Thales SConnect: Unauthentifizierte Remote Code Execution über Native Host

Zusammenfassung

Thales SConnect, eine Konnektivitätskomponente für den Nachrichtenaustausch zwischen Webanwendungen und einem Native Host, enthält eine kritische Schwachstelle in der Prüfung kryptografischer Signaturen und der Speicherverwaltung. Ein Angreifer kann eine manipulierte Webseite erstellen, die präparierte Eingaben an den Native Host sendet und Code auf dem Computer des Opfers ausführt. Voraussetzung ist, dass das Opfer die Webseite des Angreifers in einem Browser mit installierter SConnect-Erweiterung besucht.

Betroffen

• Thales SConnect-Versionen vor 2.16.1.0 (wahrscheinlicher Schwellenwert; gegen die Thales-Advisory zu bestätigen)
• Einige Sekundärquellen beschreiben den Bereich als Builds, die vor August 2026 veröffentlicht wurden
• Standardkonfiguration: laut CVE-Eintrag nicht betroffen

Behoben in

• Thales SConnect 2.16.1.0 oder neuer (gegen die Thales-Advisory zu bestätigen)
• Die Builds im Chrome Web Store und im Apple App Store wurden im August 2026 aktualisiert; die Microsoft-Edge-Version wurde im September 2026 entfernt

Umgehung

• Es ist kein vom Hersteller getesteter Workaround bekannt.
• Allgemeine Zwischenmassnahme: Zugriff auf die Native-Host-Komponente einschränken und die Exposition gegenüber nicht vertrauenswürdigen Webinhalten begrenzen.
• Als Ersatz wird die Migration auf SWIFT Web Connect genannt; SConnect gilt laut Berichten als End of Life.

Ausnutzung

• Zum letzten Prüfzeitpunkt ist keine Ausnutzung in freier Wildbahn bestätigt.
• Laut einer Sekundärquelle ist die Schwachstelle nicht im CISA-KEV-Katalog gelistet (nicht direkt geprüft).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Forschende berichten über einen öffentlichen Proof of Concept; der PoC-Code wurde nicht verifiziert.

Unsere Empfehlung

• Inventar der Browser und Erweiterungen erstellen, um zu prüfen, ob SConnect irgendwo installiert ist.
• Falls installiert, die Version prüfen und auf 2.16.1.0 oder neuer aktualisieren oder die Software entfernen.
• Die Migration auf den vom Hersteller empfohlenen Ersatz planen, da SConnect als End of Life gilt.
• Proxy-Logs auf Verbindungen des Native Hosts zu unerwarteten Domains prüfen sowie EDR auf DLL-Ladevorgänge aus temporären Benutzer- oder Anwendungsdatenpfaden.
• Version und Fix-Angaben gegen die Thales-Advisory und den NVD-Eintrag prüfen, der zum letzten Stand noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Thales Product Security Incident Response www.thalesgroup.com
• Rescana: CVE-2026-18397 critical RCE in Thales SConnect www.rescana.com
• Dark Reading: SWIFT banking and government middleware RCE www.darkreading.com
• OffSeq Radar: CVE-2026-18397 radar.offseq.com
• Tech Jacks: SConnect RCE and hardware MFA bypass techjacksolutions.com
• Aviatrix: SWIFT banking middleware RCE CVE-2026-18397 aviatrix.ai
• VulDB entry 412835 vuldb.com
• Pulse Adyog: researchers show attack on SConnect pulse.adyog.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:15.