// HEISE ONLINE — CYBERSECURITY
Angriffswarnungen für Plex Media Server, SiteGuard und Siemens Software Center
Angreifer nehmen Schwachstellen in Plex Media Server, SiteGuard Server und Siemens Software Center ins Visier, warnt die CISA.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Bösartige Akteure attackieren aktuell Sicherheitslücken im Plex Media Server, EG Secure Solutions SiteGuard und Siemens Software Center. Die Plex-Lücken haben sogar einen Codenamen erhalten: „Plex2Shell“.
Die US-amerikanische IT-Sicherheitsbehörde CISA warnt vor den beobachteten Angriffen und empfiehlt, die Updates umgehend zu installieren. Als Erstes zählt die Behörde die vier Schwachstellen in Plex auf, die zur „Plex2Shell“-Attacke gehören. Am gravierendsten ist eine Lücke, die die externe Kontrolle eines Dateinamens oder -pfads ermöglicht (CVE-2026-96656, CVSS4 8.6, Risiko „hoch“). Ausnutzbar ist die Lücke über die standardmäßig aktive Statistikfunktion. Behoben ist sie in Version 8.00 Update 5 (Apache httpd, Nginx, IIS) und Version 7.00 Update 6 (Apache httpd und Nginx unter FreeBSD); für ältere Versionen stellt der Hersteller einen Patch bereit. Die zweite Schwachstelle betrifft die fehlerhafte Verarbeitung von kodierten URIs in Webseiten (CVE-2026-96654, CVSS4 6.9, Risiko „mittel“). Zudem gehören zwei Server-Side-Request-Forgery-Probleme zu dem Schwachstellenbündel (CVE-2026-96652, CVE-2026-96655, CVSS4 5.3, Risiko „mittel“).
Während die CISA wie üblich nur die konkreten Schwachstelleneinträge und keine näheren Informationen zu den Angriffen nennt, liefert der Account AGTPinsights auf X weitere Informationen. Demnach führt die Verkettung der Lücken zur Ausführung von eingeschleustem Schadcode aus dem Netz – ohne vorherige Authentifizierung. Ein Exploit ist bereits seit dem vergangenen Freitag auf GitHub öffentlich. Der Honeypot eines IT-Sicherheitsforschers wurde am Samstag erfolgreich angegriffen. Plex selbst bestätigt inzwischen weit verbreitete Angriffe auf ungepatchte, aus dem Internet erreichbare Server. Bei der verteilten Malware handelt es sich um einen Krypto-Miner (XMRig) und ein Proxy-Tool, das Opfer zu unfreiwilligen Residential-Proxies macht. Betroffen sind Plex Media Server 1.43.2 und frühere Fassungen; ab Build 1.43.3.10861 sind die Sicherheitsfixes enthalten, wie Plex in seiner Sicherheitsmitteilung erläutert.
Die anderen Sicherheitslücken betreffen das Business-Umfeld. Die Web-Application-Firewall (WAF) SiteGuard Server Edition hat eine Befehlsschmuggel-Lücke, durch die Angreifer beliebige Befehle ans Betriebssystem durchreichen können, die mit Root- oder SYSTEM-Rechten laufen. Das japanische CERT warnt ebenfalls vor der Lücke, die laut CISA nun in freier Wildbahn angegriffen wird (CVE-2026-106931, CVSS4 8.5, Risiko „hoch“).
Von Attacken im Netz auf das Siemens Software Center berichtet der Hersteller selbst in einer Sicherheitsmitteilung. Es handelt sich um eine DLL-Sideloading-Lücke, bei der die Software DLLs aus dem Suchpfad lädt, anstatt von einem kontrollierten und erwarteten Verzeichnis (CVE-2026-110936, CVSS4 8.4, Risiko „hoch“). Betroffen sind alle Versionen vor Siemens Software Center V4.0.9.8. Bestehende Installationen sollen beim nächsten Start automatisch auf einen sicheren Stand aktualisieren. Angreifer hätten diese Schwachstelle Siemens zufolge mit einer originalen Version des Siemens Software Center 3.5.8.7 ausgenutzt, indem sie eigene bösartige DLLs neben das Programm gelegt haben. Verteilt wurde das Paket außerhalb offizieller Kanäle als AllMyBasic.msi im Rahmen der ClickFix-Kampagne Romulus, erklärt Siemens. Da die Software die geladenen DLLs nicht geprüft hat, war so Schadcode-Ausführung möglich. Siemens nennt auch IPs und Domains sowie Datei-Hashes als Hinweis auf Angriffe (Indicators of Compromise, IOC) und liefert Admins Handreichungen bei zu ergreifenden Maßnahmen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versan