Unter der Bezeichnung „City-Forum Angriffe“ wird eine Kampagne beschrieben, die sowohl Salesforce als auch ServiceNow ins Visier nimmt. Laut Recherchen arbeitet der Angreifer mit einem maßgeschneiderten Multi-Platform-Toolset, statt auf bekannte Einzelwerkzeuge zu setzen. Besonders auffällig: Im Fokus stehen Gästezugriffe, also Konstellationen, bei denen unauthentifizierte Nutzer bereits bestimmte Inhalte lesen können.
Die Betroffenheit wird nicht auf einen direkten Plattformbruch zurückgeführt. Stattdessen wirkt es so, als würden Schwächen oder Freigaben ausgenutzt, die Betreiber selbst für öffentliche Bereiche eingerichtet haben. Damit ist die Angriffsfläche für viele Organisationen potenziell größer als bei klassischen Exploit-Szenarien.
Was steckt hinter den City-Forum Angriffe?
Die Kampagne wurde von Forschern auf eine Kampagne mit innovativem Charakter zurückgeführt, die gezielt auf mehrere Unternehmensbereiche zielt. Als wahrscheinliche Zielgruppen werden unter anderem Telekommunikationsunternehmen, Banken und Finanzdienstleister, Unternehmenssoftware-Anbieter sowie öffentliche Portale genannt.
Im Kern handelt es sich um eine automatisierte Toolkette, die Zugriffe auf unterschiedliche Oberflächen und Implementierungen in Salesforce sowie auf eine spezielle Suchfunktion in ServiceNow kombiniert. Damit überschreitet die Kampagne typische Grenzen: Sie bleibt nicht bei einem einzigen Produktbereich, sondern orchestriert mehrere Angriffspfade aus einer Hand.
Salesforce im Fokus: Aura und LWR gemeinsam angreifen
Bei Salesforce treffen City-Forum Angriffe sowohl auf Aura als auch auf die neueren LWR-Implementierungen (Lightning Web Runtime). Dabei handelt es sich nicht um getrennte Angriffe mit verschiedenen Werkzeugen, sondern um Aktivitäten, die in einem gemeinsamen Ablauf integriert sind.
Besonders relevant ist, dass es sich nach den Recherchen um die erste beobachtete Ausnutzung in der realen Welt einer bestimmten „Guest“-Oberfläche handelt, die über die UI-API Guest zugänglich ist. Der Angriff nutzt dabei eine grundlegende Tatsache: In vielen Salesforce-Experience-Clouds existiert pro Umgebung ein eigener Guest User, der ohne Login arbeiten kann.
Warum Guest User so kritisch ist
Die Forscher betonen, dass sich Guest-Profile in der Praxis nicht so einfach „abschalten“ lassen. Selbst wenn man Login-Anforderungen erzwingt, bleibt die Rolle samt Berechtigungen, Sharing-Regeln und möglichen Code-Ausführungen im Kontext des Gastes bestehen.
Das bedeutet: Wenn ein Gastprofil Datensätze lesen kann, dann können diese Informationen grundsätzlich auch über das Internet verfügbar sein – und zwar für jeden, der keine Authentifizierung durchführen muss.
ServiceNow: Suche als Einstieg, nicht als „bekanntes“ Leck
Auch in ServiceNow setzen die City-Forum Angriffe an einer Stelle an, die in den Beschreibungen als relativ wenig dokumentiert gilt: einem Service Portal Such-Endpunkt, der kaum öffentlich bekannte Referenzen oder etablierte Open-Source-Tools besitzt.
Die Angreiferseite scheint diese Suchfunktion zu verwenden, um zu erkennen, wo relevante Inhalte vorhanden sind. Auffällig ist dabei die Interpretation von Ergebnismerkmalen: Insbesondere wird eine „Output length“-Spalte als Indikator beschrieben. Zeilen mit deutlich mehr Inhalt als der erwartete leere Baseline-Wert sollen auf Treffer hindeuten.
Danach kann der Angreifer gezielt aus den wahrscheinlichsten Ergebnissen auslesen. Genau diese Kombination aus Erkennung und gezieltem Abruf erhöht den praktischen Nutzen des Vorgehens.
Ein Toolset, ein System: Orchestrierung über Plattformen
Ein wesentliches Detail aus der Auswertung: Die Forschenden gehen davon aus, dass die Kampagne über ein einzelnes System gesteuert wird. Ein Zitat aus den Berichten beschreibt sinngemäß, dass eine einzelne Go-basierte Komponente sowohl Salesforce über Aura und LWR als auch ServiceNow von derselben Quelle aus anspricht.
Das wirkt wie ein Hinweis darauf, dass es sich um eine neu entwickelte oder zumindest stark angepasste Toolkette handelt – nicht um ein „Standardpaket“ wie es bei einzelnen bekannten Prüf- oder Enumerationswerkzeugen der Fall wäre.
Zusätzlich wird genannt, dass dieselbe IP-Adresse über längere Zeit ohne Rotation aktiv war. In den Recherchen wird dazu eine konkrete IP angegeben, die zeitlich über Monate hinweg für Scans genutzt wurde und in Richtung einer Domainzuordnung führt.
Was das für Erkennung bedeutet
Ein einzelnes Zielsystem kann für Verteidiger ambivalent sein. Einerseits reduziert es die Varianten, was das Blockieren erleichtern kann, sobald man die Infrastruktur kennt. Andererseits sinkt die „Beweglichkeit“ im Sinne des Angreifer-Footprints in der Umgebung, was die Anomalieerkennung erschweren kann, wenn viele Systeme auf dynamische Muster achten.
Authenticated vs. unauthenticated: Gastzugriff reicht oft
Die Kampagne zielt laut den Recherchen vor allem auf den unauthentifizierten Gastzugriff ab. In Salesforce ist eine Eskalation zu einem authentifizierten Gast grundsätzlich möglich, falls Selbstregistrierung aktiviert ist. Für ServiceNow wird eine vergleichbare Möglichkeit in den Berichten nicht beschrieben.
Authentifizierung ist nicht zwingend notwendig. Dennoch könnte ein authentifizierter Gast mehr Sichtbarkeit oder weitergehende Datenzugriffe ermöglichen – vor allem dann, wenn Berechtigungen im Gastkontext in vielen Organisationen fehlerhaft oder zu großzügig gesetzt sind.
Die Forschenden halten fest, dass bisher nur Aktivitäten des Gastusers beobachtet wurden. Sie schließen aber eine spätere oder andere Ausprägung nicht vollständig aus.
Vergleich mit früheren Salesforce-Aura-Angriffen
Zur Einordnung vergleichen die Analysten „City-Forum Angriffe“ mit früher offengelegten Kampagnen, insbesondere einer Aura-spezifischen Kampagne, die im März 2026 beschrieben wurde. Dabei wird betont, dass diese frühere Kampagne nur Aura in Salesforce betraf und nicht ServiceNow als Ziel genannt wurde.
Außerdem wird beschrieben, dass dort ein modifiziertes Vorgehen basierend auf einem existierenden AuraInspector-ähnlichen Tool genutzt wurde. Demgegenüber verwenden die Forschenden für „City-Forum“ ein neues, benutzerdefiniertes Multi-Platform-Toolset.
Gleichzeitig machen die Autoren klar, dass sie keine eindeutige Zuordnung vornehmen können. Sie schließen nicht aus, dass unterschiedliche Kampagnen eventuell von denselben Akteuren stammen könnten, wollen jedoch niemanden vorschnell „ein- oder ausschließen“.
Keine Hinweise auf Plattform-Bruch, aber hohe Aktivität
Ein entscheidender Punkt: In den vorliegenden Informationen gibt es keinen Hinweis darauf, dass die Plattformen selbst kompromittiert wurden. Stattdessen lautet die Kernaussage, dass jeder abgerufene Datenbyte bereits von Website-Betreibern so bereitgestellt wurde, dass anonyme Nutzer darauf zugreifen können.
Gleichzeitig war die Aktivität bemerkenswert. Für Salesforce wird beschrieben, dass ein stark frequentierter Zielbereich während des Kampagnenzeitfensters sehr viele Ereignisse generierte. Laut den Forschenden handelt es sich dabei im Wesentlichen um Enumeration des Guest- und Aura-Kontexts. Zusätzlich wird erwähnt, dass Daten aus LWR-Seiten über GraphQL abgefragt wurden.
In ServiceNow ist das Vorgehen als weniger noisy dargestellt: nicht im Sinne geringer Datenmenge, sondern im Sinne einer Nutzung von Protokollen und Schnittstellen, die aus Sicht des Systems „normal“ wirken. Gerade diese Legitimität der Requests kann die Erkennung erschweren.
Worauf Betreiber jetzt achten sollten
Für Organisationen, die Salesforce und ServiceNow betreiben, ist der wichtigste Ansatz weniger „Patching nach Exploit“, sondern Härtung der öffentlich zugänglichen Gastbereiche. Die Forschenden nennen in diesem Zusammenhang als erste Maßnahme möglichst schnell die Deaktivierung von Selbstregistrierung, um zu verhindern, dass ein unauthentifizierter Gast zu einem authentifizierten Gast aufsteigen kann.
Darüber hinaus ist es sinnvoll, die Berechtigungen und Freigaben in Experience-Cloud- und Service-Portal-Gastkontexten zu prüfen. Entscheidend ist dabei die Frage: Welche Daten werden Gästen wirklich angeboten? Denn genau dort setzt die Kampagne an.
Auch wenn die vorliegenden Berichte detaillierte Indikatoren (IOCs) und konkrete Remediation-Schritte enthalten, gilt als praktische Faustregel: Wenn anonyme Nutzer Inhalte auslesen können, kann ein Angreifer genau diese Wege automatisieren.
Fazit
City-Forum Angriffe zeigen, wie aus scheinbar „harmlos“ wirkenden Guest-Zugriffen in Salesforce und ServiceNow ein leistungsfähiger Datenabruf entstehen kann. Die Kampagne nutzt ein benutzerdefiniertes Multi-Platform-Toolset, greift sowohl Aura als auch LWR in Salesforce an und koppelt das mit einer gezielten Suchausnutzung in ServiceNow.
Die gute Nachricht: Es gibt keine Hinweise auf einen Plattformbruch. Die unbequeme Wahrheit: Entscheidend ist, was Betreiber selbst für anonyme Nutzer zugänglich machen. Wer Gastberechtigungen reduziert und Selbstregistrierung deaktiviert, verringert die Angriffsfläche deutlich – und erschwert genau dieses Art von automatisierter Auswertung.
