Ursache der Schwachstelle ist ein offen zugänglicher Debug-API-Endpunkt. Dieser leitet vom Nutzer übergebene Parameter unzulässigerweise an die im Hintergrund laufende RPC-Funktionalität (Remote Procedure Call) weiter – ohne Authentifizierung und ohne Eingabeprüfung. Dadurch können Angreifer manipulierte Werte einschleusen, die letztlich als Systembefehle auf dem Server ausgeführt werden. Der Endpunkt wird so faktisch zu einer Schnittstelle für die Ausführung beliebiger Befehle aus der Ferne.

Nach den Beobachtungen von Vega prüften die Angreifer zunächst, ob eine Remote-Code-Ausführung möglich war: Sie lösten aus dem Java-Prozess heraus Ping-Befehle an einen mit Goby verknüpften Rückrufpunkt aus und versuchten anschließend mehrfach, über PowerShell Schadcode nachzuladen. Diese Versuche wurden jedoch sämtlich von den Endpunkt-Schutzmechanismen blockiert.

Im nächsten Schritt versuchten die Angreifer, einen auf das Ziel zugeschnittenen MSI-Installer (fanwei0324.msi) auszubringen. Dieser ließ sich jedoch nicht ordnungsgemäß ausführen, weitere Aktivität war hier nicht zu beobachten. Nach den gescheiterten Versuchen kehrten die Täter zum RCE-Endpunkt zurück und nutzten verschleierte, dateilose PowerShell-Befehle, um wiederholt entfernte Skripte abzurufen.

Über alle Phasen hinweg führten die Angreifer Erkundungsbefehle wie whoami, ipconfig und tasklist aus. Obwohl ihnen durch die Ausnutzung von CVE-2026-22679 die Möglichkeit zur Remote-Code-Ausführung offenstand, richteten sie nach Angaben von Vega zu keinem Zeitpunkt eine dauerhafte Sitzung auf den betroffenen Hosts ein.

Vega verweist zudem auf ein charakteristisches Muster: „Jeder von uns beobachtete Angreiferprozess hat java.exe als übergeordneten Prozess – das ist die in Weavers Tomcat eingebettete Java Virtual Machine – und das ohne vorausgehende Authentifizierung.“ Die Hersteller-Korrektur im Build 20260312 entferne den Debug-Endpunkt vollständig.

Nutzern von Weaver E-cology 10.0 wird empfohlen, die über die Website des Herstellers verfügbaren Sicherheitsupdates so bald wie möglich einzuspielen. Das offizielle Hinweisdokument nennt keine alternativen Gegenmaßnahmen oder Behelfslösungen, sodass das Einspielen des Updates die einzige Empfehlung bleibt.