Die CISA nahm die Schwachstelle am Dienstag in ihren KEV-Katalog auf und verwies dabei auf Belege für eine laufende Ausnutzung. CVE-2026-25108 betrifft das japanische Dateitransfer-Produkt FileZen von Soliton Systems K.K. und erhielt nach CVSS v4 einen Schweregrad von 8,7.
Technisch handelt es sich um eine Befehlsinjektion auf Betriebssystemebene (OS Command Injection). Ein angemeldeter Nutzer kann über speziell gestaltete HTTP-Anfragen beliebige Befehle ausführen. Nach Angaben der CISA tritt das Problem auf, sobald sich ein Nutzer beim betroffenen Produkt anmeldet und eine entsprechend präparierte Anfrage übermittelt.
Welche Versionen betroffen sind, listen die Japan Vulnerability Notes (JVN) auf. Soliton erklärt in seiner eigenen Sicherheitsmitteilung, dass eine Ausnutzung nur dann gelingt, wenn die Antivirus-Prüfoption von FileZen aktiviert ist. Der Hersteller gibt zudem an, mindestens eine Meldung über einen Schaden erhalten zu haben, der durch das Ausnutzen dieser Schwachstelle verursacht wurde.
Für einen Angriff muss sich der Täter laut Soliton mit gewöhnlichen Nutzerrechten an der Weboberfläche anmelden. Das Unternehmen rät betroffenen Anwendern, nicht nur auf Version 5.0.11 oder neuer zu aktualisieren, sondern vorsorglich auch alle Nutzerpasswörter zu ändern – ein Angreifer könne sich schließlich mit mindestens einem echten Konto anmelden. Dieser Schritt gelte für alle, die angegriffen wurden oder einen solchen Vorfall vermuten.
Bundesbehörden der US-Exekutive (FCEB) sind angehalten, die notwendigen Korrekturen bis zum 17. März 2026 einzuspielen, um ihre Netzwerke abzusichern.