CVE-2026-34926
Trend Micro Apex One (On-Premise) Directory Traversal Vulnerability
Beschreibung
CVE-2026-34926 ist eine mittelschwere Directory-Traversal-Schwachstelle (Relative Path Traversal) in Trend Micro Apex One (On-Premise), einer Enterprise-Endpoint-Security-Plattform. Die Lücke erlaubt es einem Angreifer, der bereits lokalen Zugriff und administrative Anmeldedaten zum Apex-One-Server besitzt, eine Schlüsseltabelle auf dem Server zu verändern und so schädlichen Code einzuschleusen, der anschließend an die verwalteten Agenten der Installation ausgerollt wird. Obwohl die Ausnutzung erheblichen vorhandenen Zugriff erfordert, ist der Scope verändert — eine Kompromittierung des Management-Servers verbreitet schädlichen Code an jeden geschützten Endpunkt und verwandelt ein Sicherheitsprodukt in einen Verteilungskanal für Schadsoftware. CISA hat CVE-2026-34926 in seinen KEV-Katalog aufgenommen, daher sollten Betreiber von On-Premise-Apex-One den Hersteller-Fix zügig einspielen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:LIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trendmicro | apex one | < 14.0.0.17079; < 14.0.20731 |
Referenzen
- https://jvn.jp/en/vu/JVNVU90583059/(Third Party Advisory)
- https://success.trendmicro.com/en-US/solution/KA-0023430(Vendor Advisory)
- https://success.trendmicro.com/ja-JP/solution/KA-0022974(Vendor Advisory)
- https://www.jpcert.or.jp/english/at/2026/at260014.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34926(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-23: Relative Path Traversal
In Apex One (On-Premise) erlaubt die Relative-Path-Traversal-Schwäche einem Angreifer, mit Traversal-Sequenzen aus dem vorgesehenen Verzeichnisbereich auszubrechen und eine Schlüsseltabelle auf dem Server zu erreichen und zu verändern. Durch das Schreiben außerhalb des vorgesehenen Orts kann der Angreifer schädlichen Code einschleusen, den der Server anschließend an seine verwalteten Agenten verteilt.
Mehr erfahren: CWE-23 — Relative Path Traversal
Auswirkungsanalyse
CVE-2026-34926 hat einen CVSS-3.1-Score von 6.7 (MITTEL). Der Angriffsvektor ist lokal mit hoher Komplexität und erfordert hohe Privilegien, das heißt, der Angreifer muss bereits Zugriff auf den Apex-One-Server und auf anderem Wege erlangte administrative Anmeldedaten besitzen, und es ist keine Benutzerinteraktion nötig. Was die Schwere trotz dieser Voraussetzungen erhöht, ist der veränderte Scope: Durch das Verändern einer Schlüsseltabelle auf dem Management-Server kann der Angreifer Code einschleusen, der an alle verwalteten Agenten ausgerollt wird, sodass die Auswirkung weit über den verwundbaren Server hinausreicht — mit hoher Auswirkung auf die Vertraulichkeit und niedriger Auswirkung auf Integrität und Verfügbarkeit. Der EPSS-Score ist mit 0,19 % (40,9. Perzentil) niedrig, doch die CISA-KEV-Listung deutet darauf hin, dass diese Directory-Traversal-Lücke in freier Wildbahn ausgenutzt wird, und eine kompromittierte Endpoint-Protection-Installation ist ein besonders wertvoller Brückenkopf für Angreifer.
Exploit-Reifegrad
CVE-2026-34926 ist im CISA-KEV-Katalog gelistet, was eine bestätigte Ausnutzungssorge anzeigt, auch wenn der EPSS-Score mit 0,19 % (40,9. Perzentil) niedrig bleibt — passend zu einer Schwachstelle, die erheblichen vorhandenen Zugriff erfordert und daher in gezielten statt in Massenangriffen genutzt wird. In den NVD-Referenzen findet sich kein als „Exploit“ gekennzeichneter öffentlicher Proof-of-Concept; die verfügbaren Quellen sind Hersteller- und CERT-Advisories, darunter das Trend-Micro-Advisory, die JPCERT/CC-Meldung und ein JVN-Advisory. Da die Schwachstelle es einem Angreifer erlaubt, den Apex-One-Management-Server in einen Verteilungspunkt für schädlichen Code an jeden Agenten zu verwandeln, sollten Verteidiger zügig patchen und jede anomale administrative Aktivität auf dem Server als möglichen Vorboten einer Ausnutzung behandeln.
Behebung
- Maßnahmen gemäß Herstelleranweisungen umsetzen, wie es die CISA-KEV-Frist vom 04.06.2026 vorschreibt: Aktualisieren Sie Apex One (On-Premise) auf einen gepatchten Build — Versionen vor 14.0.0.17079 und vor 14.0.20731 sind betroffen — gemäß dem Trend-Micro-Advisory (KA-0023430).
- Kontrollieren Sie den administrativen Zugriff auf den Apex-One-Server streng, da die Ausnutzung voraussetzt, dass ein Angreifer zunächst lokalen Zugriff und administrative Anmeldedaten erlangt; erzwingen Sie starke Authentifizierung, Least Privilege und Netzwerksegmentierung rund um den Management-Server.
- Überwachen Sie den Apex-One-Server auf unautorisierte Änderungen an seinen Schlüsseltabellen und auf unerwartete Agenten-Deployment-Pakete, die auf versuchte oder erfolgreiche Code-Einschleusung hindeuten würden.
- Prüfen Sie Server- und Agenten-Logs auf Anzeichen, dass schädlicher Code an Endpunkte ausgerollt wird, und auditieren Sie nach dem Patchen verwaltete Agenten auf unerwartete Binärdateien oder Konfigurationsänderungen.
- Als langfristige Härtung gegen Relative Path Traversal sollten Sie alle serverseitigen Dateipfade gegen eine Allowlist erlaubter Verzeichnisse validieren und kanonisieren, sodass Traversal-Sequenzen den vorgesehenen Bereich nicht verlassen können.
Technische Details
CVE-2026-34926 ist eine Relative-Path-Traversal-Schwachstelle (CWE-23) im On-Premise-Apex-One-Server. Ein Angreifer mit lokalem Zugriff und zuvor erlangten administrativen Anmeldedaten kann Traversal-Sequenzen übergeben, die aus dem vorgesehenen Verzeichnis ausbrechen und eine Schlüsseltabelle auf dem Server verändern; da diese Tabelle beeinflusst, was an die Agenten ausgerollt wird, schleust die Änderung schädlichen Code ein, den der Server dann an die verwalteten Endpunkte verteilt. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L) erfasst den Kompromiss: Der Angriff ist lokal, komplex und privilegiengebunden, doch der Scope ist verändert, sodass die Folgen vom Management-Server bis zu jedem von ihm gesteuerten Agenten reichen. Trend Micro weist darauf hin, dass die Schwachstelle nur auf der On-Premise-Version von Apex One ausnutzbar ist und der Angreifer bereits Zugriff auf den Server sowie auf anderem Wege erlangte administrative Anmeldedaten besitzen muss.
Häufig gestellte Fragen
Wird CVE-2026-34926 aktiv ausgenutzt?
CVE-2026-34926 ist im CISA-KEV-Katalog gelistet, was eine bestätigte Ausnutzung anzeigt. Der EPSS-Score ist mit 0,19 % niedrig, weil die Ausnutzung erheblichen vorhandenen Zugriff erfordert, sodass sie eher in gezielten Angriffen als bei Massen-Scans genutzt wird.
Welche Produkte sind von CVE-2026-34926 betroffen?
Die Schwachstelle betrifft Trend Micro Apex One (On-Premise) in Versionen vor 14.0.0.17079 und vor 14.0.20731. Die Cloud-gehostete Version von Apex One ist nicht betroffen; nur On-Premise-Installationen sind verwundbar.
Wie behebe ich CVE-2026-34926?
Aktualisieren Sie Apex One (On-Premise) gemäß dem Trend-Micro-Advisory KA-0023430 auf einen gepatchten Build. Verschärfen Sie den administrativen Zugriff auf den Management-Server und überwachen Sie auf unautorisierte Änderungen an Schlüsseltabellen, da die Ausnutzung voraussetzt, dass ein Angreifer zunächst lokalen Serverzugriff mit Adminrechten erlangt.
Wie schwerwiegend ist CVE-2026-34926?
CVE-2026-34926 ist mit einem CVSS-3.1-Score von 6.7 als MITTEL eingestuft. Obwohl die Ausnutzung lokalen Zugriff und administrative Anmeldedaten erfordert, bedeutet der veränderte Scope, dass ein kompromittierter Apex-One-Server schädlichen Code an alle verwalteten Agenten ausrollen kann — was die reale Auswirkung für betroffene Organisationen erheblich macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.