Kritische ASUS-Schwachstelle entdeckt: KI und Mensch kommen gemeinsam ans Ziel

Wenn die Verwaltungssoftware zum Einfallstor wird

Mit ASUS Control Center können Unternehmen Computer und Server zentral verwalten und Software auf verbundenen Geräten installieren. Eye Security zeigte in einer Testumgebung, dass Angreifer eine verwundbare Installation unter bestimmten Voraussetzungen übernehmen könnten.

Von dort aus hätten sie möglicherweise Schadsoftware auf verwaltete Geräte bringen können – etwa Erpressungssoftware oder eine Hintertür für spätere Angriffe.

Drei Schwächen bildeten eine Angriffskette

Technisch beruhte der Angriff auf dem Zusammenspiel mehrerer Schwächen: Ein ohne Anmeldung erreichbarer Endpunkt gab einen Verschlüsselungsschlüssel preis. Damit ließ sich auf eine Guacamole-Komponente zugreifen, über die Verbindungen zu anderen Systemen aufgebaut werden können. Eye Security zeigte, dass darüber eine SSH-Verbindung zum Control Center selbst möglich war – obwohl dessen SSH-Dienst von außen durch eine Firewall abgeschirmt war. Ein fest hinterlegter, verschlüsselter Root-Passwort-Hash ließ sich mithilfe einer von der KI generierten Wortliste knacken und ermöglichte so den Zugriff mit Root-Rechten. In der Testumgebung konnte das Team so Befehle auf dem System ausführen. Die Schwachstellenkette wird unter CVE-2026 75754 geführt und ist mit CVSS 10.0, dem höchsten Schweregrad, bewertet.

Die KI fand Hinweise. Menschen erkannten den Weg.

Für die Untersuchung nutzte Eye Security einen KI-Agenten und einen selbst entwickelten, zwölfstufigen Forschungsprozess namens „Kitten“. Der Agent analysierte die Software und fand mehrere Bausteine der Angriffskette. Wie sie sich verbinden ließen, erkannte er zunächst nicht. Erst durch die fachliche Anleitung der Mitarbeitenden konnte die Analyse fortgesetzt und der mögliche Angriff vollständig nachgewiesen werden.

Der Fall zeigt den Ansatz von Eye Security: KI kann die Untersuchung komplexer Software beschleunigen. Menschen mit Erfahrung in der Cybersicherheit bewerten die Ergebnisse, erkennen Zusammenhänge und prüfen, ob aus einem Verdacht ein tatsächliches Risiko wird. Gerade diese Zusammenarbeit führte hier zum Fund.

Update verfügbar – KI beschleunigt die Suche nach Sicherheitslücken

Laut ASUS sind die Versionen 4.0.0.2 und älter betroffen. Eye Security stellte keine flächendeckende Verbreitung von Instanzen fest, die ungeschützt aus dem Internet erreichbar waren. Wie viele Unternehmen ASUS Control Center insgesamt einsetzen, lässt sich daraus nicht ableiten.

Auch wenn aktuell keine Hinweise auf eine Ausnutzung der Schwachstelle vorliegen, warnt Eye Security vor einer wachsenden Gefahr: KI-Systeme senken die Einstiegshürde für die Suche nach Schwachstellen, auch für Angreifer. Erst kürzlich wurden etwa Schwachstellen in PaperCut und N able als Zero-Day-Lücken ausgenutzt. Unternehmen sollten davon ausgehen, dass Sicherheitslücken künftig häufiger entdeckt werden, bevor ein Patch verfügbar ist, und ihre Angriffsfläche entsprechend konsequent absichern.

Organisationen, die die Software nutzen, sollten ihre installierte Version prüfen und das von ASUS bereitgestellte Sicherheitsupdate einspielen. Weitere Informationen finden sich in der technischen Analyse von Eye Security und in der Sicherheitsmeldung von ASUS unter „Security Update for ASUS Control Center“.