Im Rechenzentrumsflur steht heute ein Schrank, der nicht einfach Speicher verwaltet. Er klimpert. Das ist nie gut. Wenn Infrastruktur klimpert, liegt meistens irgendwo ein Schlüssel herum, und wenn der Schlüssel nicht herumliegt, steckt er im Konfigurationsfach und tut so, als sei Base64 schon ein Tresor.
Die nüchterne Meldung dazu kommt von CISA: Für den StoneFly Storage Concentrator und die virtuelle Variante beschreibt das Advisory ICSA-26-181-06 mehrere Schwachstellen. Die Kurzfassung riecht nach Metallspind mit offener Rückwand: fest eingebaute Zugangsdaten, zwei Wege zu unauthentifizierter Befehlsausführung mit Root-Rechten, SQL-Injection über Cookie-Werte und reflektiertes XSS über Fehlerseiten.
Wenn der Tresor die Schlüssel sortiert und ausgibt
Besonders blechern ist CVE-2026-50110. Laut CISA stecken Zugangsdaten für interne Dienste in einer Konfigurationsdatei; sie seien zwar kodiert, aber in Klartext zurückverwandelbar. Betroffen seien unter anderem Datenbankkonten, Lizenzierung, Replikationsdienste und Drittanbieter-Integrationen. Anders gesagt: Der Speicherschrank verwaltet nicht nur Kisten, er führt auch einen kleinen Schlüsselbund für den Hinterhof.
Dann kommen die beiden schweren Presswalzen. CVE-2026-56413 betrifft den Dienst ms_service.pl, der standardmäßig auf TCP-Port 9000 lauscht und spezielle Netzwerkpakete annimmt. Ein unauthentifizierter Angreifer könne dort präparierte Pakete schicken und wegen fehlender Bereinigung Befehle mit Root-Rechten ausführen. CVE-2026-56415 beschreibt Ähnliches über ein ohne Anmeldung erreichbares debug.pl-Skript per HTTP. CISA bewertet beide mit CVSS 10. Das ist nicht mehr Warnlampe, das ist die Warnlampe mit eigenem Warnlampe-Assistenten.
Kekse, Fehlerseiten und andere weiche Schrauben
Auch die Nebentüren sind keine Zierleisten. CVE-2026-55721 beschreibt SQL-Injection über Cookie-Werte, die von login.pl und debug.pl verarbeitet werden. Laut Advisory können dabei sensible Informationen aus der Datenbank herausfallen: Session-Tokens, Passwort-Hashes, gespeicherte Geheimschlüssel. Das ist der Moment, in dem ein Cookie nicht mehr nach Keksdose klingt, sondern nach Aktenvernichter rückwärts.
CVE-2026-50040 ist dagegen die Browser-Ecke: reflektiertes Cross-Site-Scripting, weil unsauberer Inhalt auf 404-Fehlerseiten zurückgeworfen wird. Ein entsprechend gebauter Link könne im Browser eines angemeldeten Nutzers Skriptcode im Kontext der Anwendung ausführen. Weniger dramatisch als Root auf der Maschine, ja. Aber wer schon Session-Cookies mit den Fingern von der Werkbank kratzen musste, lacht da auch nicht lange.
Die Reparatur ist unspektakulär. Genau deshalb wichtig.
StoneFly empfiehlt laut CISA das Upgrade auf Storage Concentrator 8.0.4.29 oder neuer. CISA legt die bekannten Standardhölzer daneben: Exposition von Kontrollsystemen minimieren, Systeme hinter Firewalls und getrennt von Büronetzen halten, Fernzugriffe nur sauber abgesichert betreiben. Das klingt langweilig. Es ist auch langweilig. Aber langweilig ist bei Storage-Infrastruktur oft nur ein anderes Wort für: Niemand hat heute Nacht Root auf dem Archivschrank gespielt.
Wichtig ist die Grenze der Meldung: CISA schreibt, dass ihr zum Veröffentlichungszeitpunkt keine bekannte öffentliche Ausnutzung speziell dieser Schwachstellen gemeldet wurde. Das macht die Sache nicht harmlos. Es macht sie nur zu einem der Fälle, bei denen man nicht auf den Rauch wartet, wenn der Schaltschrank schon Funken übt.
Die Blechpresse notiert: Ein Speicherschrank darf Daten sortieren. Er darf sie spiegeln, sichern, stapeln, meinetwegen mit leisem Brummen in Klimakälte baden. Aber wenn er Generalschlüssel ausspuckt und Root-Befehle auf Zuruf annimmt, gehört kein Schild „kritische Infrastruktur“ dran. Dann gehört ein Schraubenschlüssel dran. Sofort.