Attacken auf Lücken in Drupal, Ivanti Connect Secure und Synology laufen

Angreifer nutzen derzeit Sicherheitslücken in Drupal Commerce Core, Ivanti Connect Secure und Synology DSM aktiv aus und kompromittieren damit Systeme. Verschiedene Organisationen warnen vor den Attacken. Softwareupdates stehen teils seit Jahren, andere erst seit Tagen bereit – Admins sollten sie jetzt schleunigst anwenden.

In Drupal Commerce Core steht eine Schwachstelle unter Beschuss, die Angreifern das Umgehen von Zugriffsbeschränkungen ermöglicht („Access bypass“). Das Modul dient dem Verkauf über einen integrierten Einkaufswagen mit Checkout-Formular oder über entkoppelte Anwendungen per API. Das Modul schützt bestimmte Routen und Entitätsfelder nicht ausreichend, was zu Zugriffsmöglichkeiten führt, die „finanziellen Einfluss auf den Verkäufer“ haben können. Die Schwachstelle wird bereits aktiv angegriffen, ergänzt das Drupal-Team in der Sicherheitsmitteilung.

Das Update auf Commerce Core 3.3.13 sowie für ältere Entwicklungszweige auf 8.x-2.41 oder neuer stopft das Sicherheitsleck. Admins sollten Bestellungen auf Inkonsistenzen wegen der laufenden Angriffe prüfen, fügt das Drupal-Projekt noch hinzu.

Vor Angriffen auf Ivantis Connect Secure (ICS) warnt etwa die US-amerikanische IT-Sicherheitsbehörde CISA derzeit. Offenbar laufen die Attacken bereits seit Anfang Oktober dieses Jahres, wenn man der Analyse von Volexity folgt. Viel Beachtung fand das bislang nicht. Jetzt hat Ivanti weitere Sicherheitspatches für die missbrauchten Schwachstellen nachgeschoben. IT-Verantwortliche sollten die Updates zügig anwenden. Die Angreifer verketten drei Sicherheitslücken in den Ivanti-ICS-Appliances, um die Authentifizierung zu umgehen, ihre Rechte auszuweiten und Schadcode aus dem Netz einzuschleusen und auszuführen. Zunächst hatte Ivanti eine Schwachstelle ausgebessert (CVE-2026-104935, CVSS 8.6, Risiko „hoch“), die das Umgehen der Authentifizierung ermöglichte.

Laut Sicherheitsmitteilung hat der Hersteller jedoch Ende vergangener Woche noch zwei weitere Lecks mit aktualisierten Paketen gestopft. Einmal geht es um eine fehlende Authentifizierung für eine kritische Funktion, durch die angemeldete Angreifer ihre Rechte ausweiten können (CVE-2026-111357, CVSS 8.8, Risiko „hoch“) und zum anderen um vorhersehbare Dateinamen, wodurch angemeldete Angreifer Dateien mit eigenen Inhalten an einen bekannten Pfad hochladen können (CVE-2026-118527, CVSS 4.3, Risiko „mittel“). Die Sicherheitsmitteilung listet die verfügbaren Aktualisierungen auf, für Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC) empfiehlt Ivanti, regelmäßig das Integrity Checker Tool laufen zu lassen, und verweist auf das Volexity-Blog.

Uralte Synology-Lücke im Visier

Das NAS-Betriebssystem DSM von Synology enthielt Schwachstellen, die etwa bei der Pwn2Own-Veranstaltung Ende Oktober 2024 öffentlich wurden. Im Dezember des Jahres hat Synology die Lücken mit aktualisierten DSM-Versionen gestopft. Kurz vor dem Wochenende hat Synology nun eine Warnung herausgegeben, dass Ransomware-Banden veraltete DSM-Versionen ohne diese Korrekturen aktiv angreifen. Diese verschlüsseln die Daten und wollen Lösegeld erpressen. Die Firmware-Versionen mit den Korrekturen listet der Hersteller in der Sicherheitsmeldung von damals auf. Inzwischen sind natürlich neuere Fassungen verfügbar, auf die Synology-Nutzerinnen und -Nutzer umgehend aktualisieren sollten, sofern das noch nicht geschehen ist.