Kurzfassung

In FreeScout wurde mit CVE-2026-53595 eine kritische Schwachstelle entdeckt, die unter bestimmten Bedingungen eine vollständige Übernahme eines Benutzerkontos ermöglicht. Besonders problematisch: Für den Angriff ist keine vorherige Anmeldung erforderlich. Betroffen sind Installationen vor Version 1.8.224.

Für Unternehmen im DACH-Raum ist das Risiko hoch, wenn FreeScout als Support- oder Helpdesk-Plattform im produktiven Einsatz steht. Ein erfolgreicher Angriff kann den Zugriff auf Kundendaten, Supportvorgänge und interne Kommunikationskanäle eröffnen. Für Privatpersonen ist das Risiko in der Regel geringer, da es sich primär um eine Unternehmenslösung handelt.

Die Schwachstelle sollte kurzfristig priorisiert und durch ein Update auf die korrigierte Version behoben werden.

Was ist passiert?

FreeScout ist eine Helpdesk- und Shared-Inbox-Lösung auf Basis von PHP und Laravel. In Versionen vor 1.8.224 existierte eine kritische Sicherheitslücke im öffentlichen Endpunkt zur Benutzer-Einrichtung. Nach den vorliegenden Informationen konnte ein Angreifer über diesen Weg ein Zielkonto manipulieren und anschließend mit den neu gesetzten Zugangsdaten auf das Konto zugreifen.

Das Problem liegt darin, dass die Auswahl des Zielkontos offenbar allein über einen Einladungs-Hash erfolgte. Zusätzlich wurden Prüfmechanismen für die Gültigkeit des Einladungszeitpunkts so umgangen, dass auch ungültige Eingaben akzeptiert werden konnten. Dadurch war keine Authentifizierung, kein bestehender Sitzungsstatus und keine vorherige Berechtigung nötig.

Die Folge ist besonders gravierend: Ein anonymer Angreifer konnte sich unter bestimmten Voraussetzungen als bereits aktivierter Benutzer anmelden. Laut Beschreibung kann dies auch ein Support-Mitarbeiterkonto oder, falls per Einladung angelegt, ein Administratorkonto betreffen.

Technische Details

Die Schwachstelle betrifft den öffentlichen Endpoint POST /user-setup/{hash}/{invite_sent_at} beziehungsweise die zugehörige Funktion zur Speicherung der Benutzer-Einrichtung. Das Zielkonto wurde anhand des Einladungs-Hashes bestimmt. Nach Aktivierung eines Kontos setzt FreeScout den gespeicherten Einladungs-Hash auf einen leeren Wert.

Auf MySQL- und MariaDB-Installationen kann ein einzelnes URL-codiertes Leerzeichen in der Prüfung dazu führen, dass ein leerer String als Treffer interpretiert wird. Dadurch kann offenbar das zuerst gefundene aktivierte Konto ausgewählt werden. Der Fehler wird durch eine unzureichende Behandlung des Zeitstempels verstärkt: Wenn die Entschlüsselung des übergebenen Wertes fehlschlägt, wird der Rohwert weiterverwendet. Ein einfacher numerischer Wert kann dadurch die Ablaufprüfung umgehen.

In Summe entsteht daraus eine unauthentifizierte Kontoübernahme. Der Angreifer kann E-Mail-Adresse und Passwort des betroffenen Kontos ändern und sich anschließend als dieses Konto anmelden. Laut Quelle ist Version 1.8.224 die korrigierte Fassung.

Wer ist betroffen?

Betroffen sind Organisationen, die FreeScout in Versionen vor 1.8.224 einsetzen. Besonders relevant ist das für IT-Support, Kundenservice, Managed Service Provider und interne Helpdesk-Teams, die FreeScout als zentrale Kommunikationsplattform nutzen.

Für Unternehmen im DACH-Raum ist das Risiko vor allem dann hoch, wenn FreeScout öffentlich erreichbar ist oder direkt mit Kundenvorgängen, Tickets und personenbezogenen Daten arbeitet. Ein kompromittiertes Support-Konto kann zu Datenabfluss, unautorisierten Änderungen an Tickets und möglicher Ausweitung auf weitere Systeme führen.

Privatpersonen sind nur indirekt betroffen, etwa wenn sie mit einem Unternehmen kommunizieren, das FreeScout nutzt. In diesem Fall können ihre Supportanfragen, Kontaktdaten oder Anhänge betroffen sein. Ein unmittelbares Risiko für reine Consumer-Geräte ist nach der vorliegenden Information nicht ersichtlich.

Empfohlene Maßnahmen

Die wichtigste Maßnahme ist die zügige Aktualisierung auf FreeScout Version 1.8.224 oder eine neuere, sofern verfügbar. Da es sich um eine kritische Schwachstelle mit möglicher Kontoübernahme handelt, sollte das Update priorisiert behandelt werden.

Bis zur Installation des Patches sollten Administratoren den öffentlichen Zugriff auf die betroffenen Einrichtungsendpunkte prüfen und, wenn möglich, einschränken. Zusätzlich ist eine Überprüfung aktiver Konten sinnvoll, insbesondere von Support- und Administratorkonten, um verdächtige Änderungen an E-Mail-Adressen, Passwörtern oder Login-Aktivitäten zu erkennen.

Unternehmen sollten außerdem Protokolle auf ungewöhnliche POST-Anfragen an den Benutzer-Setup-Endpunkt analysieren und betroffene Konten vorsorglich zurücksetzen. Wo möglich, empfiehlt sich eine zusätzliche Härtung durch Netzwerkzugriffskontrollen, restriktive Exponierung nach außen und ein enges Monitoring von Admin-Aktivitäten.

Falls bereits ein Verdacht auf Missbrauch besteht, sollte der Vorfall wie ein möglicher Account-Takeover behandelt werden: Zugangsdaten zurücksetzen, Sitzungen beenden, betroffene Tickets prüfen und die Incident-Response-Prozesse aktivieren.

Einschätzung von CyberSecurity-News.de

Aus Sicht von CyberSecurity-News.de ist CVE-2026-53595 besonders relevant, weil die Schwachstelle direkt auf einen Kernbereich von Helpdesk-Systemen zielt: Identität und Zugriff. Eine unauthentifizierte Kontoübernahme ist in der Praxis deutlich kritischer als ein bloßer Denial-of-Service-Effekt, da sie den Weg zu Kundendaten, Supportkommunikation und möglicherweise weiteren internen Ressourcen öffnet.

Für Unternehmen im DACH-Raum ist die Lage vor allem deshalb ernst, weil Ticket- und Supportsysteme häufig personenbezogene Daten, Vertragsinformationen und sicherheitsrelevante Kommunikation enthalten. Wird ein Support-Konto kompromittiert, kann das nicht nur Datenschutz- und Compliance-Folgen auslösen, sondern auch operative Schäden verursachen.

Die technische Ursache zeigt zudem, dass scheinbar kleine Unterschiede in Datenbankverhalten und Eingabevalidierung große Auswirkungen haben können. In der Praxis unterstreicht der Fall, wie wichtig sichere Standardannahmen, konsistente Validierung und robuste Authentifizierungslogik sind.

Unsere Relevanzbewertung: hoch bis kritisch für produktive FreeScout-Installationen, insbesondere bei externer Erreichbarkeit oder administrativen Berechtigungen über das System.

Fazit

CVE-2026-53595 ist eine kritische FreeScout-Schwachstelle mit erheblichem Missbrauchspotenzial. Angreifer können ohne Anmeldung unter bestimmten Bedingungen ein bestehendes Konto übernehmen und damit Zugriff auf sensible Support- und Kundendaten erlangen.

Unternehmen sollten das Update auf Version 1.8.224 umgehend einplanen und parallel prüfen, ob bereits verdächtige Aktivitäten vorliegen. Für Organisationen, die FreeScout produktiv einsetzen, ist dies ein Sicherheitsvorfall mit hoher Priorität.

Quellenangabe

Quelle: NVD / NIST – CVE-2026-53595