Vulnerabilitate critică tip Zero-Day în platformele KnowledgeDeliver: Ce trebuie să știi

În peisajul actual al amenințărilor informatice, orice breșă de securitate poate avea consecințe devastatoare pentru continuitatea afacerii. Recent, o vulnerabilitate critică de tip zero-day identificată în platforma de management al învățării (LMS) KnowledgeDeliver a scos la iveală cât de periculoase pot fi configurațiile standardizate neadecvate. La Activ.NET, echipa noastră monitorizează constant astfel de incidente pentru a ne asigura că infrastructurile clienților noștri, fie că sunt firme din Arad sau companii cu prezență națională, rămân protejate împotriva exploatărilor de acest calibru. Înțelegerea modului în care funcționează aceste atacuri este primul pas spre o strategie de apărare solidă și proactivă.

#Ce s-a intamplat

Vulnerabilitatea, înregistrată sub codul CVE-2026-5426, reprezintă o problemă de deserializare care permite execuția de cod la distanță (RCE) fără a fi nevoie de autentificare. Practic, atacatorii au profitat de o neglijență majoră a producătorului: utilizarea aceleiași chei de criptare (machine key) pentru toate instalările KnowledgeDeliver efectuate înainte de februarie 2026. Prin exploatarea acestei chei hardcodate în fișierul de configurare ASP.NET, atacatorii au reușit să semneze sarcini utile (payloads) de tip ViewState malițioase. Odată ce au preluat controlul, aceștia au instalat „Godzilla”, un web shell complex ce rulează în memorie, și au injectat scripturi capabile să păcălească utilizatorii să descarce un installer fals, care, la rândul său, livra un beacon Cobalt Strike, oferind acces total în rețeaua compromisă.

#Impact pentru firme

Impactul unui astfel de incident este imediat și sever. Companiile care utilizează soluții LMS vulnerabile se confruntă cu riscul compromiterii totale a serverului web. Odată ce un atacator instalează un web shell, acesta poate exfiltra date sensibile, poate modifica fișierele aplicației pentru a lansa atacuri de tip phishing direcționate către angajați sau poate utiliza serverul compromis ca punct de lansare pentru atacuri ulterioare în rețeaua internă. Având în vedere că atacatorii pot personaliza payload-ul pentru a se potrivi cu numele organizației vizate, riscul de a fi detectat în fazele incipiente este minim, ceea ce transformă acest tip de atac într-un coșmar pentru securitatea datelor oricărei firme.

#Recomandari concrete

Pentru a vă proteja împotriva unor astfel de riscuri, vă recomandăm următoarele acțiuni imediate:

1. Verificarea configurațiilor ASP.NET: Asigurați-vă că fișierele web.config nu conțin chei predefinite (machineKey). Generați chei unice și complexe pentru fiecare aplicație web găzduită pe serverele dumneavoastră.
2. Actualizarea sistemelor: Aplicați imediat toate patch-urile furnizate de vendorii de software. Dacă platforma utilizată nu a mai primit actualizări, evaluați migrarea către o soluție securizată sub supraveghere profesională. În proiectele noastre de Administrare servere, punem un accent deosebit pe segmentarea rețelei și scanarea vulnerabilităților pentru a preveni astfel de incidente.
3. Monitorizarea traficului web: Implementați soluții de monitorizare care pot detecta activități neobișnuite la nivelul memoriei serverului sau încercări de a injecta fișiere JavaScript malițioase. Dacă nu dispuneți de un departament IT intern, serviciile noastre de Service IT pentru firme pot prelua monitorizarea proactivă a infrastructurii dumneavoastră.

#Concluziile noastre

La Activ.NET, vedem zilnic cum configurațiile „default” pot deveni cea mai mare vulnerabilitate a unei companii. Cazul KnowledgeDeliver ne reamintește că securitatea cibernetică nu este un produs pe care îl cumperi și îl uiți, ci un proces continuu de verificare și ajustare. Nu lăsați securitatea serverelor la voia întâmplării; fiți proactivi și asigurați-vă că fiecare componentă a infrastructurii dumneavoastră este securizată și configurată individual. Contactați-ne pentru un audit de securitate dacă doriți să vă protejați activele digitale împotriva acestor amenințări curente.

Inspirat din: BleepingComputer