Kiteworks hat Sicherheitsupdates zur Behebung von 126 Schwachstellen in seinen Produkten veröffentlicht, darunter eine kritische Schwachstelle in der Lösung Email Protection Gateway, kurz EPG, die einem entfernten und nicht authentifizierten Angreifer die Ausführung von Code und die vollständige Kontrolle über das Zielgerät ermöglichen kann.
Die Schwachstelle trägt die Kennung CVE-2026-54154 und wurde über das Bug-Bounty-Programm von Kiteworks auf der Plattform YesWeHack entdeckt. Nach Angaben des Unternehmens beruht ihre Ausnutzung auf einer Kette aus Pfad-Traversal-Fehlern, Code-Injection und fehlender Authentifizierung an öffentlich exponierten Zugriffspunkten. Der Angriff erfordert keine Interaktion des Nutzers, und der Angreifer benötigt keine vorherigen Berechtigungen.
Was ändert sich praktisch?
Betroffen sind alle Versionen von Kiteworks Email Protection Gateway vor Version 9.4.1; die Behebung ist in Version 9.4.1 und höher verfügbar. Kiteworks zufolge hätte die Verkettung dieser Schwachstellen die Remote-Ausführung von Code und anschließend die Ausnutzung weiterer lokaler Schwachstellen ermöglicht, um vollständige administrative Kontrolle mit Root-Berechtigungen zu erlangen.
Die Behebung ist Teil eines umfassenderen Pakets, das außerdem 11 kritische Schwachstellen in den Komponenten Core und EPG beseitigt, darunter die Umgehung der Authentifizierung, die Übernahme von Administratorkonten, gespeicherte XSS-Angriffe sowie Probleme bei der Zugriffskontrolle und den Authentifizierungsmechanismen.
Warum ist diese Nachricht wichtig?
EPG ist Teil des Private Content Network, einer Plattform, die Unternehmens-E-Mail, verwaltete Dateiübertragung, Dateifreigabe, APIs und Webformulare zusammenführt. Laut der Quelle wird Kiteworks von Tausenden Unternehmen und Behörden weltweit genutzt; die Zahl der Nutzer seines privaten Netzwerks übersteigt 100 Millionen. Daher beschränkt sich die Bedeutung der Schwachstelle nicht auf einen einzelnen Mailserver, sondern erstreckt sich auf eine Komponente, die mit verschiedenen Content- und Dateiströmen innerhalb von Unternehmen verbunden sein kann.
Shadowserver beobachtet derzeit rund 400 im Internet exponierte Kiteworks-Instanzen, macht jedoch keine Angaben dazu, auf wie vielen Systemen die Updates installiert wurden oder welche davon Honeypots darstellen. Diese Sichtbarkeitslücke lässt das tatsächliche Ausmaß der Gefährdung unbekannt.
Ungeklärter Sicherheitskontext
In der Vorwoche forderte Kiteworks Kunden auf, ihre Server abzuschalten, nachdem das Unternehmen eine nachrichtendienstliche Warnung vor einem möglichen und unmittelbar bevorstehenden Zero-Day-Angriff erhalten hatte. Am Montag hob das Unternehmen die Vorsichtsmaßnahme auf, nahm die gehosteten Systeme wieder in Betrieb und erklärte, keine Hinweise auf einen Einbruch oder verdächtige Aktivitäten gefunden zu haben. Das Unternehmen veröffentlichte jedoch keine weiteren Einzelheiten zu der Schwachstelle, die es aufgrund dieser Warnung behoben hatte, und wies ihr bislang keine CVE-Kennung zu.
Die aktuelle Behebung ist daher hinsichtlich der betroffenen Versionen eindeutig, doch der Zusammenhang zwischen CVE-2026-54154 und der Schwachstelle, die zur vorherigen vorsorglichen Abschaltung geführt hatte, bleibt aufgrund der verfügbaren Informationen unbestätigt. Die praktische Priorität für Betreiber von EPG besteht darin, die Version zu überprüfen und Systeme vor Version 9.4.1 zu aktualisieren sowie die Zugriffsprotokolle auf ungewöhnliche Aktivitäten zu prüfen.