Netty: Mehrere Schwachstellen
WID-SEC-2026-3477 · first 21.09.2026 · updated 16.10.2026 · CVSS 8,2
What it is about
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen.
Under what conditions?
Over the network and without logging in. This is the most dangerous combination: attackers can scan reachable devices automatically.
What can happen in the worst case
An attacker could use the vulnerability to
- Sicherheitsvorkehrungen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen
Am I affected?
Affected according to the BSI:
- Red Hat Enterprise Linux
- IBM SPSS Modeler
- Red Hat Enterprise Linux Quarkus
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.1.138.Final
- Open Source Netty <4.2.18.Final
The installed version is usually shown under “Help → About” or in the device’s admin interface.
What helps?
Update to at least:
- Open Source Netty 4.1.138.Final
- Open Source Netty 4.2.18.Final
Is the vulnerability already being exploited?
None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.
Information and sources
- Original BSI advisory (WID)
- Red Hat Bugtracker 2536887 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-mrqx-2r72-2c2x vom 2026-09-20 github.com
- Red Hat Bugtracker 2536891 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-c593-fgx2-8jj6 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536895 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9rhx-p462-pg2j vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xvr4-c5q3-q5wm vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-wfpc-rccm-rq4m vom 2026-09-20 github.com
- Red Hat Bugtracker 2536932 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-258J-9683-M467 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536949 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-7p33-hhxj-4qcr vom 2026-09-20 github.com
- Red Hat Bugtracker 2536951 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-MV3R-X43M-8MR7 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536953 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-74QM-9QC5-FF4G vom 2026-09-20 github.com
- Red Hat Bugtracker 2536952 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-6F4P-H3XM-C8RC vom 2026-09-20 github.com
- Red Hat Bugtracker 2536954 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9mrj-55p4-qwf4 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536955 vom 2026-09-20 bugzilla.redhat.com
- Red Hat Bugtracker 2536961 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-ffvg-hfwh-x2pp vom 2026-09-20 github.com
- Red Hat Bugtracker 2536962 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-jmx3-m859-mrgc vom 2026-09-20 github.com
and 17 more sources in the original advisory
CVE: CVE-2026-93488, CVE-2026-93491, CVE-2026-93492, CVE-2026-93493, CVE-2026-93494, CVE-2026-93558, CVE-2026-93560, CVE-2026-93561, CVE-2026-93562, CVE-2026-93563, CVE-2026-93564, CVE-2026-93565, CVE-2026-93566, CVE-2026-93567, CVE-2026-93568, CVE-2026-93569, CVE-2026-93572, CVE-2026-93573, CVE-2026-93574, CVE-2026-93575 …
Source: BSI warning and information service (CERT-Bund); CISA. The assessment of the conditions is my reading of the BSI text; the external pages are in their original language.