Netty: Mehrere Schwachstellen
WID-SEC-2026-3477 · erstmals 21.09.2026 · aktualisiert 16.10.2026 · CVSS 8,2
Worum es geht
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Sicherheitsvorkehrungen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Red Hat Enterprise Linux
- IBM SPSS Modeler
- Red Hat Enterprise Linux Quarkus
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.1.138.Final
- Open Source Netty <4.2.18.Final
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Netty 4.1.138.Final
- Open Source Netty 4.2.18.Final
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Red Hat Bugtracker 2536887 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-mrqx-2r72-2c2x vom 2026-09-20 github.com
- Red Hat Bugtracker 2536891 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-c593-fgx2-8jj6 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536895 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9rhx-p462-pg2j vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xvr4-c5q3-q5wm vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-wfpc-rccm-rq4m vom 2026-09-20 github.com
- Red Hat Bugtracker 2536932 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-258J-9683-M467 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536949 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-7p33-hhxj-4qcr vom 2026-09-20 github.com
- Red Hat Bugtracker 2536951 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-MV3R-X43M-8MR7 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536953 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-74QM-9QC5-FF4G vom 2026-09-20 github.com
- Red Hat Bugtracker 2536952 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-6F4P-H3XM-C8RC vom 2026-09-20 github.com
- Red Hat Bugtracker 2536954 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9mrj-55p4-qwf4 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536955 vom 2026-09-20 bugzilla.redhat.com
- Red Hat Bugtracker 2536961 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-ffvg-hfwh-x2pp vom 2026-09-20 github.com
- Red Hat Bugtracker 2536962 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-jmx3-m859-mrgc vom 2026-09-20 github.com
und 17 weitere Quellen in der Originalmeldung
CVE: CVE-2026-93488, CVE-2026-93491, CVE-2026-93492, CVE-2026-93493, CVE-2026-93494, CVE-2026-93558, CVE-2026-93560, CVE-2026-93561, CVE-2026-93562, CVE-2026-93563, CVE-2026-93564, CVE-2026-93565, CVE-2026-93566, CVE-2026-93567, CVE-2026-93568, CVE-2026-93569, CVE-2026-93572, CVE-2026-93573, CVE-2026-93574, CVE-2026-93575 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.