OpenSSH: BSI warnt vor fünf kritischen Sicherheitslücken

Das BSI meldet fünf Sicherheitslücken in OpenSSH. Angreifer können Systeme aus der Ferne kompromittieren. Patches sind verfügbar.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mehrere Schwachstellen in der weit verbreiteten OpenSSH-Software gemeldet. Die Lücken betreffen Linux-, UNIX- und Windows-Systeme und ermöglichen potenziell Remote-Angriffe aus dem Netz.

Fünf kritische Sicherheitslücken identifiziert

Die Sicherheitsbehörde veröffentlichte am gestrigen Sonntag eine Warnung zu insgesamt fünf Schwachstellen, die unter den CVE-Nummern 2026-35385, 35386, 35387, 35388 und 35414 geführt werden. Mit einem CVSS-Score von 7,5 stuft das BSI das Risiko als mittelschwer ein – doch die Gefahr ist real: Angreifer könnten die Lücken aus der Ferne ausnutzen, ohne vorherigen Zugriff auf das System zu haben.

Anzeige: Wer seine SSH-Infrastruktur gegen die fünf vom BSI gemeldeten kritischen Lücken absichern will, findet im kostenlosen Notfall-Report eine sofort umsetzbare Patch-Checkliste, Härtungsanleitung und Notfallplan für nicht patchbare Systeme. Jetzt kostenlosen Notfall-Report anfordern

Betroffen sind alle Open-Source-Versionen von OpenSSH, die älter als Version 10.3 sind. Angesichts der Verbreitung der Software in Unternehmen und Rechenzentren ist der potenzielle Schaden erheblich.

Breite Palette betroffener Systeme

Die Liste der verwundbaren Plattformen liest sich wie ein Who-is-Who der IT-Infrastruktur:

• Linux-Distributionen: Red Hat, Ubuntu, SUSE, Debian, Fedora, Oracle Linux, Rocky Linux und openSUSE
• Cloud- und Unternehmensplattformen: Amazon Linux 2, Microsoft Azure Linux, Google Container-Optimized OS und Red Hat OpenShift
• UNIX-Infrastruktur: IBM AIX, IBM VIOS und NetApp ActiveIQ

Auch Windows-Systeme, die OpenSSH nutzen, sind betroffen – ein weiteres Indiz für die plattformübergreifende Bedrohungslage.

Anzeige: Betroffen sind Linux-, UNIX- und Windows-Systeme – Angreifer können die Lücken aus der Ferne ausnutzen. Wer noch keine Patches eingespielt hat, riskiert einen Einbruch. Dieser Report liefert einen konkreten Notfallplan mit Priorisierungsmatrix und Workarounds. Notfallplan jetzt sichern

Sofort handeln: Patches verfügbar

Die Hersteller haben bereits Sicherheitsupdates veröffentlicht. openSUSE etwa stellte bereits am Samstag einen Patch bereit. Systemadministratoren sollten die Aktualisierungen umgehend einspielen. Wer die Open-Source-Version direkt betreibt, muss auf OpenSSH 10.3 oder neuer aktualisieren.

Das BSI betont: Da ein Angriff aus der Ferne möglich ist, ist die zeitnahe Installation der Patches essenziell. Unternehmen, die ihre SSH-Infrastruktur nicht schnell aktualisieren, setzen sich einem unnötigen Risiko aus – und das in einer Zeit, in der Cyberangriffe auf kritische Infrastrukturen weltweit zunehmen.