Critical Vulnerability bei Weaver Ecology ermöglicht eine Remote-Code-Ausführung ohne Authentifizierung und ist bereits in Betrieb

Eine kritische Schwachstelle in Weaver (auch bekannt als Fanwei) E-Kologie, eine Plattform für Büroautomatisierung und Unternehmenskooperation, wird aktiv in realen Umgebungen genutzt. Der Ausfall, aufgezeichnet als CVE-2026-22679 und mit einem CVSS-Score von 9.8 bewertet, ermöglicht Remote-Ausführung von Code ohne Authentifizierung in den Versionen 10.0 vor dem am 12. März 2026 veröffentlichten Update, unter Ausnutzung einer Debugging-Funktionalität angezeigt im Endpunkt "/ Daddy / Forschung / Daten / devops / dubboApi / debug / Methode." Für die offizielle technische Beschreibung sehen Sie die Registerkarte NVD und den CVE-Datensatz in MITRE: NVD CVE-2026-22679 und MITRE CVE-2026-22679.

Der identifizierte Operationsvektor ermöglicht es einem Angreifer, POST-Anfragen mit Parametern wie SchnittstelleName und Verfahren um Befehlsausführungshilfen in die debugging API integriert zu rufen. Als Ausfall ohne Authentifizierungsanforderungen können schädliche Akteure direkt exponierte Server aus dem Internet kompromittieren, das Risiko für Organisationen mit öffentlich zugänglichen oder schlecht segmentierten Weaver-Instanzen erhöhen.

Sicherheitsforscher und Organisationen, die Bedrohungen überwachen, erkannten die Ausbeutungsaktivität von der Nähe zur Korrektur: Einige Berichte stellen die ersten Anzeichen am 17. März 2026, während zusätzliche Beobachtungen vom 31. März erscheinen. Die beschriebenen Missbrauchsmuster umfassen Fernabwicklungsprüfung, gescheiterte Versuche zur Bereitstellung von Nutzlasten, ein Versuch, durch eine MSI zu installieren, die als legitim bezeichnet wird ("fanwei0324.msi") und eine kurze Kampagne zur Wiederherstellung von Nutzlasten durch PowerShell aus der von den Angreifern kontrollierten Infrastruktur. Grundsätzliche Erkennungsbefehle wie Whoami, ipconfig und Tasklist wurden auch während der Intrusionen aufgezeichnet.

Aus betrieblicher Sicht zeigt dieser Vorfall zwei wiederkehrende Risiken: erstens, dass die in der Produktionssoftware aktiven Werkzeuge und Debugging-Endpunkte bei Nicht-Schutz wieder Türen werden; zweitens, dass die veröffentlichten Korrekturen das Belichtungsfenster nicht automatisch entfernen, weil viele Unternehmensumgebungen langsam sind, um Patches anzuwenden oder keine Perimeter-Kontrollen haben, die einen unerwünschten Zugriff blockieren.

Wenn Ihre Organisation Weaver E-Cology verwendet, ist die sofortige Handlung erforderlich, um das offizielle Update, das am 12. März 2026 veröffentlicht wird, oder jedes spätere Patch, das CVE-2026-22679 repariert anzuwenden. Neben dem Patch ist es angebracht, Kompensator-Abschwächung anzuwenden, bis die gesamte Flotte aktuell ist: den Zugriff auf verletzliche Endpunkte durch Firewall- oder WAF-Regeln zu beschränken, POST-Anwendungen auf verdächtige Routen zu blockieren und den Fernzugriff auf die Anwendung nur auf interne Netzwerke oder autorisierte IP-Adressen zu beschränken.

Parallel zur Vermittlung wird empfohlen, Nachweis- und Forschungstätigkeiten durchzuführen. Dazu gehören die Überprüfung von Web- und Proxy-Protokollen für POST-Anfragen an "/ Daddy / Forschung / Daten / devops / dubboApi / debug / Methode" und ungewöhnliche Parameter in interfaceName / Methode, auf der Suche nach Spuren des Installers "fanwei0324.msi" oder andere unautorisierte MSI-Dateien, die Überprüfung von anomale ausgehende Prozesse und Verbindungen, und die Überprüfung der hinteren Anwesenheit von Webshells oder In Abwesenheit von bestimmten Werkzeugen ermöglicht ein Endpunkt-Zugriffs-Scan von außerhalb seines Umfangs, sichtbare Instanzen zu identifizieren, die sofortige Aufmerksamkeit erfordern.

Wenn Sie Zeichen des Engagements erkennen, isolieren Sie die betroffene Maschine, bewahren Sie Datensätze und Volumen für forensische Analyse, und betrachten Sie die Wiederherstellung von Anmeldeinformationen und Überprüfung von Konten mit Privilegien. Ein koordiniertes Eingreifen zwischen Netzwerk-, Sicherheits- und Betriebsteams ist der Schlüssel, um Auswirkungen zu enthalten und interne Schwenkungen zu vermeiden. Es ist auch ratsam, den Lieferanten und gegebenenfalls die Behörden oder Notfallteams zu informieren, um Indikatoren zu teilen und an der Eindämmung mitzuarbeiten.

Um die Wahrscheinlichkeit solcher Verwundbarkeiten, die in der Zukunft entstehen, zu verringern, sollten strukturelle Maßnahmen getroffen werden: Debugging-Funktionen in Produktionsumgebungen deaktivieren, strenge Netzsegmentierung für administrative Anwendungen anwenden, WAF-Regeln bereitstellen und pflegen, die exponierte Managementrouten blockieren und schnelle Patching-Verfahren für kritische Software festlegen. Kontinuierliche Sichtbarkeit durch Integritätsüberwachung, EDR und Web-Verkehrsanalyse hilft, verdächtige Aktivität in frühen Stadien zu erkennen.

Der Fall der Weaver-E-Kologie ist eine Erinnerung daran, dass Business Collaboration-Plattformen aufgrund ihrer kritischen Natur und des Zugangs zu Unternehmensdaten attraktive Ziele für Angreifer sind. Die Kombination einer Schwachstelle mit aktiver Ausbeutung erfordert eine Priorisierung der Korrektur und Jagd von Indikatoren in ihren eigenen Umgebungen, um das Risiko von Eindringen und Exfiltration zu minimieren.