Angreifer nutzen derzeit Sicherheitslücken in Drupal Commerce Core, Ivanti Connect Secure und Synology DSM aktiv aus. Davor warnen verschiedene Organisationen, wie heise online zusammenfasst. Updates stehen teils seit Jahren, teils erst seit Tagen bereit. Administratorinnen und Administratoren sollten sie umgehend einspielen.

Drupal Commerce: Zugriffsschutz umgehbar

In Drupal Commerce Core steht eine Schwachstelle unter Beschuss, die das Umgehen von Zugriffsbeschränkungen ermöglicht. Das Modul dient dem Verkauf über einen integrierten Warenkorb mit Checkout oder über entkoppelte Anwendungen per API. Es schützt bestimmte Routen und Entitätsfelder nicht ausreichend, was laut Drupal-Team zu Zugriffen mit „finanziellen Auswirkungen auf den Verkäufer“ führen kann. Die Lücke wird bereits aktiv angegriffen. Abhilfe schaffen Commerce Core 3.3.13 und für ältere Zweige 8.x-2.41 oder neuer. Shopbetreiber sollten zusätzlich ihre Bestellungen auf Unstimmigkeiten prüfen.

Ivanti Connect Secure: drei verkettete Lücken

Vor Angriffen auf Ivantis VPN-Appliance Connect Secure warnt unter anderem die US-Behörde CISA. Laut einer Analyse von Volexity laufen die Attacken bereits seit Anfang Oktober. Die Angreifer verketten drei Schwachstellen, um die Authentifizierung zu umgehen, ihre Rechte auszuweiten und Schadcode einzuschleusen und auszuführen. Zunächst hatte Ivanti eine Lücke geschlossen (CVE-2026-104935). Ende vergangener Woche folgten Patches für zwei weitere: eine fehlende Authentifizierung für eine kritische Funktion, über die angemeldete Angreifer ihre Rechte ausweiten können (CVE-2026-111357, CVSS 8.8), und vorhersehbare Dateinamen, die das Hochladen eigener Dateien an bekannte Pfade erlauben (CVE-2026-118527, CVSS 4.3). Ivanti empfiehlt, regelmäßig das eigene Integrity Checker Tool laufen zu lassen, um Hinweise auf erfolgreiche Angriffe zu finden.

Synology: alte Lücken, neue Ransomware

Bei Synology geht es um Schwachstellen im NAS-Betriebssystem DSM, die beim Hackerwettbewerb Pwn2Own Ende Oktober 2024 öffentlich wurden. Synology hatte sie bereits im Dezember 2024 geschlossen. Kurz vor dem Wochenende warnte der Hersteller nun, dass Ransomware-Banden veraltete DSM-Versionen ohne diese Korrekturen aktiv angreifen, Daten verschlüsseln und Lösegeld fordern. Betroffene sollten auf aktuelle DSM-Versionen aktualisieren.

Einordnung

Die drei Fälle zeigen typische Muster. Bei Ivanti trifft es erneut eine Netzwerk-Appliance am Perimeter, eine Geräteklasse, die seit Jahren bevorzugt angegriffen wird. Bei Synology rächt sich, dass Geräte über Jahre nicht aktualisiert werden. Und bei Drupal sind Webshops betroffen, bei denen ein Angriff direkt Geld kosten kann.

Was Administratoren tun sollten

Betreiber der betroffenen Systeme sollten prüfen, ob die verfügbaren Updates eingespielt sind, und Protokolle auf Auffälligkeiten durchsehen. Gerade bei aktiv ausgenutzten Lücken reicht das Patchen allein nicht immer, weil Angreifer vorher bereits Zugänge hinterlassen haben könnten.