Drupal, Ivanti und Synology aktiv angegriffen – Patches nach System gezielt prüfen

Drupal Commerce Core, Ivanti Connect Secure und Synology DSM werden aktiv angegriffen. Die Meldung betrifft drei unterschiedliche Produkte und Angriffswege; ein pauschaler Patchlauf reicht deshalb nicht als Reaktion. Entscheidend ist, den jeweiligen Stand zu prüfen und die dazu passende Maßnahme umzusetzen.

Die drei Angriffswege verlangen unterschiedliche Prüfungen

Bei Drupal geht es um unzureichend geschützte Bereiche in einem Shop-⁠Modul. Bei Ivanti werden mehrere Schwachstellen in VPN-⁠Appliances miteinander verkettet. Synology betrifft dagegen veraltete DSM-⁠Versionen, die Ransomware-⁠Gruppen angreifen. Die gemeinsame praktische Konsequenz: Ordnen Sie jedes betroffene System seiner Funktion zu, statt die Meldung als eine einzige Schwachstelle zu behandeln.

Für die Reihenfolge zählt auch, was das System verarbeitet. Ein Shop kann über manipulierte Bestellungen betroffen sein, ein Ivanti-⁠Gateway stellt einen Zugang zum Unternehmensnetz bereit, und ein NAS speichert Daten, die bei einer Verschlüsselung nicht mehr verfügbar wären. Die jeweils passende Prüfung ist daher konkreter als ein allgemeiner Hinweis, Updates einzuspielen.

Drupal: Update und Bestellungen kontrollieren

In Drupal Commerce Core ermöglicht eine aktiv angegriffene Schwachstelle das Umgehen von Zugriffsbeschränkungen. Das Modul schützt bestimmte Routen und Entitätsfelder nicht ausreichend. Je nach Zugriff kann das finanzielle Auswirkungen auf den Shop-⁠Betreiber haben. Das Drupal-⁠Team bestätigt, dass die Lücke bereits ausgenutzt wird.

Für den aktuellen Entwicklungszweig behebt Commerce Core 3.3.13 das Problem. Für ältere Entwicklungszweige nennt das Projekt 8.x-2.41 oder neuer. Prüfen Sie, welcher Zweig in Ihrer Installation eingesetzt wird, und spielen Sie die dazu passende Korrektur ein. Entscheidend ist nicht, lediglich festzustellen, dass Commerce Core installiert ist, sondern den tatsächlichen Versionsstand zu vergleichen.

Die Aktualisierung allein beantwortet nicht, ob während der laufenden Angriffe bereits etwas verändert wurde. Kontrollieren Sie deshalb nach dem Update Bestellungen auf Inkonsistenzen. Das ist hier ein spezifischer Schritt: Die Schwachstelle betrifft Zugriffe im Shop-⁠Kontext und kann sich in auffälligen Bestellvorgängen niederschlagen.

Ivanti: den vollständigen Patchstand betrachten

Bei Ivanti Connect Secure werden drei Schwachstellen verkettet. Der beschriebene Angriffsweg führt über das Umgehen der Authentifizierung und eine Ausweitung von Rechten bis zum Einschleusen und Ausführen von Schadcode aus dem Netz. Es handelt sich damit nicht um drei voneinander losgelöste Hinweise, die sich mit einer beliebigen Einzelkorrektur erledigen lassen.

CVE-⁠2026-⁠104935 betrifft das Umgehen der Authentifizierung und hat einen CVSS-⁠Wert von 8,6. Zwei weitere Lücken wurden später mit aktualisierten Paketen geschlossen: CVE-⁠2026-⁠111357 mit CVSS 8,8 erlaubt angemeldeten Angreifern, ihre Rechte auszuweiten. Bei CVE-⁠2026-⁠118527 mit CVSS 4,3 können angemeldete Angreifer aufgrund vorhersehbarer Dateinamen eigene Dateien an einen bekannten Pfad hochladen.

Prüfen Sie deshalb, ob die Appliance die ergänzten Aktualisierungen erhalten hat und nicht nur die erste Korrektur. Ivanti empfiehlt außerdem, das Integrity Checker Tool regelmäßig auszuführen, um Hinweise auf erfolgreiche Angriffe zu erkennen. Ein eingespielter Patch ersetzt diese Prüfung nicht, wenn die Appliance bereits während der Angriffsphase erreichbar war.

Synology: alte DSM-⁠Versionen nicht weiterbetreiben

Synology warnt vor Ransomware-⁠Angriffen auf veraltete DSM-⁠Versionen ohne die betreffenden Korrekturen. Die zugrunde liegenden Schwachstellen wurden bei Pwn2Own Ende Oktober 2024 öffentlich; Synology stellte im Dezember 2024 korrigierte DSM-⁠Versionen bereit. Die Warnung richtet sich damit besonders an Systeme, die seitdem nicht aktualisiert wurden.

Ransomware-⁠Gruppen verschlüsseln die Daten auf betroffenen Geräten und fordern Lösegeld. Prüfen Sie den installierten DSM-⁠Stand und aktualisieren Sie auf eine aktuelle korrigierte Fassung, wenn das noch nicht geschehen ist. Die konkreten Versionsnummern sind hier entscheidend: Eine allgemeine Aussage, das NAS sei „auf dem neuesten Stand“, hilft nur, wenn sie sich auf den tatsächlich installierten Stand und die für das Gerät angebotenen Updates bezieht.

Reaktion nach Produkt statt nach Schlagzeile

Behandeln Sie die drei Fälle getrennt: Drupal verlangt ein passendes Modul-⁠Update und die Kontrolle der Bestellungen, Ivanti die ergänzten Appliance-⁠Patches sowie eine Integritätsprüfung, Synology ein aktualisiertes DSM. So wird aus einer Sammelmeldung eine überprüfbare Aufgabe für die jeweils zuständigen Administratoren.

Prüfen Sie jetzt den Versionsstand der drei Produkte und führen Sie pro betroffenem System die dazugehörige Maßnahme aus.

Quellen: heise Security – „Attacken auf Lücken in Drupal, Ivanti Connect Secure und Synology laufen“ (https://www.heise.de/news/Schwachstellen-in-Drupal-Ivanti-Connect-Secure-und-Synology-angegriffen-11507497.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)