Umgehend alle KnowledgeDeliver LMS-Instanzen auf die neueste, gepatchte Version aktualisieren.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.1+16
- Wird laut Meldung tatsaechlich ausgenutzt: "exploited" im Titel+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-5426, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
KnowledgeDeliver LMS Flaw Exploited to Deploy Godzilla and Cobalt Strike
A now-patched high-severity security flaw affecting Digital Knowledge KnowledgeDeliver, a Learning Management System (LMS) popular in Japan, was exploited as a zero-day to deliver the Godzilla web shell and ultimately facilitate the deployment of Cobalt Strike Beacon. The vulnerability, tracked as...
SecBoard-Einordnung
Die Ausnutzung einer Schwachstelle in einem LMS kann Angreifern einen initialen Zugang zu internen Netzwerken verschaffen, was die Bereitstellung weiterer bösartiger Tools wie Webshells und Command-and-Control-Frameworks ermöglicht. Dies kann zu weitreichenden Kompromittierungen führen.
Realistisch schlimmster Fall: Erfolgreiche Kompromittierung des LMS-Servers, gefolgt von der Etablierung einer persistenten Präsenz im Netzwerk durch Webshells und C2-Frameworks, was potenziell zu Datenexfiltration, lateralen Bewegungen und weiteren Angriffen führen kann.
Empfehlung: Umgehend alle KnowledgeDeliver LMS-Instanzen auf die neueste, gepatchte Version aktualisieren. Netzwerke auf Anzeichen von Godzilla-Webshells und Cobalt Strike Beacon-Aktivitäten überwachen.
Im erfassten Bestand
- ▸3. erfasste Meldung zu Cobalt Strike innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.1 · CRITICAL
- EPSS
- 0.8%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität
- Patch
- unbekannt
Betroffen
Organisationen, die das KnowledgeDeliver LMS von Digital Knowledge nutzen, insbesondere in Japan.
Prüfen
3- ▸Überprüfen Sie alle KnowledgeDeliver LMS-Instanzen auf die installierte Version und stellen Sie sicher, dass der Patch angewendet wurde.
- ▸Suchen Sie in Webserver-Logs nach ungewöhnlichen Dateiuploads oder Zugriffen auf unbekannte Skripte, die auf eine Godzilla-Webshell hindeuten könnten.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie den Netzwerkverkehr von und zu LMS-Servern auf verdächtige C2-Kommunikation, die mit Cobalt Strike Beacon in Verbindung gebracht werden könnte.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Die spezifische CVE-ID der Schwachstelle ist im Artikel nicht genannt.
- ▸Details zur genauen Art der Schwachstelle (z.B. SQL-Injection, Remote Code Execution) sind nicht spezifiziert.
- ▸Der genaue Zeitraum der Zero-Day-Ausnutzung ist nicht angegeben.
- ▸Die Identität der Angreifer oder deren Motivation ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Können wir Persistence detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„exploited as a zero-day to deliver the Godzilla web shell“
„facilitate the deployment of Cobalt Strike Beacon“
„A now-patched high-severity security flaw affecting Digital Knowledge KnowledgeDeliver, a Learning Management System (LMS) popular in Japan, was exploited as a zero-day“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap