CISA listet Plex2Shell und Siemens-Fehler als ausgenutzt

Die CISA, die Cyber-Sicherheitsbehörde der Vereinigten Staaten, hat am Dienstag (20.) sechs Schwachstellen in ihren Katalog für aktiv ausgenutzte Sicherheitsanfälligkeiten (KEV) aufgenommen, wie aus der veröffentlichten Warnung hervorgeht. Vier davon bilden die als Plex2Shell bezeichnete Kette im Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 und CVE-2026-96656. Die anderen beiden sind die CVE-2026-110936 im Siemens Software Center und die CVE-2026-106931 in der SiteGuard Server Edition des japanischen Unternehmens EG Secure Solutions.

Die Aufnahme in den KEV verpflichtet die zivilen Behörden der US-Bundesregierung, Systeme innerhalb von von der CISA festgelegten Fristen zu patchen, gemäß der Direktiv BOD 22-01. Für die Privatwirtschaft dient die Liste als Prioritätenliste: Die CISA registriert nur Schwachstellen mit Hinweisen auf tatsächliche Ausnutzung, nicht nur theoretische.

Plex2Shell: Vom Heimserver zum Unternehmensnetzwerk

Plex ist ein Medienserver, den Millionen von Menschen zu Hause auf NAS oder Linux-Maschinen installieren, um Filme und Serien zu organisieren. Plex2Shell verbindet vier Schwachstellen, die für sich genommen keine Kontrolle über den Server ermöglichen. Kombiniert in der richtigen Reihenfolge führen sie von einer nicht authentifizierten Anfrage zur Ausführung einer vom Angreifer gewählten Binärdatei auf dem Server. Die Kette beginnt mit dem Diebstahl des Administrator-Tokens des Serverbesitzers.

Der Zeitraum zwischen Veröffentlichung und Angriff betrug einen Tag. Der Proof-of-Concept-Code wurde am 16. Oktober veröffentlicht, und der erste registrierte Angriff auf ein Honeypot fand am 17. Oktober statt, so der Forscher, der die Falle betreibt. Die installierten Payloads umfassten den Kryptominer XMRig und ein Proxy-Tool, das den kompromittierten Server in einen Ausgangspunkt für fremden Verkehr verwandelt, indem es die Internetverbindung des Opfers nutzt.

Der Patch existiert seit August. Die vier Schwachstellen betreffen Versionen des Plex Media Server vor 1.43.3.10861, die am 3. August 2026 veröffentlicht wurde, und Plex hat eine Anleitung veröffentlicht, in der die Benutzer aufgefordert werden, ihre Software zu aktualisieren. Das Problem ist die installierte Basis, die sich nicht automatisch aktualisiert, typisch für Heimgeräte.

Für den CISO ist das Problem ein Nachbarschaftsproblem: Der Plex-Server befindet sich oft im selben Heimnetzwerk wie das Unternehmensnotebook des Mitarbeiters, der im Homeoffice arbeitet. Ein übernommener Server wird zu einem Stützpunkt innerhalb dieses Netzwerks und leitet über ein Proxy den Verkehr des Angreifers über eine legitime Wohn-IP weiter, was die Blockierung aufgrund von Reputation erschwert. Zugangssteuerungs-Tools, die auf bekannten Wohn-IP-Adressen eines Mitarbeiters vertrauen, nehmen plötzlich feindlichen Verkehr wahr, der von derselben Adresse ausgeht.

Siemens und der Missbrauch von signierter Software

Die Schwachstelle von Siemens hat ein anderes Profil. Die CVE-2026-110936 ist eine DLL-Ladeanfälligkeit im Siemens Software Center, einem Werkzeug, das Software des Unternehmens auf Ingenieurstationen verteilt und aktualisiert. Ein Angreifer, der eine schadhafte DLL in ein Verzeichnis einfügt, das das Programm abfragt, führt Code mit den Rechten der Anwendung aus. Siemens ProductCERT bestätigte die aktive Ausnutzung in einer Warnung am 19. Oktober.

Der Vektor ist bekannt und effektiv: Verwenden eines legitimen Exe-Programms mit gültiger digitaler Signatur, um schädlichen Code zu laden. Sicherheitslösungen, die auf signierte Binärdateien vertrauen, lassen oft die Ausführung des Codes zu.

SiteGuard, das dritte Produkt in der Liste, ist eine Webanwendungsfirewall eines japanischen Herstellers. EG Secure Solutions bestätigte die Ausnutzung in einer Warnung vom 14. Oktober.

Wo das Risiko sinkt

In den Vereinigten Staaten ist die Wirkung direkt: Bundesbehörden haben Fristen für Patches, und Regierungsanbieter folgen oft demselben Zeitplan aus vertraglichen Anforderungen. In Deutschland, wo die installierte Basis von Ingenieursoftware von Siemens dichter ist, betrifft die Warnung Fabriken und Projektbüros, die Windows-Stationen mit weitreichenden Berechtigungen für industrielle Werkzeuge betreiben. In Japan setzt die Schwachstelle in SiteGuard Unternehmens- und Regierungswebsites, die das Produkt gerade als Schutzschicht übernommen haben, einem Risiko aus.

In Brasilien liegt der Kontaktpunkt in der Industrie: Automobilhersteller, Stahlwerke und Energieunternehmen verwenden Siemens-Software in Anlagen und Ingenieurbüros, oft verwaltet von Drittanbietern. Das Risiko von Plex2Shell ist in all diesen Ländern transversal, da es von der Politik zur Fernarbeit abhängt, nicht von der Branche.

Die Liste vom Dienstag zeigt ein Muster, das den Sicherheitsteams bereits bekannt ist, aber selten einkalkuliert wird: Zwei der drei angegriffenen Fronten stammen von Software, die die IT-Abteilung nicht gekauft oder verwaltet hat. Eine wird von Mitarbeitern zu Hause installiert; die andere ist ein Verteilungstool des Herstellers selbst, das definitionsgemäß als vertrauenswürdig behandelt wird. Keiner der beiden taucht im Inventar der Vermögenswerte auf, die den Patch-Plan speisen.