Hackers exploited a critical zero-day vulnerability in a server running the KnowledgeDeliver learning management system (LMS) to deploy the Godzilla web shell.

CVE-2026-5426 enabled KnowledgeDeliver LMS attacks before February 24, 2026, leading to Cobalt Strike infections.

Threat actors abused a critical zero-day bug in a server that ran a KnowledgeDeliver LMS to install the Godzilla. The bug is a deserialization problem tracked as CVE-2026-5426 and can be abused without verification. It originates from the use of “shared hardcoded machine key in the web portal configuration,” said Bleeping Computer, throughout all KnowledgeDeliver consumer deployments.  Deserialization of ViewState Hackers found the stolen machine key and used it in ViewState deserialization campaigns to sign infected ViewState payloads and launch remote code execution (RCE) at the OS level.  In 2025, Mandiant responded to a campaign on a KnowledgeDeliver server and said that in the beginning, the bug was abused as a zero-day to deploy a compromised script into the web platform. Attack tactic The compromise was also possible as threat actors used “identical pre-shared ASP.NET machine keys across multiple customer deployments,” the experts said.  According to Mandiant, “KnowledgeDeliver installations deployed before Feb. 24, 2026 relied on a standardized web.config file provided by the vendor. This configuration file contained hardcoded machineKey values used by the ASP.NET framework to encrypt and sign data, including ViewState payloads.” Experts said that the code on the platform lured users to download a malicious installer, which compromised the machine with a Cobalt Strike beacon by deploying a backdoor.  The encrypted payload used a key “that used the name of the compromised organization, which indicated that the threat actor prepared this payload specifically for the targeted organization,” Mandiant report said. Similar attacks in 2025 In August last year, experts from ASEC also disclosed that Godzilla was planted in ASP.NET environments in ViewState deserialization attacks against firms in the finance industry. Threat actors could modify a JavaScript file with code that asked users to run a ‘security authentication plugin’ and install a malicious script from a domain that hackers used. Hackers targeting unsecured machines In recent years, threat actors are increasingly exploiting unsafe  machine keys in Viewstate deserialization attacks against web platforms for a few products. Threat actors utilized a hardcoded machine key in March of last year to create a malicious payload that gave them access to Gladinet CenterStack's secure file-sharing servers. After obtaining the machine key to generate signed malicious ViewState payloads, hackers gained access to 85 Microsoft SharePoint systems in July 2025. Additionally, state-sponsored actors utilized ViewState deserialization assaults to install WeepSteel, a spying tool that revealed the ASP.NET machine key on Sitecore servers.

Pesquisadores da Mandiant, empresa de cibersegurança pertencente ao Google, identificaram no fim de 2025 uma vulnerabilidade crítica no KnowledgeDeliver. Trata-se de um sistema de gestão de aprendizagem (LMS) desenvolvido pela Digital Knowledge e amplamente utilizado por empresas e instituições de ensino no Japão. A falha, registrada como CVE-2026-5426, permitiu que agentes maliciosos não identificados comprometessem servidores da plataforma. Eles ainda puderam instalar backdoors e infectar os computadores dos próprios usuários da ferramenta. Todo software que roda na web precisa de chaves secretas para proteger os dados que circulam entre o servidor e o navegador do usuário. Pense nessas chaves como senhas internas que garantem que ninguém de fora consegue forjar ou manipular essas informações. O KnowledgeDeliver, contudo, vinha com essas chaves já definidas pelo fabricante, e eram as mesmas em todas as instalações do sistema. A infecção chegou às máquinas dos usuários por meio de um falso alerta de segurança exibido na plataforma comprometida, que induzia o download de um instalador malicioso com o backdoor Cobalt Strike. Isso significa que qualquer organização que instalou o KnowledgeDeliver sem alterar esse arquivo de configuração estava usando, essencialmente, a mesma "senha" que todas as outras. Um atacante que descobrisse essas chaves poderia agir contra qualquer servidor vulnerável do mundo. ## O que o atacante consegue fazer com a chave O ASP.NET, tecnologia usada pelo KnowledgeDeliver, usa as chaves para assinar e verificar pacotes de dados chamados ViewState. O ViewState é o mecanismo que mantém o estado de uma página entre as interações do usuário com o servidor. Com a chave em mãos, o atacante consegue criar um ViewState falso e malicioso. Ao enviar esse pacote adulterado para o servidor, o sistema o processa como se fosse legítimo. Isso abre caminho para execução remota de código, ou seja, o invasor passa a rodar comandos diretamente no servidor sem precisar de credenciais. A exploração da CVE-2026-5426 dispensava qualquer credencial, transformando servidores vulneráveis em alvos de acesso total por meio de pacotes de dados forjados e enviados via HTTP. ## O que os atacantes fizeram após o acesso Com o controle estabelecido, os atacantes instalaram um web shell chamado BLUEBEAM, também conhecido como Godzilla. Um web shell é uma ferramenta que permite ao invasor continuar controlando o servidor remotamente, mesmo depois que a janela de acesso inicial é fechada. O BLUEBEAM opera inteiramente na memória do processo do servidor, o que dificulta a detecção por ferramentas tradicionais de segurança. A partir daí, os atacantes expandiram o controle sobre os arquivos do servidor. Eles alteraram as permissões da pasta da aplicação web para que qualquer pessoa pudesse modificar seu conteúdo. Em seguida, modificaram um arquivo JavaScript legítimo da plataforma. Esse arquivo adulterado passou a exibir um alerta falso de segurança para os usuários que acessavam o site. A mensagem pedia que instalassem um "plugin de autenticação de segurança". Ao mesmo tempo, o script carregava silenciosamente um código malicioso hospedado em um domínio controlado pelos atacantes. A Mandiant recomenda rotação imediata das machine keys em todas as instâncias do KnowledgeDeliver e alerta que instalações anteriores a 24 de fevereiro de 2026 permanecem potencialmente expostas. O resultado final foi a instalação de um backdoor Cobalt Strike nos computadores das vítimas. O Cobalt Strike é uma ferramenta legítima de testes de segurança que é amplamente abusada por grupos criminosos para manter acesso remoto persistente a sistemas comprometidos. O payload estava criptografado com uma chave que continha o nome da organização visada, o que indica que o ataque foi preparado especificamente para aquela empresa. ## Quem está em risco e o que fazer Todas as instalações do KnowledgeDeliver feitas antes de 24 de fevereiro de 2026 estão potencialmente vulneráveis. A Mandiant recomenda que as organizações afetadas rotem imediatamente as chaves de cada instância, gerando valores únicos e criptograficamente fortes para cada ambiente. Além disso, recomenda-se restringir o acesso ao LMS a faixas de IP conhecidas da organização e investigar logs de eventos em busca de sinais de exploração. Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.

Mandiant reported that attackers exploited CVE-2026-5426 in KnowledgeDeliver LMS servers as a zero-day to deploy the Godzilla web shell and gain remote code execution through ViewState deserialization. The intrusion relied on reused ASP.NET machine keys, led to fake software installation prompts and Cobalt Strike infection, and was tailored to the targeted organization. #CVE-2026-5426 #KnowledgeDeliver #Godzilla #CobaltStrike #Mandiant #ViewState

Mandiant investigated a compromise of KnowledgeDeliver, a Japanese LMS from Digital Knowledge, caused by a shared ASP.NET machine key weakness that enabled unauthenticated RCE and was tracked as CVE-2026-5426. The threat actor deployed the BLUEBEAM web shell, tampered with web files, and lured users into installing a fake plugin that ultimately delivered Cobalt Strike BEACON. #KnowledgeDeliver #DigitalKnowledge #BLUEBEAM #CobaltStrike #CVE-2026-5426

Disclosure of CVE-2026-5426: an ASP.NET ViewState deserialization RCE in Digital Knowledge’s KnowledgeDeliver LMS, caused by identical hardcoded "machineKey values" shipped to every customer. Pre-Feb-24-2026 deployments are exploitable as a zero-day. Mandiant observed BLUEBEAM (Godzilla-class) in-memory web shells, JavaScript tampering for follow-on social engineering, and Cobalt Strike BEACON keyed to the victim’s name — with Application Event ID 1316 (code 4009) as the primary detection signal.

Hackers exploited a critical zero-day vulnerability in a server running the KnowledgeDeliver learning management system (LMS) to deploy the Godzilla web shell.

This vulnerability involves the use of a hard-coded cryptographic key (CWE-321) in the ASP.NET/IIS machineKey configuration within Digital Knowledge KnowledgeDeliver. The hard-coded key undermines the integrity of ViewState validation, allo

CVE-2026-5426 enabled KnowledgeDeliver LMS attacks before February 24, 2026, leading to Cobalt Strike infections.

A newly disclosed zero-day vulnerability in the KnowledgeDeliver Learning Management System (LMS) has been actively exploited in the wild to deploy the BLUEBEAM in-memory web shell.

Hardcoded machineKey values in a configuration file enabled ViewState deserialization attacks leading to remote code execution.

Hackers exploited a critical zero-day vulnerability in a server running the KnowledgeDeliver learning management system (LMS) to deploy the Godzilla web shell. [...]