Kurzfassung

Die MediaWiki-Erweiterung ExternalData ist von einer kritischen OS-Command-Injection betroffen. CVE-2026-100382 hat einen CVSS-Wert von 10.0 und betrifft ExternalData in Versionen vor 3.7. Wer die Erweiterung einsetzt, sollte die Installation umgehend prüfen und verwundbare Versionen schnellstmöglich ablösen.

Was ist passiert?

Für die Erweiterung ExternalData der Wikimedia Foundation wurde eine Schwachstelle registriert, bei der Sonderzeichen in Betriebssystembefehlen nicht ausreichend bereinigt werden. Dadurch kann es zu einer Command Injection kommen. Betroffen sind laut NVD alle Versionen von ExternalData vor 3.7.

Solche Fehler sind besonders heikel, weil Angreifer nicht nur die Anwendung selbst beeinflussen, sondern unter Umständen direkt Befehle auf dem darunterliegenden System ausführen können. Wie weit sich das im Einzelfall ausnutzen lässt, hängt von der konkreten Serverkonfiguration, den Rechten des Webdienstes und der tatsächlichen Nutzung der Erweiterung ab.

Technische Details

Bei CVE-2026-100382 handelt es sich um eine OS-Command-Injection in MediaWiki ExternalData. Der CVSS-Basiswert liegt bei 10.0 und damit im kritischen Bereich. Der Vektor beschreibt einen Angriff über das Netzwerk mit geringer Komplexität, ohne erforderliche Berechtigungen und ohne Nutzerinteraktion. Das bedeutet: Ein externer Angreifer kann die Schwachstelle unter günstigen Bedingungen direkt ansprechen, ohne sich vorher anmelden zu müssen oder auf Mithilfe eines Benutzers angewiesen zu sein.

Der CVSS-Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn. Die NVD nennt hier eine vollständige Gefährdung von Vertraulichkeit, Integrität und Verfügbarkeit sowohl für das betroffene System als auch für nachgelagerte Auswirkungen.

Wer ist betroffen?

Betroffen sind MediaWiki-Installationen, auf denen die Erweiterung ExternalData in einer Version vor 3.7 aktiv ist. Für Unternehmen im DACH-Raum ist das vor allem relevant, wenn MediaWiki intern für Wissensmanagement, Dokumentation, Betriebshandbücher oder Kundenportale genutzt wird und Erweiterungen nicht zentral inventarisiert sind.

Besonders aufmerksam sollten Administratoren in Hochschulen, Forschungseinrichtungen, Behörden, IT-Abteilungen und Hosting-Umgebungen sein. In diesen Bereichen laufen MediaWiki-Instanzen häufig über Jahre mit nachinstallierten Erweiterungen, die im Patch-Management leicht übersehen werden. Wer MediaWiki ohne ExternalData betreibt, ist von dieser konkreten Schwachstelle nicht betroffen.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob ExternalData überhaupt installiert und aktiv ist. Danach sollte die eingesetzte Versionsnummer verifiziert werden. Läuft eine Version vor 3.7, hat diese Prüfung Priorität.

Als nächster Schritt sollte die Erweiterung auf Version 3.7 oder neuer aktualisiert werden. Gibt es im eigenen Change-Management keine kurzfristige Freigabe, ist das vorübergehende Deaktivieren der Erweiterung die sicherere Option, sofern Geschäftsprozesse das zulassen.

Kontrollieren Sie zusätzlich, ob die MediaWiki-Instanz aus dem Internet erreichbar ist und welche Systemrechte der Webserver-Prozess besitzt. Selbst wenn ein Update schnell eingespielt wird, bleibt eine schlechte Rechtevergabe ein unnötiger Risikoverstärker. Sinnvoll sind außerdem eine Durchsicht der Webserver- und Anwendungsprotokolle auf ungewöhnliche Aufrufe sowie eine Prüfung, ob über die Instanz externe Datenquellen oder Shell-nahe Funktionen angesprochen werden.

Für größere Umgebungen empfiehlt sich eine kurze Sonderinventur: Welche MediaWiki-Instanzen existieren, welche Erweiterungen sind aktiv, und wer verantwortet den Betrieb? Genau an dieser Stelle entstehen in der Praxis die längsten Reaktionszeiten.

Einschätzung von CyberSecurity-News.de

Die technische Bewertung ist eindeutig: CVSS 10.0 ist hier kein Randwert, sondern ein klares Signal für sofortige Prüfung. Gleichzeitig bleibt die Informationslage begrenzt. NVD beschreibt die Schwachstelle und die betroffenen Versionen, liefert aber keine Details dazu, wie die Ausnutzung konkret abläuft oder ob bereits Angriffe beobachtet wurden.

Für Unternehmen ist das trotzdem kein Grund zum Abwarten. Gerade bei weit verbreiteten Open-Source-Komponenten mit optionalen Erweiterungen entstehen Risiken oft nicht durch die Hauptanwendung, sondern durch Zusatzmodule, die im Tagesgeschäft unter dem Radar laufen. Wer ExternalData nicht nutzt, kann die Meldung abhaken. Wer die Erweiterung produktiv betreibt, sollte das Thema dagegen hoch priorisieren.

Fazit

Administratoren sollten jetzt feststellen, ob ExternalData in MediaWiki im Einsatz ist. Falls ja, muss jede Version vor 3.7 kurzfristig aktualisiert oder bis zur Bereinigung deaktiviert werden. Die Relevanz ist für betroffene Installationen hoch, für alle anderen Leser dagegen gering.

Quellenangabe

Weiterführende Informationen bietet der NVD-Eintrag zu CVE-2026-100382.