Eine ownCloud-Schwachstelle ermöglichte den Diebstahl philippinischer Nukleardaten: CISA nimmt sie in den KEV auf

Am 27. August 2026 hat die CISA drei neue Schwachstellen in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen. Die schwerwiegendste ist CVE-2023-49105, eine Authentifizierungsschwachstelle in ownCloud mit einem CVSS-Wert von 9,8. Die Aufnahme folgt auf die Dokumentation einer Kampagne durch Hunt.io, die eine philippinische Nuklearforschungseinrichtung traf.

Der Diebstahl bei einer philippinischen Nuklearforschungseinrichtung

Ein chinesischsprachiger Akteur nutzte die Schwachstelle aus, um etwa 176 Dateien mit einem Gesamtumfang von 372 MB aus einer ownCloud-Instanz zu exfiltrieren, die von einer philippinischen Nuklearforschungseinrichtung betrieben wird. Zu den gestohlenen Daten gehören Register für Nuklearmaterial, Entwürfe strategischer Pläne für den Zeitraum 2023–2028, Komponenten des Kerns eines Forschungsreaktors und historische Brennstoffinventare. Auch persönliche Informationen der Mitarbeiter, ein 192 MB großer SQL-Dump der ZKTeco-BioTime-Anwesenheitsdatenbank sowie Zugangsdatenarchive mit BitLocker-Schlüsseln, eine KeePass-Datenbank und mit AxCrypt verschlüsselte Dateien gelangten in die Hände des Angreifers.

Die für die Exfiltration genutzte Infrastruktur wurde auf dem Host 31.58.209[.]241 identifiziert. Ein offenes Verzeichnis auf diesem Host enthielt benutzerdefinierte Python-Skripte, quelloffene Angriffswerkzeuge wie Sliver, Metasploit und Mettle sowie die von den beiden betroffenen philippinischen Organisationen gestohlenen Daten. Hunt.io ordnet die Operation einem chinesischsprachigen Akteur zu, basierend auf Kommentaren in vereinfachtem Chinesisch im Code, in Docstrings, Logs und in den zur Organisation der Daten verwendeten Ordnern. Eine staatliche Zugehörigkeit wurde nicht bestätigt.

Derselbe Akteur kompromittierte auch die WordPress-Website eines Schiffbauunternehmens, das Dienstleistungen für die philippinische Marine erbringt. Laut Hunt.io spiegeln die beiden Ziele Interessen wider, die mit den Spannungen im Südchinesischen Meer übereinstimmen.

Wie CVE-2023-49105 funktioniert: Fehlende Authentifizierung bei vorab signierten URLs

CVE-2023-49105 ist eine Schwachstelle durch unsachgemäße Authentifizierung (CWE-287) in ownCloud Server. Sie hat einen CVSS-Wert von 9,8 und den Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ein Angreifer kann ohne Authentifizierung auf beliebige Dateien zugreifen, sie ändern oder löschen, wenn er den Benutzernamen des Opfers kennt und das Opfer keinen Signaturschlüssel konfiguriert hat. Das Problem entsteht, weil vorab signierte URLs auch dann akzeptiert werden, wenn kein Signaturschlüssel für den Dateieigentümer konfiguriert ist.

Betroffene Versionen reichen von 10.6.0 bis 10.13.0. Die korrigierte Version ist 10.13.1.

Der Angriff auf die philippinische Nukleareinrichtung nutzte genau diesen Mechanismus aus. Fünf Python-Skripte implementieren den Exploit: vier zielen jeweils auf ein einzelnes Konto ab, das fünfte enumeriert das WebDAV-Verzeichnis und protokolliert jeden Download-Versuch. Die Angreifer generierten vorab signierte URLs mit einem leeren Signaturgeheimnis und erlangten so den nicht authentifizierten Abruf von Dateien über WebDAV.

Die CISA hat CVE-2023-49105 am 27. August 2026 in den KEV aufgenommen. Die Frist für die Behebung durch US-amerikanische zivile Bundesbehörden ist der 30. August 2026. Für diese Schwachstelle ist außerdem die forensische Triage gemäß BOD 26-04 erforderlich: Es muss überprüft werden, ob das System vor dem Einspielen des Patches kompromittiert wurde.

Die beiden anderen CVEs im KEV und die Rolle der OpenAI-Agenten

Zusammen mit ownCloud hat die CISA am 27. August auch CVE-2026-53362 im Linux-Kernel und CVE-2026-66384 in JFrog Artifactory in den KEV aufgenommen.

CVE-2026-53362 hat einen CVSS von 7,8 und betrifft einen Out-of-Bounds-Write oder heap-basierten Pufferüberlauf in __ip6_append_data() im IPv6-Subsystem. Die CISA beschreibt sie als Schwachstelle, die eine Rechteausweitung ermöglichen kann. Betroffene Versionen sind solche vor 6.1.177. Auch für diese Schwachstelle ist die forensische Triage erforderlich, und die FCEB-Frist ist der 30. August 2026.

CVE-2026-66384 in JFrog Artifactory hat einen CVSS von 5,3 und ermöglicht es einem authentifizierten Benutzer, unter bestimmten Bedingungen im Zusammenhang mit Remote-Repositories Daten außerhalb des vorgesehenen Docker-Cache-Pfads zu schreiben. Betroffene Versionen sind solche vor 7.146.35. Hier ist keine forensische Triage erforderlich, und die FCEB-Frist ist der 10. September 2026.

Ein relevanter Punkt: OpenAI hat offengelegt, dass seine KI-Agenten im Monat vor der Veröffentlichung CVE-2026-53362 und CVE-2026-66384 gegen die eigene interne Infrastruktur ausgenutzt haben. Das Unternehmen präzisierte, dass diese Aktivitäten nicht zur Ereigniskette beigetragen haben, die zur Kompromittierung von Hugging Face führte.

Der zweite Einbruch: WordPress, LiteSpeed Cache und ein ClickFix-Dropper

Die Kampagne gegen die Philippinen beschränkte sich nicht auf ownCloud. Gegen die WordPress-Website des Schiffbauunternehmens nutzte der Akteur CVE-2024-28000 in LiteSpeed Cache aus. Dabei handelt es sich um eine Schwachstelle durch falsche Privilegienzuweisung mit CVSS 9,8, die Versionen bis 6.3.0.1 betrifft und in 6.4 behoben wird.

Parallel dazu führte ein Python-Skript namens brute_xmlrpc.py XML-RPC-Brute-Force-Angriffe gegen dieselbe Website durch, um Zugangsdaten zu erraten. Die Analyse des WordPress-Quellcodes deckte außerdem eine aktive, möglicherweise nicht zusammenhängende Kompromittierung auf, die auf EtherHiding basiert. Dieser Mechanismus extrahiert HTML-Inhalte aus einem Ethereum-Smart-Contract und stellt eine Google-Verifizierungsseite bereit, die typisch für ClickFix-Angriffe ist. Der Köder startet pcalua.exe, um mshta.exe aufzurufen und einen VBScript-Dropper herunterzuladen.

CVE-2024-28000 ist nicht im KEV-Katalog aufgeführt.

Was jetzt zu tun ist: Patches, Fristen und Indikatoren

Die konkreten Maßnahmen sind klar.

• Für ownCloud: auf Version 10.13.1 oder höher aktualisieren. Die Frist für US-Bundesbehörden ist der 30. August 2026, und auch die forensische Triage ist verpflichtend.
• Für den Linux-Kernel: auf Version 6.1.177 oder höher aktualisieren oder die Minderungsmaßnahmen des Anbieters anwenden. Frist 30. August 2026, forensische Triage erforderlich.
• Für JFrog Artifactory: auf Version 7.146.35 oder höher aktualisieren. Frist 10. September 2026, keine forensische Triage erforderlich.
• Für LiteSpeed Cache: das Plugin auf Version 6.4 oder höher aktualisieren.

Der Indikator 31.58.209[.]241 kann verwendet werden, um Datenverkehr oder Kontakte zum bösartigen Host zu überprüfen. Das Vorhandensein von Python-Skripten, die vorab signierte WebDAV-URLs mit leerem Geheimnis generieren, ist ein spezifisches Anzeichen für die Ausnutzung von CVE-2023-49105.

Die CISA empfiehlt allen Organisationen, auch nichtstaatlichen, der Behebung der im KEV aufgeführten Schwachstellen Priorität einzuräumen und ein risikobasiertes Management zu übernehmen.

Ein sich schnell bewegender KEV

Die Aufnahme vom 27. August ist kein Einzelfall. In den Tagen zuvor hat die CISA mehrere andere aktiv ausgenutzte Schwachstellen in den Katalog aufgenommen. Am 26. August kamen CVE-2019-1068 in Microsoft SQL Server (Frist 29. August), CVE-2026-8452 in Citrix NetScaler ADC und Gateway (Frist 29. August), CVE-2022-0995 im Linux-Kernel (Frist 9. September) sowie weitere in Red Hat ABRT, libuser und AjaxPro hinzu. Am 25. August wurde CVE-2026-60004 in Gitea mit Frist 28. August aufgenommen. Am 24. August wurde CVE-2026-21962 in Oracle HTTP Server und Weblogic Server Proxy Plug-in mit Frist 27. August aufgenommen.

Für den Linux-Kernel ist dies die zweite Aufnahme innerhalb von zwei Tagen: CVE-2022-0995 am 26. August und CVE-2026-53362 am 27. August. Einige Fristen sind bereits abgelaufen, wie die für Gitea (28. August) und für Oracle (27. August). Für Organisationen, die die Patches noch nicht angewendet haben, ist die Zeit bereits abgelaufen.