Die Bedrohung ist konkret und aktuell: Sicherheitsforscher von VulnCheck beobachteten erste Exploitationsversuche bereits letzte Woche. Das Tempo verschärfte sich dramatisch übers Wochenende, mit gehäuften Angriffen auf MetInfo-Installationen in Singapur. Die kritische Lücke in MetInfo ist unter CVE-2026-29014 katalogisiert und weist einen CVSS-Score von 9,8 auf – das höchste Risikopotenzial. Das Problem liegt in einer unzureichenden Sanitierung von Benutzereingaben in der PHP-Anwendung. Angreifer können speziell crafted HTTP-Requests mit PHP-Code absetzen und so Remote Code Execution (RCE) erreichen. Weltweit sind etwa 2.000 MetInfo-Instanzen aus dem Internet erreichbar, die überwiegende Mehrheit in China.
Die zweite Sicherheitslücke betrifft Weaver E-cology, ein in China weit verbreitetes System für Workflow-Management, Portale, Projektmanagement und interne Kommunikation. Die Schwachstelle CVE-2026-22679 (CVSS 9,3) sitzt in einer unzureichend geschützten Debug-Funktion. Über manipulierte POST-Requests können Angreifer beliebige Befehle ausführen. Patches wurden am 12. März bereitgestellt – doch schon weniger als eine Woche später dokumentierten Sicherheitsforscher erste Exploitationsversuche.
Besonders bemerkenswert ist die Vorgehensweise der Angreifer bei Weaver E-cology: Sie nutzen den freiliegenden Debug-Endpoint selbst als Shell. Das ermöglicht effiziente Reconnaissance-Operationen – Angreifer senden Test-Ping-Callbacks, liefern verschiedene Payloads ein und führen Discovery-Befehle aus, alles über denselben Endpoint. Damit entfällt die Notwendigkeit für persistente Backdoors.
Für deutsche Unternehmen, die mit diesen Systemen arbeiten oder chinesische Partner mit solchen Lösungen haben, empfiehlt das BSI sofortige Maßnahmen: Patches einspielen, Logs auf verdächtige Aktivitäten durchsuchen und bei Verdacht auf Kompromittierung Vorfallreaktions-Teams aktivieren. Unter der DSGVO müssen Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörden und betroffene Personen gemeldet werden – Verstöße kosten bis zu 4% des Jahresumsatzes.