Netty: Mehrere Schwachstellen
WID-SEC-2026-3477 · primera publicación 21.09.2026 · actualizado 16.10.2026 · CVSS 8,2
De qué se trata
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Sicherheitsvorkehrungen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen
¿Me afecta?
Afectados según el BSI:
- Red Hat Enterprise Linux
- IBM SPSS Modeler
- Red Hat Enterprise Linux Quarkus
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.1.138.Final
- Open Source Netty <4.2.18.Final
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Netty 4.1.138.Final
- Open Source Netty 4.2.18.Final
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Red Hat Bugtracker 2536887 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-mrqx-2r72-2c2x vom 2026-09-20 github.com
- Red Hat Bugtracker 2536891 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-c593-fgx2-8jj6 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536895 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9rhx-p462-pg2j vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xvr4-c5q3-q5wm vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-wfpc-rccm-rq4m vom 2026-09-20 github.com
- Red Hat Bugtracker 2536932 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-258J-9683-M467 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536949 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-7p33-hhxj-4qcr vom 2026-09-20 github.com
- Red Hat Bugtracker 2536951 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-MV3R-X43M-8MR7 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536953 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-74QM-9QC5-FF4G vom 2026-09-20 github.com
- Red Hat Bugtracker 2536952 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-6F4P-H3XM-C8RC vom 2026-09-20 github.com
- Red Hat Bugtracker 2536954 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9mrj-55p4-qwf4 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536955 vom 2026-09-20 bugzilla.redhat.com
- Red Hat Bugtracker 2536961 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-ffvg-hfwh-x2pp vom 2026-09-20 github.com
- Red Hat Bugtracker 2536962 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-jmx3-m859-mrgc vom 2026-09-20 github.com
y 17 fuentes más en el aviso original
CVE: CVE-2026-93488, CVE-2026-93491, CVE-2026-93492, CVE-2026-93493, CVE-2026-93494, CVE-2026-93558, CVE-2026-93560, CVE-2026-93561, CVE-2026-93562, CVE-2026-93563, CVE-2026-93564, CVE-2026-93565, CVE-2026-93566, CVE-2026-93567, CVE-2026-93568, CVE-2026-93569, CVE-2026-93572, CVE-2026-93573, CVE-2026-93574, CVE-2026-93575 …
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.