Analyse, wie ein MSP nach unbekannten Rechnern in der eigenen ScreenConnect-Konsole fragte. Bei genauerer Untersuchung stellte sich heraus, dass seit dem 3. November Tausende Fake-Sitzungen angelegt worden waren, mit mehr als tausend verschiedenen Namen, die eine Kryptobörse mit einer Rolle kombinieren, etwa SRV-BINANCE oder BACKUP-PROBIT. Fast 98 Prozent der Verbindungen kamen von einer einzigen IP-Adresse beim Hoster IONOS. Huntress nennt keine Softwarelücke als Ursache: Der Guest-Installer enthält die Relay-Adresse des Servers und lässt sich standardmäßig ohne Anmeldung herunterladen. Auf dem ersten untersuchten Server hatte ein Online-Scandienst den Access-Installer bereits Mitte Oktober abgerufen. Die Kampagne steht in keinem Zusammenhang mit den SCKit-Angriffen auf Kunden von sechs MSPs; Huntress fand keine Überschneidungen bei den Indikatoren.
Was können die Folgen sein?
Die Fake-Sitzungen übertrugen keine Dateien und führten keine Befehle aus. Sie bleiben jedoch als online sichtbar, weil der Angreifer sich etwa stündlich neu verbindet. Die wichtigste Hypothese von Huntress lautet, dass sie Techniker dazu verleiten sollen, eine Sitzung zu öffnen. Ein bösartiger Guest kann über CVE-2026-84869 einen ungepatchten Technician-Client dazu bringen, Dateien auszuführen, möglicherweise mit erhöhten Rechten. In einigen Fällen öffneten Techniker eine solche Sitzung, und einer von ihnen übermittelte zweimal Text. Huntress behandelt das als möglicherweise abgeflossene Zugangsdaten.
Was müssen IT-Administratoren jetzt tun?
Aktualisieren Sie alle Technician-Clients auf 26.6.5 oder höher, einschließlich betroffener Access-Agents. Erstellen Sie eine Kopie von App_Data\Session.db und der zugehörigen WAL-Datei, bevor Sie Fake-Sitzungen löschen, und prüfen Sie im Sitzungsverlauf, ob jemand eine davon geöffnet hat. Suchen Sie nach neuen Guest-Sitzungen mit der Client-Version 25.3.4.9288 oder einem leeren öffentlichen Schlüssel sowie nach vielen neuen Guests von 74.208.158.106. Halten Sie Installer-Links privat, erstellen Sie möglicherweise abgeflossene Installer neu und vereinbaren Sie, dass Techniker keine Sitzung öffnen, die sie keinem Kunden zuordnen können.
NCSC warnt vor kritischen Lücken in Zoom Workplace für Windows
| Schwachstelle | Zwei Lücken in Zoom Workplace für Windows, über die ein Angreifer ohne Konto über das Netzwerk höhere Rechte erlangt: unzureichende Eingabeprüfung in den Versionen 7.1.0 bis 7.1.8 und ein Fehler bei der Prüfung der Herkunft in Versionen vor 7.1.5 |
| CVE-Nummer | CVE-2026-108186 und CVE-2026-108187 |
| CVSS-Score | 9,6 (CVE-2026-108186) und 8,1 (CVE-2026-108187) |
| Aktiv ausgenutzt | Nein, laut NCSC (13. November 2026) ist kein Missbrauch bekannt |
| Patch verfügbar | Ja, Zoom Workplace für Windows 7.1.8 oder höher schließt beide Lücken |
Wie kann die Schwachstelle ausgenutzt werden?
Zoom veröffentlichte am 10. November die Bulletins ZSB-26023 und ZSB-26024. Die schwerwiegendste Lücke steckt in der Eingabeprüfung des Windows-Clients und ermöglicht es einem Angreifer ohne Anmeldung, über das Netzwerk seine Rechte auszuweiten. Laut CVSS-Vektor ist dafür allerdings eine Aktion des Benutzers erforderlich. Die zweite Lücke ist ein Fehler bei der Prüfung der Herkunft von Anfragen. Das NCSC gab am 13. November einen gesonderten Alert heraus und stuft die Wahrscheinlichkeit eines Missbrauchs als mittel und den Schaden als hoch ein.
Was können die Folgen sein?
Laut NCSC kann ein Angreifer mit den erlangten Rechten beispielsweise Einstellungen ändern oder auf sensible Informationen zugreifen. Zoom läuft auf vielen Arbeitsplätzen, die MSPs verwalten, oft in einer Version, die Benutzer selbst aktualisieren – oder eben nicht.
Was müssen IT-Administratoren jetzt tun?
Verteilen Sie Zoom Workplace für Windows 7.1.8 oder höher über Ihr RMM- oder Softwareverteilungstool. Nutzen Sie eine Version vor 7.1.5, sind Sie für beide Lücken anfällig. Prüfen Sie auch Arbeitsplätze, auf denen Benutzer Zoom selbst installiert und automatische Updates deaktiviert haben.
Ungepatchte Lücke in Tactical RMM verschafft Zugriff auf alle verwalteten Agents
| Schwachstelle | Beliebiges Lesen von Dateien über den Endpoint /reporting/templates/preview/ in Tactical RMM von AmidaWare, Versionen 0.17.0 bis einschließlich 1.6.1. Erfordert ein Konto mit Berechtigung zur Verwaltung von Berichten |
| CVE-Nummer | CVE-2026-129165 |
| CVSS-Score | 9,4 (CVSS 4.0, VulnCheck) |
| Aktiv ausgenutzt | Nein, es ist kein Missbrauch bekannt, und die Lücke steht nicht im KEV-Katalog der CISA (13. November 2026) |
| Patch verfügbar | Nein, die neueste Version 1.6.1 liegt im betroffenen Bereich, und eine gepatchte Version wurde noch nicht genannt. Schränken Sie die Berechtigung zur Verwaltung von Berichten ein |
Wie kann die Schwachstelle ausgenutzt werden?
Laut dem Advisory von VulnCheck – das Unternehmen veröffentlichte die Lücke am 13. November – verarbeitet die Berichtsfunktion das vom Benutzer eingegebene Template mit WeasyPrint. Dieses folgt file://-Links im Template und übernimmt den Inhalt lokaler Dateien in das zurückgegebene PDF. So kann ein Benutzer mit Berichtsrechten den Django-SECRET_KEY des Servers auslesen. Entdeckt wurde die Lücke von dem Forscher Wu Yulun.
Was können die Folgen sein?
Tactical RMM verwendet denselben SECRET_KEY als Passwort für den NATS-Messaging-Server. Mit diesem Schlüssel kann ein Angreifer runscript-Befehle an jeden verwalteten Agent veröffentlichen. Ein Konto mit eingeschränkten Rechten wird so zum Einfallstor für Codeausführung auf allen Endpoints aller Kunden in der Umgebung.
Was müssen IT-Administratoren jetzt tun?
Solange es keine gepatchte Version gibt, vergeben Sie die Berechtigung zur Verwaltung von Berichten nur an Konten, die sie wirklich benötigen, und prüfen Sie, welche Konten diese Berechtigung derzeit haben. Behalten Sie die Release-Seite von Tactical RMM im Auge und installieren Sie das Update, sobald es verfügbar ist. Haben Sie Grund zu der Annahme, dass ein Konto mit Berichtsrechten missbraucht wurde, sollten Sie in Erwägung ziehen, den SECRET_KEY und damit das NATS-Passwort zu ersetzen.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
