Kurzfassung

In der Policy-Manager-Konsole der Akana API Platform steckt eine kritische Schwachstelle mit der Kennung CVE-2026-85978. Ein Angreifer kann sie ohne Login und ohne Nutzeraktion ausnutzen. Im schlimmsten Fall landet er bei Remote Code Execution auf dem System.

Für Unternehmen mit Akana im Einsatz ist das kein theoretisches Risiko. Wer die Konsole aus dem Netz erreichbar macht, sollte die Priorität hochziehen und den betroffenen Bereich sofort prüfen.

Was ist passiert?

Laut NVD liegt das Problem in einer Unstimmigkeit zwischen Authentifizierungsfilter und Servlet-Dispatcher. Eine speziell präparierte Anfrage kann dadurch die Anmeldung umgehen und einen internen Endpunkt erreichen, der eingesandten Skriptcode ohne Sandbox ausführt. Genau daraus entsteht die Codeausführung auf dem Zielsystem.

Die Schwachstelle braucht weder Benutzerinteraktion noch gültige Zugangsdaten. Das macht sie für Angreifer deutlich attraktiver als viele andere Web-Lücken. Wer einen exponierten Verwaltungszugang betreibt, öffnet damit im Zweifel die Tür für eine vollständige Übernahme.

Technische Details

Die Quelle beschreibt eine Path-Normalization-Diskrepanz. Vereinfacht gesagt bewertet die eine Komponente den Pfad anders als die andere. Ein Angreifer nutzt diese Lücke mit einem passend formatierten Request aus und landet so an einem geschützten Ziel, das Skriptcode ausführt.

Der kritische Punkt ist die fehlende Sandbox. Wird der eingereichte Code direkt verarbeitet, hat der Angreifer je nach Laufzeitumgebung oft weitreichende Möglichkeiten: Dateien lesen, Befehle ausführen, Konfiguration ändern oder weitere Werkzeuge nachladen. Ob zusätzliche Härtungsmaßnahmen im Einzelfall greifen, lässt die Quelle offen.

Wer ist betroffen?

Betroffen ist laut Quelle die Policy Manager Console der Akana API Platform. Ob nur bestimmte Versionen anfällig sind, nennt die NVD-Seite im Auszug nicht. Auch ein Herstellerhinweis mit genauer Versionsabgrenzung liegt hier nicht vor.

Für den DACH-Raum ist das vor allem dann relevant, wenn Akana als API-Gateway oder Verwaltungsplattform im produktiven Betrieb hängt. Besonders heikel sind Installationen mit Internetzugang, Testsysteme mit schwacher Segmentierung und Admin-Oberflächen, die aus dem Office-Netz erreichbar bleiben.

Empfohlene Maßnahmen

Wer Akana API Platform betreibt, sollte zuerst prüfen, ob die Policy Manager Console extern oder intern erreichbar ist. Danach gehört sie, wenn möglich, sofort in ein restriktives Netzsegment. Zugriff nur für Admins, nur über VPN oder Jump Host. Das ist der pragmatische erste Schritt, falls noch kein Fix eingespielt ist.

Im nächsten Schritt braucht es den Abgleich mit einer Herstellerinformation oder einem Patch. In den vorliegenden Quellen fehlt ein offizieller Advisory-Link; deshalb lässt sich hier kein konkreter Download oder Fix verlinken. Bis belastbare Details vorliegen, helfen nur Härtung, Zugriffsbeschränkung und enges Monitoring auf verdächtige Requests.

Admins sollten außerdem Webserver- und Applikationslogs auf ungewöhnliche Pfadvarianten, fehlgeschlagene Authentifizierungsversuche und verdächtige Aufrufe der Konsole prüfen. Wer EDR oder Application-Logging hat, sollte die Telemetrie für diese Systeme hochziehen. Bei verdächtigen Spuren gilt: System isolieren, Art des Zugriffs klären, dann sauber neu aufsetzen statt hektisch herumzupatchen.

Einschätzung von CyberSecurity-News.de

Die Lücke ist ernst. Eine unauthentifizierte RCE in einer Admin-Konsole gehört in die oberste Schublade, weil sie oft direkt zur vollständigen Kompromittierung führt. Dass die Quelle keine betroffenen Versionen und keinen Herstellerhinweis nennt, ist allerdings ein echtes Informationsloch.

Gerade deshalb sollten Betreiber jetzt nicht auf Details warten. Wer Akana produktiv nutzt, muss die Erreichbarkeit bewerten und den Zugang sofort begrenzen. Viel mehr braucht es vorerst nicht, aber eben auch nicht weniger.

Fazit

CVE-2026-85978 ist für betroffene Akana-Installationen hochkritisch. Der Angriff kommt ohne Authentifizierung aus, die Wirkung kann bis zur Codeausführung reichen. In produktiven Umgebungen zählt jetzt vor allem Geschwindigkeit bei Abschottung und Prüfung.

Für die meisten Leser ohne Akana-Betrieb ist die Meldung eher ein Thema zum Einordnen als zum sofortigen Handeln. Wer die Plattform einsetzt, sollte den Fall dagegen heute noch auf die Agenda setzen.

Quellenangabe

Quelle: NVD: CVE-2026-85978