Cognition: Unternehmen können sich mit grundlegenden Sicherheitsmaßnahmen schützen

Angriffe können von Entwicklerrechnern bis zu Krypto-Wallets reichen

Laut einer am 3. November veröffentlichten Zusammenfassung von Cognition haben mehrere unterschiedliche Sicherheitsvorfälle in den vergangenen Wochen die Bedeutung seit Langem etablierter Schutzmaßnahmen verdeutlicht. Das Unternehmen erklärt, Angreifer benötigten keine hochentwickelte künstliche Intelligenz, um einen ungepatchten Server oder ein gestohlenes Zugangstoken auszunutzen. KI kann Angriffe schneller und günstiger machen, doch das Schließen grundlegender Angriffswege bleibt eine wirksame Verteidigung.

Der Beitrag hebt den Angriff auf Binance hervor. Laut dem Bericht des Unternehmens erbeuteten staatlich unterstützte nordkoreanische Angreifer $6.34 billion. Der Angriff begann mit einem gefälschten Bewerbungsgespräch und einem manipulierten Installationsprogramm, das Entwickler-Laptops kompromittierte. Ein auf einem der Rechner gefundenes Installationstoken verschaffte Zugriff auf den Wallet-Signaturdienst von Binance.

Cognition zufolge meldete Cursor am 29. Oktober außerdem eine schädliche Claude-Code-Erweiterung. Die Erweiterung versuchte, eine dauerhafte Hintertür zu installieren, die SSH-Zugriff auf den Rechner des Nutzers ermöglichen konnte. Weniger als 5,000 Nutzer installierten die Erweiterung. Aufgrund automatischer Updates war dafür nicht zwangsläufig eine separate Aktion des Nutzers erforderlich.

Ungepatchte Systeme und fehlerhaftes Zertifikatsmanagement

Der Leitfaden führt mehrere kritische Schwachstellen auf. Laut Cognition könnte die Speicherfehler-Schwachstelle PHP2Shell Millionen von Websites gefährdet haben, während PHP auf etwa 70 Prozent der Websites läuft. In einigen Konfigurationen konnte eine einzige nicht authentifizierte Anfrage die Schwachstelle auslösen, noch bevor Anwendungscode ausgeführt wurde.

Auf der Liste steht eine nicht authentifizierte Schwachstelle zur Remotecodeausführung in GitLab sowie eine Reihe kritischer Schwachstellen in VPNs, Firewalls und anderen Geräten, die aus dem Internet erreichbar sind. Cognition weist außerdem darauf hin, dass die Zertifizierungsstelle eMudhra ihren privaten Schlüssel auf die Zahl 4 gesetzt hatte. Dadurch hätte jeder Zertifikate in ihrem Namen ausstellen können. Eine in KVM entdeckte Schwachstelle zur Flucht aus dem Gastbetriebssystem hätte Code in einer virtuellen Maschine Administratorzugriff auf den Host verschaffen können.

Eine als CVE-2026-98432 identifizierte Schwachstelle im Linux-TCP-Stack hätte es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen können, Administratorzugriff auf Linux-Systeme mit einem Multipath-TCP-Listener zu erlangen. Go 1.24 und spätere Versionen aktivieren diese Funktion standardmäßig.

Maßnahmen für sofort und innerhalb von 30 Tagen

Cognitions erste Empfehlung lautet, für Unternehmenskonten, insbesondere bei Google Workspace, GitHub, Cloud-Anbietern und Identitätsanbietern, phishingresistente Multifaktor-Authentifizierung und an Geräte gebundene Anmeldungen einzuführen. Das Unternehmen empfiehlt, statt SMS Passkeys oder Hardware-Sicherheitsschlüssel zu verwenden und nur von verwalteten Geräten aus darauf zuzugreifen.

Zu den sofortigen Aufgaben gehören die Bewertung der öffentlich erreichbaren Angriffsfläche, die Einführung eines Passwortmanagers und eines vertrauenswürdigen Werbeblockers sowie die Suche nach Geheimnissen auf Entwicklerrechnern, etwa Cloud-Zugangsdaten, API-Schlüsseln, SSH-Schlüsseln und Umgebungsdateien. Auch installierte Browser-, Editor- und KI-Erweiterungen sollten erfasst werden.

Innerhalb von 30 Tagen empfiehlt Cognition, jedes Unternehmensgerät in MDM- und EDR-Systeme aufzunehmen, eine Erlaubnisliste für Erweiterungen zu pflegen, Produktionsgeheimnisse von Entwicklerrechnern zu entfernen und in einen Secrets Manager zu verschieben. Die Organisation erklärt, dass Remote-Entwicklungsumgebungen und cloudbasierte Coding-Agenten die Auswirkungen einer kompromittierten Erweiterung, eines kompromittierten Pakets oder Agenten verringern können. Außerdem sollten Codebasen und Abhängigkeiten erfasst und überprüft werden, insbesondere internetexponierte Systeme, die Authentifizierung, Zahlungen oder Kundendaten verarbeiten.