Devolutions Server und Remote Desktop Manager: Mehrere Schwachstellen
WID-SEC-2026-0588 · first 04.03.2026 · updated 04.03.2026 · CVSS 10,0
What it is about
Devolutions Remote Desktop Manager ist eine zentrale Plattform zur Verwaltung von Remoteverbindungen, Passwörtern und Anmeldeinformationen. Devolutions Server ist eine selbstgehostete, zentralisierte Plattform zur Verwaltung und Freigabe von Passwörtern, Verbindungsdaten und Zugriffen in IT-Teams Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Devolutions Remote Desktop Manager und Devolutions Server ausnutzen, um erweiterte Berechtigungen zu erlangen, Dateien zu manipulieren, Sicherheitsmaßnahmen zu umgehen oder vertrauliche Informationen offenzulegen.
Under what conditions?
Over the network and without logging in. This is the most dangerous combination: attackers can scan reachable devices automatically.
What can happen in the worst case
An attacker could use the vulnerability to
- erweiterte Berechtigungen zu erlangen
- Dateien zu manipulieren
- Sicherheitsmaßnahmen zu umgehen oder vertrauliche Informationen offenzulegen
Am I affected?
Affected according to the BSI:
- Devolutions Remote Desktop Manager <2026.1
- Devolutions Server <2026.1
- Devolutions Server <2025.3.16
The installed version is usually shown under “Help → About” or in the device’s admin interface.
What helps?
Update to at least:
- Devolutions Remote Desktop Manager 2026.1
- Devolutions Server 2026.1
- Devolutions Server 2025.3.16
Is the vulnerability already being exploited?
None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.
Information and sources
- Original BSI advisory (WID)
- Devolutions Security Advisory vom 2026-03-03 devolutions.net
- NIST Security Advisory vom 2026-03-03 nvd.nist.gov
- NIST Security Advisory vom 2026-03-03 nvd.nist.gov
CVE: CVE-2026-3204, CVE-2026-3130, CVE-2026-3224, CVE-2026-2590
Source: BSI warning and information service (CERT-Bund); CISA. The assessment of the conditions is my reading of the BSI text; the external pages are in their original language.