TÄGLICHES BRIEFING
Node2Shell RCE, Unpatched PHP Advisory und Python Pillow Flaw
Das heutige Briefing behandelt die Risiken der Remote-Codeausführung in Node.js und Python Pillow, eine ungepatchte PHP-Konfigurationswarnung sowie eine in der Ukraine genutzte Mesh-Netzwerk-Hintertür.
5 Meldungen2 Min. Lesezeit
Laufzeitumgebungen für Webanwendungen und gängige Abhängigkeiten stehen heute im Mittelpunkt, da neue Sicherheitslücken in Node.js, PHP und der Pillow-Bildbibliothek von Python entdeckt wurden. Unternehmen, die Webplattformen betreiben, müssen diese zentralen Serverkomponenten überprüfen und Aktualisierungen umgehend einspielen.
Gleichzeitig zeigen gezielte Cyberangriffe immer ausgefeiltere Persistenztaktiken. Die Bedrohungsakteure Sandworm und UAC-0099 nutzten eine neuartige Mesh-Netzwerk-Hintertür in Verbindung mit Datenlöschern, was die Notwendigkeit unterstreicht, unkonventionelle Kommando- und Kontrollkanäle in kritischen Infrastrukturen zu überwachen.
Kritischer Fehler in Pythons beliebter Pillow Image Library ermöglicht Codeausführung durch ein manipuliertes Bild
Eine kritische Sicherheitslücke in der Python-Bibliothek Pillow (CVE-2026-112900) ermöglicht die Ausführung von Schadcode aus der Ferne bei der Verarbeitung von EPS-Bildern. Pillow übergibt Dateinamen ungeprüft an Ghostscript, wodurch die Einschleusung von Befehlen über manipulierte Dateinamen möglich ist. Die Schwachstelle wurde in Pillow Version 13.0.0 behoben.
- Warum das wichtig ist
- Pillow wird in großem Umfang in Webanwendungen, Bildverarbeitungs-Workflows und Machine-Learning-Pipelines eingesetzt und setzt Systeme, die nicht vertrauenswürdige Bilder verarbeiten, der Befehlsausführung aus.
Russische Hacker nutzten neue Hintertür in einem Mesh-Netzwerk für verheerenden Angriff in der Ukraine
Die russische, staatlich geförderte Terrorgruppe Sandworm arbeitete mit UAC-0099 bei einem verheerenden Angriff auf ein ukrainisches Logistikunternehmen zusammen. UAC-0099 setzte die Backdoor MATCHWOK und die neue Mesh-Netzwerk-Backdoor MythicRatatoskr ein und kommunizierte über Yggdrasil, bevor der Zugriff an Sandworm übergeben wurde, um die Daten zu löschen.
- Warum das wichtig ist
- Angreifer nutzen neuartige C2-Infrastrukturen über Mesh-Netzwerke wie Yggdrasil, um vor dem Start zerstörerischer Datenlöschprogramme einer Entdeckung zu entgehen.
Forscher demonstrieren Node2Shell-RCE-Exploit auf Node.js-Build mit manipulierten Brotli-Daten
Forscher haben eine funktionierende Sicherheitslücke in Node2Shell demonstriert, die die Ausführung von Remote-Code auf offiziellen Node.js-Versionen (24.22.0) für Linux arm64 ermöglicht. Die Sicherheitslücke nutzt eine Schwachstelle im Brotli-Decoder (CVE-2026-111497) aus, indem sie schädliche komprimierte Daten übergibt, um beliebigen Code auszuführen. Behobene Versionen, darunter Node.js 24.22.1, weisen die Schadsoftware zurück.
- Warum das wichtig ist
- Anwendungen, die nicht vertrauenswürdige, mit Brotli komprimierte Daten mithilfe anfälliger Node.js-Builds dekodieren, sind anfällig für die Ausführung von Remote-Code.
PHP warnt zwei Tage nach den Notfall-Patches für PHP2Shell vor einer weiteren ungepatchten RCE-Schwachstelle
PHP warnt vor CVE-2026-115560, einer ungepatchten RCE-Schwachstelle, die Konfigurationen betrifft, bei denen `session.serialize_handler` auf `php_binary` oder `php_serialize` gesetzt ist. Zuvor wurden Notfallpatches für CVE-2026-109618 und CVE-2026-109619 veröffentlicht. PHP stellt keinen Notfallpatch bereit und empfiehlt, den Upload-Fortschritt der Session zu deaktivieren.
- Warum das wichtig ist
- Webanwendungen mit bestimmten PHP-Sitzungskonfigurationsoptionen bleiben bis zum nächsten routinemäßigen Update anfällig für die Ausführung von Remote-Code.
HPE behebt acht Sicherheitslücken mit maximaler Schwere, die RCE und Authentifizierungs-Bypass in AOS ermöglichen.
Die Verifizierungsseite von BleepingComputer reagierte auf eine Cloudflare-Sicherheitsabfrage, wodurch der Zugriff auf Details zum Patch-Release von HPE für AOS-Schwachstellen verhindert wurde.
Die wichtigsten Punkte
- Aktualisieren Sie Node.js auf Version 24.22.1, um die Ausführung von Remote-Code über die Brotli-Decoder-Schwachstelle CVE-2026-111497 zu verhindern.
- Russische Akteure nutzten die MythicRatatoskr-Hintertür zur Kommunikation über das Yggdrasil-Mesh-Netzwerk vor einem Datenlöschangriff.