Öffentlicher Exploit für Telerik-UI-Schwachstellenkette ermöglicht unauthentifizierte RCE in ASP.NET-Apps

Das Sicherheitsunternehmen TantoSec veröffentlichte am 7. September eine funktionierende Exploit-Kette gegen Telerik UI for ASP.NET AJAX, die es einem nicht authentifizierten Angreifer ermöglicht, auf jedem Server mit einer anfälligen Version beliebigen Code auszuführen. Die Veröffentlichung umfasst ein Kommandozeilenwerkzeug namens telerik-rau-exploit sowie zwei Payloads — einen, der eine Web-Shell auf Disk schreibt, und einen, der vollständig im Arbeitsspeicher läuft.

Die Kette verbindet vier separate Schwachstellen: CVE-2026-13181 (ungeschützte Typauflösung, CVSS 8.1), CVE-2026-13182 (AES-CBC Padding-Oracle), CVE-2026-13183 (zeitbasierte Oracle-Variante) und CVE-2026-13184 (vorhersagbarer Standard-Verschlüsselungsschlüssel). Forscher Marcio Almeida zeigte, dass die Kombination dieser Schwachstellen mit einem Typ-Namen-Deserialisierungsgadget ausreicht, um von «Serverdaten entschlüsseln können» zu «Code als IIS-Application-Pool ausführen» zu eskalieren.

Der betroffene Bereich umfasst Versionen von 2010.1.309 bis 2026.2.519 — ein Fenster von 16 Jahren Telerik-Releases. Progress Software hat alle Fehler in Version 2026.2.708 behoben, die am 8. Juli 2026 erschien. Bislang wurden keine bestätigten Angriffe in realen Umgebungen gemeldet.

Es gibt eine wichtige Voraussetzung: Der Angriff erfordert, dass die Anwendung mit einem expliziten, nicht-standardmäßigen Verschlüsselungsschlüssel für das RadAsyncUpload-Steuerelement konfiguriert ist. Organisationen, die irgendeine Version seit 2010 betreiben, sollten sofort auf Version 2026.2.708 aktualisieren.

Erstberichterstattung durch The Hacker News, basierend auf TantoSec-Forschung von Marcio Almeida, veröffentlicht am 7. September 2026.