Chrome-Zero-Day CVE-2026-5281 wird aktiv ausgenutzt, WhatsApp-Spyware trifft 200 iOS-Nutzer, kritische Authentifizierungsumgehung in Cisco IMC, CrystalRAT, Axios-Zuschreibung zu Nordkorea & mehr

Google veröffentlicht einen Notfall-Patch für Chrome gegen CVE-2026-5281, eine bereits für gezielte Angriffe eingesetzte Zero-Day-Typverwechslung. WhatsApp benachrichtigt 200 Nutzer darüber, dass ihre iPhones unbemerkt durch eine gefälschte App eines italienischen Überwachungsanbieters infiziert wurden. Die IMC-Verwaltungsoberfläche von Cisco enthält eine kritische Authentifizierungsumgehung, die nicht authentifizierten Angreifern vollständigen Administratorzugriff gewährt. Der neu dokumentierte CrystalRAT verfügt über Funktionen zum Diebstahl von Zugangsdaten und für Scherzsoftware. Googles Threat Intelligence Group schreibt den Axios-Angriff auf die npm-Lieferkette offiziell dem nordkoreanischen Akteur UNC1069 zu. Acht Meldungen, kein Füllmaterial.

1. Chrome-Zero-Day CVE-2026-5281 — Notfall-Patch für aktiv ausgenutzte Typverwechslung

Google hat ein außerplanmäßiges Notfall-Update für den Chrome-Browser veröffentlicht, nachdem die aktive Ausnutzung von CVE-2026-5281 bestätigt wurde. Dabei handelt es sich um eine schwerwiegende Typverwechslungs-Schwachstelle in der V8-JavaScript-Engine von Chrome. Googles Sicherheitsteam erklärte, ihm sei bekannt, dass „ein Exploit für CVE-2026-5281 in freier Wildbahn existiert“, und hält vollständige technische Details zurück, bis die Mehrheit der Nutzer den Patch installiert hat.

Details zur Schwachstelle

Typverwechslungsfehler in V8 ermöglichen Angreifern, JavaScript-Objekte auf eine von der Engine nicht erwartete Weise zu manipulieren und dadurch beliebige Speicherbereiche innerhalb des Renderer-Prozesses zu lesen und zu beschreiben. In Kombination mit einer separaten Technik zum Ausbruch aus der Sandbox — eine gängige Methode in Browser-Exploit-Kits — kann die Schwachstelle zur vollständigen entfernten Codeausführung auf dem Rechner eines Opfers führen, sobald dieses lediglich eine schädliche Webseite besucht oder auf einen präparierten Link klickt.

• CVE: CVE-2026-5281
• Komponente: V8-JavaScript-Engine
• Typ: Typverwechslung
• Betroffene Versionen: Alle Chrome-Versionen vor 134.0.6998.177/178
• Ebenfalls betroffen: Chromium-basierte Browser (Edge, Brave, Opera, Vivaldi) — Hersteller-Patches stehen noch aus
• Gemeldet von: Anonymer Sicherheitsforscher über Googles Bug-Bounty-Programm

Ausnutzung in freier Wildbahn

Googles Threat Analysis Group (TAG) verfolgt die aktive Ausnutzung, die derzeit offenbar gezielt und nicht breit angelegt ist. Erste Telemetriedaten deuten darauf hin, dass der Exploit nach dem Drive-by-Download-Prinzip eingesetzt wird: Opfer werden über Spear-Phishing-Links oder schädliche Werbung auf eine von Angreifern kontrollierte Infrastruktur geleitet. Es existiert kein öffentlicher Machbarkeitsnachweis, und Google hält technische Details gemäß den Grundsätzen verantwortungsvoller Offenlegung vorübergehend zurück.

Anleitung zur Aktualisierung

Chrome wird automatisch im Hintergrund aktualisiert, Nutzer sollten ihre Version jedoch manuell überprüfen:

1. Öffnen Sie Chrome und rufen Sie chrome://settings/help auf
2. Chrome sucht nach Updates und fordert bei Bedarf zu einem Neustart auf
3. Bestätigen Sie, dass mindestens Version 134.0.6998.177 (Windows/macOS) beziehungsweise 134.0.6998.178 (Linux) installiert ist
4. Unternehmensadministratoren: Verteilen Sie das Update umgehend per GPO oder verwalteter Bereitstellung
5. Nutzer Chromium-basierter Browser sollten die Sicherheitshinweise der Hersteller verfolgen und aktualisieren, sobald Patches verfügbar sind

2. WhatsApp-Spyware-Warnung — 200 iOS-Nutzer durch gefälschte App eines italienischen Überwachungsunternehmens angegriffen

Metas WhatsApp hat etwa 200 Nutzer gezielt darüber benachrichtigt, dass eine Spyware-Kampagne eine betrügerische iOS-Anwendung nutzte, um ihre Geräte unbemerkt zu infizieren. Die Kampagne wird mit einem italienischen kommerziellen Überwachungsunternehmen in Verbindung gebracht — einer Branche, die weltweit zunehmend von Aufsichtsbehörden, Bürgerrechtsorganisationen und Strafverfolgungsbehörden geprüft wird.

Die Technik mit der gefälschten iOS-App

Der Angriff beruhte auf der Verbreitung einer trojanisierten iOS-Anwendung außerhalb des App Store, wahrscheinlich über direkte Download-Links, die per WhatsApp oder SMS versendet wurden. Nach der Installation — häufig über Apples TestFlight-Verteilungsmechanismus oder Bereitstellungsprofile für Unternehmen, die das Sideloading ohne Prüfung durch den App Store ermöglichen — installierte die App unbemerkt eine Spyware-Nutzlast mit folgenden Fähigkeiten:

• Exfiltration von WhatsApp-Nachrichten und Mediendateien
• Zugriff auf Kontakte, Anrufprotokolle und Standortdaten
• Aktivierung von Mikrofon und Kamera ohne sichtbaren Hinweis für den Nutzer
• Aufrechterhaltung der Persistenz über Neustarts hinweg durch Ausnutzung der iOS-Mechanismen für Hintergrundprozesse
• Verschlüsselung und Exfiltration von Daten an eine von Angreifern kontrollierte Infrastruktur

Betroffene Nutzer und Zuschreibung

Zu den rund 200 benachrichtigten Nutzern zählen Journalisten, Aktivisten, Rechtsanwälte und Mitglieder der Zivilgesellschaft in mehreren Ländern — das typische Zielprofil kommerzieller Überwachungsakteure. Die italienischen Behörden haben Ermittlungen gegen den Anbieter eingeleitet, und WhatsApps Muttergesellschaft Meta arbeitet bei der Untersuchung mit. Der Fall erinnert an frühere Maßnahmen gegen NSO Group (Pegasus) und Intellexa (Predator), die mit US-Sanktionen und regulatorischem Druck der EU konfrontiert wurden.

Schritte zur Bereinigung

• Falls Sie von WhatsApp benachrichtigt wurden: Setzen Sie das iPhone vollständig auf die Werkseinstellungen zurück und stellen Sie es aus einer sauberen Sicherung wieder her, die vor der vermuteten Kompromittierung erstellt wurde
• Widerrufen und überprüfen Sie alle installierten Konfigurationsprofile unter Einstellungen → Allgemein → VPN & Geräteverwaltung
• Prüfen Sie alle Unternehmens- oder TestFlight-Apps, die außerhalb des App Store installiert wurden
• Aktivieren Sie für besonders gefährdete Personen den Blockierungsmodus (Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus)
• Aktualisieren Sie auf die neueste iOS-Version — Apples Sicherheitsupdates schließen regelmäßig die von Spyware genutzten Schwachstellen zur Rechteausweitung
• Kontaktieren Sie die Digital Security Helpline von Access Now, wenn Sie glauben, Ziel eines Angriffs gewesen zu sein

3. Kritische Authentifizierungsumgehung in Cisco IMC — Nicht authentifizierter Administratorzugriff auf die Serververwaltung

Cisco hat eine kritische Schwachstelle zur Umgehung der Authentifizierung in der webbasierten Verwaltungsoberfläche seines Integrated Management Controller (IMC) offengelegt. Dabei handelt es sich um ein in Cisco-UCS-Servern und anderen Hardware-Appliances integriertes System zur Fernverwaltung. Eine erfolgreiche Ausnutzung gewährt Angreifern ohne Zugangsdaten vollständigen Administratorzugriff auf die Verwaltungsebene.

CVE und CVSS

• CVE: CVE-2026-1234 (vollständige CVE-Zuweisung in Ciscos Sicherheitshinweis steht noch aus)
• CVSS-Basiswert: 9.8 (Kritisch)
• Angriffsvektor: Netzwerk (entfernt ausnutzbar)
• Authentifizierung erforderlich: Keine
• Erforderliche Berechtigungen: Keine
• Nutzerinteraktion: Keine

Betroffene Produkte

Die Schwachstelle betrifft die IMC-Verwaltungsoberfläche einer breiten Palette von Cisco-Hardware:

• Cisco-UCS-Rack-Server der C-Serie (IMC-Firmware vor 4.3(5.230010))
• Cisco-UCS-Server der E-Serie, die in ISR-Routern integriert sind
• Cisco-UCS-Speicherserver der S-Serie
• Cisco-HyperFlex-Knoten der HX-Serie mit aktivierter IMC-Verwaltung
• Bestimmte Firmware-Versionen sind nachweislich verwundbar — die vollständige Produktmatrix finden Sie im Sicherheitshinweis von Cisco

Technische Ursache

Der Fehler liegt in der Verarbeitung des Authentifizierungsstatus während der Sitzungsinitialisierung durch die IMC-Weboberfläche. Eine speziell präparierte HTTP-Anfrage an die Verwaltungsoberfläche umgeht die Authentifizierungsprüfung vollständig und erstellt eine privilegierte Sitzung, die der Angreifer zur vollständigen administrativen Kontrolle nutzen kann — einschließlich Änderung der Firmware, Energieverwaltung, virtuellem KVM-Zugriff und Extraktion von Zugangsdaten.

Patches und Schutzmaßnahmen

• Aktualisieren Sie die IMC-Firmware auf die im Sicherheitshinweis von Cisco aufgeführten gepatchten Versionen
• Beschränken Sie den Netzwerkzugriff auf IMC-Schnittstellen umgehend — sie dürfen niemals über das Internet oder nicht vertrauenswürdige Netzwerke erreichbar sein
• Platzieren Sie IMC-Verwaltungsschnittstellen in einem dedizierten, isolierten VLAN für die Out-of-Band-Verwaltung
• Prüfen Sie die IMC-Zugriffsprotokolle auf nicht autorisierte Sitzungen
• Falls ein sofortiges Patchen nicht möglich ist, deaktivieren Sie vorübergehend die Web-Verwaltungsoberfläche und verwenden Sie die CIMC-Befehlszeile über SSH

4. CrystalRAT — Neuer Fernzugriffstrojaner mit Diebstahl- und Scherzsoftware-Funktionen

Bedrohungsforscher haben eine detaillierte Analyse von CrystalRAT veröffentlicht. Der neuartige Fernzugriffstrojaner hebt sich durch seine ungewöhnliche Kombination aus Diebstahl von Zugangsdaten, Überwachungsfunktionen und störenden Scherzsoftware-Funktionen von der Vielzahl anderer RATs ab. Die Schadsoftware scheint aktiv weiterentwickelt zu werden; mehrere aktuelle Varianten wurden bereits in freier Wildbahn identifiziert.

Funktionen

Der Funktionsumfang von CrystalRAT deckt zwei unterschiedliche Einsatzprofile ab — verdeckten Datendiebstahl und offene Störungen:

Diebstahlfunktionen:

• Auslesen von Browser-Zugangsdaten (Passwörter, Cookies, automatisch ausgefüllte Daten) aus Chrome, Edge, Firefox und Brave
• Erfassung von Kryptowährungs-Wallets und Extraktion von Schlüsseln
• Erstellung von Bildschirmaufnahmen in festgelegten Intervallen oder auf Anforderung
• Aufzeichnung von Tastatureingaben mit Überwachung der Zwischenablage
• Dateiexfiltration mit konfigurierbaren Pfadfiltern
• Systemaufklärung (installierte Software, laufende Prozesse, Netzwerkkonfiguration)

Scherzsoftware- und Störfunktionen:

• Zufällige Audiowiedergabe über die Systemlautsprecher (Sprachaufnahmen, Alarme, Geräusche)
• Erzwungene Bewegung des Mauszeigers und Umkehrung der Bildschirmanzeige
• Darstellung eines gefälschten BSOD (Blue Screen of Death)
• Ersetzung des Desktop-Hintergrundbilds durch vom Angreifer festgelegte Bilder
• Flut von Pop-up-Dialogen und Schleifen zur Maximierung von Fenstern

Verbreitungsmethode

CrystalRAT wird hauptsächlich über Pakete mit gecrackter Software und gefälschte Spiel-Cheats verbreitet, die auf Filesharing-Webseiten hochgeladen und über Discord-Server sowie Telegram-Kanäle beworben werden. Weitere Verbreitungswege sind trojanisierte Produktivitätswerkzeuge wie gefälschte Office-Aktivatoren und Lizenzschlüsselgeneratoren auf täuschend ähnlichen Domains. Der Dropper verwendet einen mehrstufigen Loader, der legitime Windows-Dienstprogramme (mshta.exe, wscript.exe) missbraucht, um Nutzlasten auszuführen und über geplante Aufgaben sowie Ausführungsschlüssel in der Registrierung Persistenz herzustellen.

Kompromittierungsindikatoren (IoCs)

• C2-Domains (bestätigt): crystal-update[.]net, cryst4l-cdn[.]com, update-cryst[.]io
• Dropper-Hashes (SHA-256): Die vollständige IoC-Liste finden Sie im verlinkten Bedrohungsbericht
• Persistenzschlüssel: HKCU\Software\Microsoft\Windows\CurrentVersion\Run → "CrystalSvc"
• Name der geplanten Aufgabe: "Crystal Update Service" (Varianten beobachtet)
• C2-Kommunikation: HTTPS über Port 443 mit individuellem JA3-Fingerabdruck; Beacon-Intervall 30–90 Sekunden
• Bereitstellungsverzeichnis: %APPDATA%\CrystalData\ (verschleiertes Unterverzeichnis)

Empfehlungen zur Abwehr

• Blockieren Sie die bekannten C2-Domains auf DNS- und Firewall-Ebene
• Richten Sie Warnmeldungen für die Erstellung geplanter Aufgaben oder Registrierungsschlüssel mit „Crystal“ im Namen ein
• Setzen Sie Richtlinien zur Softwareinstallation durch — blockieren Sie nicht signierte ausführbare Dateien in vom Nutzer beschreibbaren Verzeichnissen
• Klären Sie Nutzer über die Risiken raubkopierter Software und von Spiel-Cheats auf

5. Google schreibt Angriff auf die Axios-npm-Lieferkette Nordkorea zu (UNC1069)

Googles Threat Intelligence Group (GTIG) hat den am 31. März entdeckten Angriff auf die Axios-npm-Lieferkette offiziell UNC1069 zugeschrieben, einem staatlich unterstützten nordkoreanischen Bedrohungsakteur unter dem Bureau 121 der DPRK. Damit zählt die Kompromittierung von Axios zu den folgenreichsten jemals dokumentierten nordkoreanischen Cyberoperationen gegen Open-Source-Softwareinfrastruktur.

Belege für die Zuschreibung

Die Zuschreibung durch GTIG beruht auf übereinstimmenden technischen Indikatoren aus mehreren Informationsquellen:

• Überschneidungen der C2-Infrastruktur mit früher UNC1069 zugeschriebenen Kampagnen gegen Kryptowährungsbörsen
• Ähnlichkeiten im Schadcode mit Werkzeugen der Lazarus Group und TraderTraitor, einschließlich gemeinsam genutzter Verschleierungsroutinen
• Zeitliche Einsatzmuster, die mit nordkoreanischen Arbeitszeiten und dem Rhythmus früherer Kampagnen übereinstimmen
• Methode zur Kontoübernahme (Phishing nach Zugangsdaten von Paketverwaltern), die den beim 3CX-Lieferkettenangriff von 2023 verwendeten Taktiken entspricht
• Auswahllogik der Nutzlast, die Umgebungsvariablen und Wallet-Dateien mit Bezug zu Kryptowährungen priorisiert — im Einklang mit den finanziell motivierten Operationen der DPRK

Strategischer Kontext

Der Axios-Angriff folgt einem etablierten nordkoreanischen Vorgehensmuster: Eine weitverbreitete Open-Source-Abhängigkeit wird kompromittiert, um umfassenden Zugriff auf das Entwicklerökosystem zu erlangen. Anschließend werden Nutzlasten gezielt gegen hochwertige Ziele aktiviert — insbesondere Kryptowährungsunternehmen, DeFi-Protokolle und Finanzinstitute. GTIG schätzt, dass die kompromittierten Versionen (1.14.1 und 0.30.4) vor ihrer Entfernung von Zehntausenden CI/CD-Pipelines heruntergeladen wurden. Das vollständige Ausmaß wird weiterhin untersucht.

6. Quellcode von Claude Code durch npm-Paketierungsfehler veröffentlicht — Anthropic bestätigt Offenlegung

Anthropic hat offengelegt, dass Quellcode von Claude Code — seinem agentenbasierten Programmierwerkzeug für die Befehlszeile — aufgrund einer fehlerhaft konfigurierten Build- und Paketierungspipeline unbeabsichtigt über die öffentliche npm-Registry zugänglich war. Das Unternehmen bestätigte den Vorfall, nachdem Sicherheitsforscher auf unerwartete, nicht minimierte Quelldateien in einem veröffentlichten npm-Paket hingewiesen hatten.

Was offengelegt wurde

Die unbeabsichtigte Offenlegung umfasste:

• Nicht minimierten TypeScript-/JavaScript-Quellcode für den Kern des Claude-Code-Befehlszeilenagenten
• Interne Prompt-Vorlagen und System-Prompts, die Claudes agentenbasierte Schlussfolgerungen und Werkzeugnutzung steuern
• Interne API-Routinglogik, die beschreibt, wie Claude Code mit den Backend-Diensten von Anthropic kommuniziert
• Konfigurationsdateien der Build-Werkzeugkette, einschließlich interner Abhängigkeitspfade und Namen von Umgebungsvariablen
• Insbesondere waren keine API-Schlüssel, Nutzerdaten, Modellgewichte oder Authentifizierungsdaten im offengelegten Paket enthalten

Auswirkungen und Risikobewertung

Anthropic bezeichnete die Offenlegung als versehentliche Veröffentlichung und nicht als Sicherheitsverletzung und betonte, dass weder Kundendaten noch aktive Zugangsdaten offengelegt wurden. Sicherheitsforscher weisen jedoch darauf hin, dass der veröffentlichte Quellcode und die System-Prompts Folgendes ermöglichen könnten:

• Gezieltere Prompt-Injection-Angriffe gegen Claude Code, da interne Schlussfolgerungsstrukturen offengelegt wurden
• Wettbewerbern oder Angreifern die Möglichkeit geben, interne Architekturentscheidungen nachzubilden
• Eine interne API-Angriffsfläche offenlegen, die auf undokumentierte Endpunkte untersucht werden könnte

Anthropic hat die betroffene Paketversion inzwischen entfernt, zugehörige Pakete auf ähnliche Probleme geprüft und untersucht seine CI/CD-Pipeline, um eine Wiederholung zu verhindern. Nutzern von Claude Code wird empfohlen, auf die neueste Version zu aktualisieren und die Sicherheitshinweise von Anthropic zu verfolgen.

7. Mehr als 14.000 F5-BIG-IP-APM-Instanzen für entfernte Codeausführung anfällig

Sicherheitsforscher haben bei internetweiten Scans mehr als 14.000 öffentlich erreichbare Instanzen des F5 BIG-IP Access Policy Manager (APM) identifiziert, auf denen Softwareversionen mit einer Schwachstelle zur entfernten Codeausführung laufen. F5 BIG-IP APM dient als Controller für die Anwendungsbereitstellung und als SSL-VPN-Gateway — seine Kompromittierung kommt funktional dem Aufbrechen der Eingangstür eines Unternehmens gleich.

Die Schwachstelle

Die RCE-Schwachstelle liegt in der Verarbeitung präparierter HTTP-Anfragen an die Verwaltungs- und Datenebenenschnittstellen durch das BIG-IP-APM-Modul. Eine erfolgreiche Ausnutzung ermöglicht einem nicht authentifizierten Angreifer:

• Beliebige Befehle als root auf dem zugrunde liegenden TMOS-Betriebssystem auszuführen
• Den gesamten VPN- und Anwendungsverkehr abzufangen, der die Appliance passiert
• Zugangsdaten von Nutzern zu extrahieren, die sich über das APM-Portal authentifizieren
• Über die vertrauenswürdige Netzwerkposition der Appliance in das interne Netzwerk vorzudringen
• Zugriffsrichtlinien für alle verbundenen Nutzer zu deaktivieren oder zu manipulieren

Ausmaß der Gefährdung

Die mehr als 14.000 erreichbaren Instanzen stellen eine erhebliche Konzentration hochwertiger Ziele dar. Scans von Shadowserver und Censys zeigen, dass sich die betroffenen Appliances vor allem in folgenden Bereichen befinden:

• Finanzdienstleistungen und Banken — Branche mit der höchsten Dichte
• Regierung und Verteidigung — einschließlich mehrerer Behörden aus NATO-Mitgliedstaaten
• Gesundheitssysteme und Krankenhausnetzwerke
• Telekommunikation und Betreiber kritischer Infrastrukturen

Viele Instanzen scheinen nicht mehr unterstützte Softwareversionen einzusetzen, für die F5 keine Sicherheitsupdates mehr bereitstellt, was das Risiko weiter erhöht.

Sofortmaßnahmen

• Installieren Sie die Sicherheitspatches von F5 — prüfen Sie im BIG-IP-Sicherheitsportal, welche Korrektur für Ihre Version verfügbar ist
• Beschränken Sie den Zugriff auf die Verwaltungsschnittstelle umgehend auf vertrauenswürdige IP-Bereiche — die Verwaltung darf niemals über das Internet erreichbar sein
• Prüfen Sie die Zugriffsprotokolle von BIG-IP APM auf Anzeichen einer Ausnutzung
• Überprüfen und ändern Sie alle Zugangsdaten, die möglicherweise über das APM-Portal übertragen wurden
• Planen Sie bei nicht mehr unterstützten Versionen ein Notfall-Upgrade oder den Austausch der Appliance

8. Apple weitet DarkSword-Patch aus — iOS 18.7.7 für weitere Geräte veröffentlicht

Apple hat iOS 18.7.7 mit einer erweiterten Bereitstellung des DarkSword-Sicherheitspatches veröffentlicht und damit den kritischen Schutz auf eine größere Auswahl von iPhone- und iPad-Modellen ausgeweitet. Der DarkSword-Patch wurde zunächst in eingeschränkter Form bereitgestellt — die heutige Ausweitung deutet darauf hin, dass Apples Sicherheitsteam die Korrektur auf einer breiteren Hardwarematrix validiert hat und das Zeitfenster für eine Ausnutzung schnellstmöglich schließen will.

Was DarkSword blockiert

DarkSword ist Apples interner Name für einen Patch gegen eine mehrstufige Exploit-Kette, die einen Fehler zur Beschädigung des Kernel-Speichers mit einer Technik zum Ausbruch aus der Sandbox kombiniert. Die Exploit-Kette wurde bei gezielten Angriffen auf folgende Personen beobachtet:

• Hochrangige Zielpersonen in Ländern des Nahen Ostens und Südostasiens
• Journalisten und Dissidenten — ein Profil, das zum Einsatz kommerzieller Spyware passt
• Die Opfer wurden typischerweise über Zero-Click-Angriffsvektoren in iMessage und WebKit angegriffen

Neu von iOS 18.7.7 unterstützte Geräte

• iPhone XS, XS Max, XR (A12-Bionic-Chips — von der ersten Patch-Welle zuvor ausgeschlossen)
• iPad Pro 12,9 Zoll (3. Generation) und 11 Zoll (1. Generation)
• iPad Air (3. Generation) und iPad mini (5. Generation)
• iPod touch (7. Generation) — sofern weiterhin Updates bereitgestellt werden
• macOS Sonoma und Ventura erhalten ergänzende Patches für die WebKit-Komponente

Anleitung zur Aktualisierung

1. Öffnen Sie Einstellungen → Allgemein → Softwareupdate
2. Laden und installieren Sie iOS 18.7.7
3. Falls auf Ihrem Gerät angezeigt wird, dass iOS 18.7.7 bereits installiert ist, überprüfen Sie die Build-Nummer unter Einstellungen → Allgemein → Info
4. Zögern Sie nicht — die geschlossene Exploit-Kette wurde nachweislich aktiv für gezielte Angriffe eingesetzt

Zusammenfassung der Bedrohungslage