KW 43/2026: Plex2Shell, Collabora und VeloCloud: Ausgenutzte Lücken treffen auf breite Ransomware-Aktivität
Aktiv ausgenutzte Schwachstellen in Plex Media Server, Collabora Online und Arista VeloCloud prägen die Woche, flankiert von anhaltender Aktivität zahlreicher Ransomware-Gruppen und Einblicken in KI-gestützte Angriffsketten.
Überblick und Einordnung der Woche
Das Lagebild entspricht weitgehend dem der Vorwoche: keine Eskalation, aber auch keine Entspannung. Bestimmend sind Schwachstellen in Software, die typischerweise an der Schnittstelle zwischen Internet und internem Netz steht – Orchestrierungsplattformen für SD-WAN, kollaborative Dokumentenbearbeitung in selbst betriebenen Cloud-Umgebungen, Web-Application-Firewalls sowie Medienserver, die in Unternehmensnetzen oft unbeachtet mitlaufen. Mehrere dieser Lücken sind nicht theoretisch, sondern werden angegriffen; die US-Behörde CISA hat sie entsprechend in ihren Katalog bekannt ausgenutzter Schwachstellen aufgenommen, was auch für europäische Betreiber als Priorisierungssignal taugt.
Parallel dazu bleibt die Ransomware-Szene breit aufgestellt. Statt einer dominierenden Gruppe prägt ein Nebeneinander etablierter und neu auftretender Akteure das Bild, mit Opfern quer durch Branchen und Regionen – Einrichtungen im deutschsprachigen Raum waren ebenfalls betroffen. Bemerkenswert ist dabei weniger die Lautstärke einzelner Leak-Seiten als die Arbeitsteilung dahinter: Affiliate-Strukturen, geteilte Infrastruktur und zunehmend automatisierte Vorbereitung von Angriffen.
Die Verbindung beider Stränge ist die eigentliche Botschaft der Woche. Dort, wo öffentlich dokumentierte Schwachstellenketten verfügbar werden, dauert es nicht lange, bis sie in opportunistischen Kampagnen landen – von Krypto-Minern bis zu persistenten Hintertüren auf Linux-Systemen. Wer Patch-Management nur an Betriebssystemen und Browsern ausrichtet, übersieht genau die Komponenten, die in dieser Woche angegriffen wurden.
Schwachstellen und ausgenutzte Sicherheitslücken
Im Zentrum steht eine Schwachstellenkette im Plex Media Server, die unter dem Namen Plex2Shell diskutiert wird. Sie setzt sich aus mehreren Einzelproblemen zusammen, die erst in Kombination ihre volle Wirkung entfalten. CVE-2026-96652 beschreibt eine Server-Side Request Forgery, die sich mit einem beliebigen X-Plex-Token auslösen lässt – damit kann ein Angreifer den Server dazu bringen, Anfragen in Netzsegmente zu stellen, die von außen eigentlich nicht erreichbar sind. Ergänzend existiert mit CVE-2026-96655 eine weitere SSRF-Variante, die authentifizierten Nutzern offensteht. Hinzu kommt CVE-2026-96656, eine externe Kontrolle von Dateinamen beziehungsweise Pfaden im administrativen Kontext, sowie CVE-2026-96654, eine unzureichende Neutralisierung kodierter URI-Schemata in der Weboberfläche.
Diese Kombination ist typisch für moderne Exploit-Ketten: Ein Informationsleck oder eine SSRF verschafft Zugang zu internen Diensten, eine Pfadmanipulation sorgt für das Schreiben oder Ausführen von Inhalten, und ein Browser-seitiges Problem erleichtert die Übernahme privilegierter Sitzungen. Dass daraus in der Praxis bereits Krypto-Miner und eine Linux-Backdoor ausgerollt werden, zeigt, wie kurz das Zeitfenster zwischen Veröffentlichung und Massenausnutzung ist. Medienserver gelten in vielen Organisationen als unkritisch und laufen daher ohne Monitoring, ohne Segmentierung und mit veralteten Versionen – eine denkbar ungünstige Ausgangslage.
Deutlich klassischer, aber nicht weniger ernst ist CVE-2026-114625 im On-Premises-Betrieb des Arista VeloCloud Orchestrator. Eine SQL-Injection erlaubt dort einem entfernten Angreifer den Zugriff auf privilegierte Funktionen. Der Orchestrator ist die zentrale Steuerungsebene eines SD-WAN; wer ihn kontrolliert, kontrolliert potenziell Routing und Policy-Durchsetzung über verteilte Standorte hinweg. Ein erfolgreicher Zugriff wirkt sich damit nicht lokal, sondern strukturell aus.
Ebenfalls im Fokus steht CVE-2026-110447 in Collabora Online beziehungsweise dem eingebauten CODE-Server, speziell im Zusammenspiel mit der NextCloud-Plattform. Die OS-Command-Injection trifft eine Konstellation, die in Behörden, Hochschulen und mittelständischen Unternehmen im deutschsprachigen Raum weit verbreitet ist – gerade weil sie als souveräne Alternative zu großen Cloud-Suiten gewählt wurde. Dokumentenkonvertierung bedeutet, dass nutzergelieferte Inhalte serverseitig verarbeitet werden; genau an dieser Stelle setzt die Lücke an.
Mit CVE-2026-106931 ist die SiteGuard Server Edition von EG Secure Solutions betroffen, ebenfalls über eine OS-Command-Injection. Dass ausgerechnet ein Schutzprodukt zum Einfallstor wird, ist ein wiederkehrendes Muster: Sicherheitskomponenten stehen per Definition im Datenpfad und verfügen über hohe Rechte. Abgerundet wird die Liste von CVE-2026-110936 im Siemens Software Center, wo ein unkontrolliertes Suchpfad-Element einem lokal authentifizierten Angreifer die Rechteausweitung ermöglicht. Solche Lücken sind kein Erstzugang, aber ein zuverlässiger zweiter Schritt – und in Umgebungen mit Industriebezug besonders heikel, weil Engineering-Workstations oft Brücken zwischen Büro- und Produktionsnetz bilden.
Die Aufnahme dieser Schwachstellen in den KEV-Katalog durch CISA – zum einen die Plex2Shell-Lücken samt Siemens- und SiteGuard-Software, zum anderen die kritischen Probleme in Collabora Online und Arista VeloCloud – sollte als Arbeitsliste verstanden werden. Priorität haben die extern erreichbaren Komponenten; die lokale Rechteausweitung folgt im zweiten Schritt, darf aber nicht liegenbleiben.
Ransomware-Lage
Die Ransomware-Aktivität bleibt auf dem Niveau der Vorwochen, verteilt sich jedoch auf viele Schultern. Zu den aktivsten Akteuren zählten unter anderem Qilin und Akira – beides Gruppen, die seit längerem mit konsequenter Ausnutzung exponierter Fernzugänge und Netzwerkkomponenten auffallen und deren Affiliate-Modelle für ein kontinuierliches Opferaufkommen sorgen. Ihre Vorgehensweise passt unmittelbar zu den oben beschriebenen Schwachstellenklassen: zentrale Management- und Zugangssysteme als Einstieg, anschließend laterale Bewegung und Datenabfluss vor der Verschlüsselung.
Daneben traten BrainCipher, SilentRansomGroup, Emperador, N0n und Lamashtu in Erscheinung – eine Auswahl, keine vollständige Aufstellung. Auffällig ist die Mischung aus bekannten Marken und Namen, die erst seit kurzem auftauchen. Dieses Nebeneinander spricht dafür, dass Personal und Werkzeuge zwischen Projekten zirkulieren: Wenn eine Marke unter Druck gerät, entstehen neue Label, während Infrastruktur, Verhandlungsmuster und Verschlüsselungsroutinen erkennbar bleiben. Für Verteidiger bedeutet das, dass die Gruppenzuordnung an operativem Wert verliert; relevanter sind wiederkehrende Techniken.
Betroffen sind weiterhin Organisationen quer durch die Branchen – produzierendes Gewerbe, Dienstleister, Gesundheits- und Bildungseinrichtungen sowie kommunale Strukturen. Auch Einrichtungen im deutschsprachigen Raum finden sich darunter. Gerade Gruppen wie SilentRansomGroup, die stärker auf Datenabfluss und Erpressung ohne aufwendige Verschlüsselung setzen, verschieben dabei den Schwerpunkt: Wer seine Erkennung allein auf Verschlüsselungsaktivität ausrichtet, bemerkt solche Vorfälle erst mit der Kontaktaufnahme der Täter. Monitoring ungewöhnlicher Datenabflüsse und strikte Kontrolle administrativer Konten bleiben damit die wirksamsten Hebel.
Bemerkenswerte Vorfälle und Themen der Woche
Den größten Widerhall fanden die beiden KEV-Erweiterungen durch CISA. Dass Plex2Shell gemeinsam mit den Problemen in Siemens- und SiteGuard-Software aufgenommen wurde und kurz darauf die kritischen Lücken in Collabora Online und Arista VeloCloud folgten, zeigt eine Häufung aktiv ausgenutzter Schwachstellen in Produkten sehr unterschiedlicher Kategorien. Für Betreiber ist das weniger eine Nachricht als ein Auftrag: Die betroffenen Systeme sind inventarisiert, extern erreichbare Instanzen vorrangig zu behandeln und Kompromittierungsindikatoren auch rückwirkend zu prüfen, da die Ausnutzung der Veröffentlichung vorausging.
Die Berichte über die aktive Nutzung der Plex2Shell-Kette für Krypto-Miner und eine Linux-Backdoor verdienen besondere Aufmerksamkeit. Der Krypto-Miner ist dabei der harmlosere Teil; er verrät sich durch Ressourcenverbrauch. Die Backdoor hingegen schafft dauerhaften Zugang, der sich später monetarisieren oder weiterverkaufen lässt – ein typischer Vorlauf zu Ransomware-Vorfällen. Ein gepatchtes System ist deshalb nicht automatisch ein sauberes System; nach bekannter Ausnutzung gehört eine gezielte Prüfung auf Persistenzmechanismen dazu.
Schließlich sorgte die Analyse einer KI-gesteuerten Angriffskette für Diskussion: Über offen zugängliche Infrastruktur ließen sich Partner der Gruppen INC und The Gentlemen nachvollziehen. Zwei Aspekte sind daran bemerkenswert. Erstens der Einsatz von KI zur Automatisierung von Angriffsschritten, der die Hürde für weniger versierte Affiliates senkt und die Geschwindigkeit zwischen Erstzugang und Erpressung weiter verkürzt. Zweitens der Umstand, dass die Täter selbst elementare Fehler machen und ihre Infrastruktur ungeschützt lassen – was Ermittlern und Sicherheitsforschern wertvolle Einblicke in Werkzeuge und Arbeitsteilung verschafft. Die Professionalisierung der Angreiferseite ist real, aber nicht lückenlos. Defensiv bleibt die Konsequenz unverändert: exponierte Dienste minimieren, bekannte ausgenutzte Lücken mit Vorrang schließen und ungewöhnliche Aktivität auf Anwendungsebene so protokollieren, dass sie im Ernstfall auswertbar ist.