CVE-2026-63227: Kritische RCE-Lücke in Koollab LMS (CVSS 9.9)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 29. Juli 2026 hat die Cyber Security Agency of Singapore (CSA) eine kritische Schwachstelle im Lernmanagementsystem (LMS) Koollab des Herstellers Three Learning offengelegt. Die unter der Kennung CVE-2026-63227 geführte Sicherheitslücke wird laut CSA-Advisory AL-2026-094 mit einem CVSS-Score von 9.9 (Kritisch) bewertet und ermöglicht Angreifern die vollständige Übernahme des betroffenen Servers durch Remote Code Execution (RCE).
Betroffen ist die Version 5.3.2 der Software. Ein Sicherheitsupdate auf Version 5.4.0, das die Lücke schließt, wurde vom Hersteller bereitgestellt.
Die Ursache von CVE-2026-63227 liegt in einer unzureichenden Validierung von hochgeladenen SCORM-Paketen. SCORM (Sharable Content Object Reference Model) ist ein Standard für E-Learning-Inhalte, der oft in Form von ZIP-Archiven bereitgestellt wird. Die verwundbare Funktion erlaubt es einem authentifizierten Benutzer mit der Rolle eines Moduldesigners, ein manipuliertes SCORM-Paket hochzuladen, das eine PHP-Webshell enthält.
Da die Anwendung die Inhalte des Archivs nicht prüft, wird die Webshell in einem öffentlich zugänglichen Verzeichnis auf dem Server entpackt. Anschließend kann der Angreifer die Webshell direkt über eine URL aufrufen und beliebige Befehle auf dem Betriebssystem des Servers ausführen.
Der CVSS-Vektor lautet laut CSA CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H und bestätigt die hohe Kritikalität. Ein entscheidendes Detail ist jedoch die Komponente Privileges Required: Low (PR:L). Dies bedeutet, dass ein Angreifer bereits über einen gültigen, niedrig privilegierten Account verfügen muss, um die Schwachstelle auszunutzen. Das Risiko geht also primär von kompromittierten Benutzerkonten oder böswilligen Insidern aus. Zum Zeitpunkt der Offenlegung war nach CSA-Angaben keine aktive Ausnutzung bekannt.
Geschäftliche Auswirkungen und Risikobewertung
Eine erfolgreiche Ausnutzung der RCE-Schwachstelle hat schwerwiegende Folgen. Angreifer erlangen die vollständige Kontrolle über den LMS-Server und können:
Vertrauliche Daten exfiltrieren: Personenbezogene Daten von Mitarbeitern oder Kursteilnehmern, interne Kursmaterialien und andere sensible Informationen können gestohlen werden.
Systeme manipulieren: Daten können verändert oder gelöscht, Ransomware kann ausgeführt oder der Server für weitere Angriffe missbraucht werden.
In das interne Netzwerk eindringen: Der kompromittierte Server kann als Brückenkopf für Angriffe auf weitere Systeme im Unternehmensnetzwerk dienen.
Unternehmen, die Koollab LMS einsetzen, sind einem hohen Risiko ausgesetzt, insbesondere wenn die Verwaltung von Benutzerkonten für Kursdesigner nicht streng kontrolliert wird.
Für Organisationen mit Sitz in der EU oder im DACH-Raum gilt: Sofern durch eine erfolgreiche Ausnutzung personenbezogene Daten von Lernenden oder Mitarbeitenden betroffen sind, besteht gemäß Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden. Unternehmen in NIS-2-regulierten Sektoren — etwa Bildungseinrichtungen kritischer Bedeutung oder Anbieter digitaler Dienste — sollten die Schwachstelle zudem im Rahmen ihrer Risikobeurteilung und ihres Incident-Management-Prozesses berücksichtigen.
Bereits im April 2026 hatte die CSA Singapore eine gespeicherte XSS-Schwachstelle in derselben Plattform veröffentlicht (CVE-2026-3007, AL-2026-042). Das wiederholte Auftreten schwerwiegender Sicherheitsmängel im selben Produkt innerhalb weniger Monate unterstreicht die Bedeutung eines kontinuierlichen Vendor Risk Managements gegenüber Software-Drittanbietern.
Empfohlene Maßnahmen
Organisationen, die Koollab LMS Version 5.3.2 verwenden, sollten umgehend handeln. Vollständige technische Details und Handlungsempfehlungen sind in der CSA-Advisory AL-2026-094 verfügbar.
Identifikation und Patching (Unmittelbar): Identifizieren Sie alle Instanzen von Koollab LMS in Ihrer Infrastruktur. Betroffene Systeme müssen priorisiert und unverzüglich auf die sichere Version 5.4.0 aktualisiert werden.
Prüfung auf Kompromittierung (Kurzfristig): Untersuchen Sie die Upload-Verzeichnisse für SCORM-Inhalte auf verdächtige Dateien, insbesondere auf PHP-Skripte oder andere nicht erwartete Dateitypen. Solche Funde deuten auf eine bereits erfolgte Kompromittierung hin.
Risikomanagement (Strategisch): Etablieren Sie Prozesse für ein kontinuierliches Schwachstellen- und Lieferantenrisikomanagement, um Risiken durch Software von Drittanbietern systematisch zu überwachen und zu bewerten.
Wie LocateRisk die Risikominimierung unterstützt
Schwachstellen in zugekaufter Software sind ein zentrales Element des Drittanbieter- und Lieferantenrisikos (Third-Party Risk / Vendor Risk Management). Die LocateRisk-Plattform unterstützt Unternehmen dabei, diese Risiken zu managen.
External Attack Surface Management (EASM): LocateRisk identifiziert alle extern erreichbaren Systeme und Anwendungen, die unter den Domains eines Unternehmens betrieben werden. Dazu gehören auch Instanzen von Koollab LMS, die möglicherweise als Schatten-IT ohne Wissen der IT-Abteilung existieren. Diese Sichtbarkeit ist die Grundvoraussetzung, um betroffene Systeme schnell zu finden und zu patchen.
Vendor Risk Management (VRM): Die Plattform bewertet kontinuierlich die Sicherheit von Drittanbietern und deren Produkten. Durch die Überwachung der digitalen Lieferkette können Risiken, die von Software wie Koollab LMS ausgehen, frühzeitig erkannt und in die Risikobewertung des Unternehmens einbezogen werden. Der Fall Koollab LMS zeigt exemplarisch, wie ein Anbieter mit wiederholten Schwachstellen das Gesamtrisiko einer Organisation erhöhen kann — ein Muster, das LocateRisk im Rahmen des kontinuierlichen Vendor-Monitorings sichtbar macht.
CVE-2026-63227 ist eine Schwachstelle in Koollab LMS (Version 5.3.2), die es einem authentifizierten Benutzer mit der Rolle eines Moduldesigners ermöglicht, ein manipuliertes SCORM-Paket hochzuladen, das eine PHP-Webshell in einem öffentlich zugänglichen Verzeichnis platziert. Über diese Webshell kann der Angreifer beliebige Befehle auf dem Server ausführen. Der CVSS-Score von 9.9 (Kritisch) spiegelt das extreme Schadenspotenzial einer erfolgreichen Ausnutzung wider.
Betroffen ist ausschließlich Koollab LMS Version 5.3.2. Three Learning hat ein Sicherheitsupdate auf Version 5.4.0 bereitgestellt, das die Schwachstelle behebt. Administratoren sollten das Update umgehend einspielen und anschließend die SCORM-Upload-Verzeichnisse auf bereits vorhandene PHP-Skripte prüfen.
Zum Zeitpunkt der Offenlegung am 29. Juli 2026 war nach Angaben der CSA Singapore keine aktive Ausnutzung bekannt. Angesichts des hohen CVSS-Scores und der öffentlichen Verfügbarkeit der Schwachstelleninformationen ist eine zeitnahe Aktualisierung auf Version 5.4.0 dennoch dringend empfohlen.
Stand: 29.07.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français