Die Schwachstelle CVE-2026-5426 offenbart ein fundamentales Problem in der Sicherheitsarchitektur von KnowledgeDeliver: Das System nutzte hardcodierte ASP.NET-Maschinenschlüssel in standardisierten web.config-Dateien, die vom Hersteller bereitgestellt wurden. Dies führt zu einer kritischen Situation, in der ein einziger kompromittierter Schlüssel potentiell Hunderte oder Tausende von Installationen gefährdet.
Die Angriffsmethode basiert auf ViewState-Deserialisierung, einem etablierten Angriffsvektor in der ASP.NET-Community. Sobald ein Angreifer die Maschinenschlüssel einer Installation erhält, kann er manipulierte ViewState-Payloads über den __VIEWSTATE-Parameter in HTTP-Requests an beliebige KnowledgeDeliver-Instanzen senden. Der Server deserialisiert die bösartige Payload und führt beliebigen Code aus.
In den beobachteten Angriffen setzten Threat Actor die Godzilla-Webshell (auch als BLUEBEAM bekannt) ein. Nach der initialen Kompromittierung modifizierten die Angreifer gezielt Dateisystemberechtigungen und manipulierten JavaScript-Dateien der Anwendung. Besonders raffiniert war die Implementierung einer gefälschten Sicherheitsmeldung, die Benutzer zur Installation eines “Sicherheit-Authentifizierungs-Plugins” aufforderte — in Wirklichkeit der Downloader für Cobalt Strike Beacon.
Google Mandiant dokumentierte dabei ein hohes Maß an Zielgerichtetheit: Die Malware-Payloads waren mit Schlüsseln verschlüsselt, die den Namen der Zielorganisation verwendeten. Dies deutet auf professionelle Angreifer hin, die ihre Kampagnen spezifisch vorbereiten.
Das Kernproblem liegt in der Praxis, gemeinsame Geheimnisse in Deployment-Templates zu verwenden. Für deutsche Unternehmen bedeutet dies konkret: Jede KnowledgeDeliver-Installation sollte eindeutige Maschinenschlüssel erhalten. Das BSI empfiehlt zusätzlich kontinuierliches Endpoint-Monitoring, um Deserialisierungsangriffe früh zu erkennen.
Digital Knowledge hat den Patch am 24. Februar 2026 bereitgestellt. Organisationen sollten sofort auf aktuelle Versionen upgraden und ihre Log-Dateien auf verdächtige ViewState-Aktivitäten prüfen. Die Tatsache, dass ähnliche Schwachstellen in Sitecore und Gladinet-Produkten existieren, unterstreicht ein systembreeites Risiko in ASP.NET-basierten Enterprise-Anwendungen.