OX Dovecot Pro: Mehrere Schwachstellen
WID-SEC-2026-1510 · erstmals 13.05.2026 · aktualisiert 22.09.2026 · CVSS 7,4
Worum es geht
Dovecot ist ein Open Source IMAP und POP3 E-Mail Server. Ein Angreifer kann mehrere Schwachstellen in OX Dovecot Pro ausnutzen, um SQL-Injection-Angriffe durchzuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- SQL-Injection-Angriffe durchzuführen
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand zu verursachen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Red Hat Enterprise Linux
- Fedora Linux
- Ubuntu Linux
- SUSE Linux
- SUSE openSUSE
- Open Source Dovecot OX Pro core <3.1.5
- Open Source Dovecot OX Pro core <2.4.4
- RESF Rocky Linux
- Oracle Linux
- cPanel cPanel/WHM <137.9999.96
- cPanel cPanel/WHM <110.0.138
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Dovecot OX Pro core 3.1.5
- Open Source Dovecot OX Pro core 2.4.4
- cPanel cPanel/WHM 137.9999.96
- cPanel cPanel/WHM 110.0.138
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Dovecot Security Advisory OXDC-2026-0002 vom 2026-05-12 dovecot.org
- Dovecot and Pigeonhole v2.4.4 Released vom 2026-05-12 dovecot.org
- GitHub Security Advisory GHSA-h6rp-9mjf-6x88 vom 2026-05-12 github.com
- openSUSE Security Update OPENSUSE-SU-2026:10766-1 vom 2026-05-14 lists.opensuse.org
- Fedora Security Advisory FEDORA-2026-96EEB03B88 vom 2026-05-18 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2026-693373747F vom 2026-05-18 bodhi.fedoraproject.org
- Debian Security Advisory DSA-6313 vom 2026-05-31 lists.debian.org
- Ubuntu Security Notice USN-8365-1 vom 2026-06-02 ubuntu.com
- Debian Security Advisory DLA-4617 vom 2026-06-05 lists.debian.org
- SUSE Security Update SUSE-SU-2026:22185-1 vom 2026-06-23 lists.suse.com
- SUSE Security Update SUSE-SU-2026:2645-1 vom 2026-06-26 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:21109-1 vom 2026-06-30 lists.opensuse.org
- Red Hat Security Advisory RHSA-2026:41905 vom 2026-07-20 access.redhat.com
- Oracle Linux Security Advisory ELSA-2026-41988 vom 2026-07-21 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:42091 vom 2026-07-20 access.redhat.com
- Red Hat Security Advisory RHSA-2026:41988 vom 2026-07-20 access.redhat.com
- Oracle Linux Security Advisory ELSA-2026-41905 vom 2026-07-21 linux.oracle.com
- Rocky Linux Security Advisory RLSA-2026:41988 vom 2026-07-22 errata.build.resf.org
- Rocky Linux Security Advisory RLSA-2026:41905 vom 2026-07-22 errata.build.resf.org
- Red Hat Security Advisory RHSA-2026:44373 vom 2026-07-23 access.redhat.com
- Red Hat Security Advisory RHSA-2026:44355 vom 2026-07-23 access.redhat.com
- Red Hat Security Advisory RHSA-2026:44357 vom 2026-07-23 access.redhat.com
- Red Hat Security Advisory RHSA-2026:46381 vom 2026-07-27 access.redhat.com
- Red Hat Security Advisory RHSA-2026:46379 vom 2026-07-27 access.redhat.com
- Red Hat Security Advisory RHSA-2026:46380 vom 2026-07-27 access.redhat.com
und 9 weitere Quellen in der Originalmeldung
CVE: CVE-2026-27851, CVE-2026-40016, CVE-2026-33603, CVE-2026-40020, CVE-2026-42006
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.