Kritische RCE in OSNEXUS QuantaStor: CVE-2026-18265 erlaubt Codeausführung als Root

Kurzfassung

CVE-2026-18265 ist eine kritische Schwachstelle in OSNEXUS QuantaStor. Ein Angreifer braucht keinen gültigen Zugang. Wer die Lücke ausnutzt, kann eigenen Code auf dem Zielsystem ausführen, und zwar mit Root-Rechten.

Für Unternehmen mit QuantaStor im Netz ist das ernst. Besonders dann, wenn das System aus dem Internet erreichbar ist oder nur locker segmentiert wurde. Die Quelle nennt keine betroffene Version und keine Korrektur. Das ist für die Einordnung wichtig.

Was ist passiert?

Die Schwachstelle steckt in der Konfiguration von Kapacitor innerhalb von QuantaStor. Vor dem Zugriff auf die betroffene Funktion fehlt die Authentifizierung. Genau das macht den Fehler so gefährlich: Ein entfernter Angreifer kann ohne vorherige Anmeldung Code auf dem System ausführen.

Die NVD stuft das Problem als kritisch ein. Laut Beschreibung lässt sich die Schwachstelle zur Ausführung von Befehlen im Kontext von root missbrauchen. Damit ist im Erfolgsfall die vollständige Kontrolle über die Instanz drin.

Technische Details

Der Kern des Problems ist banal und zugleich heikel: Eine Funktion ist erreichbar, obwohl sie vorher nicht sauber abgesichert wurde. Aus Sicherheits-Sicht ist das kein kleiner Konfigurationsfehler, sondern eine direkte Einladung für Remote-Exploitation.

Die Meldung ordnet den Fehler auch als ZDI-CAN-30036 ein. Mehr technische Tiefe liefert die Quelle an dieser Stelle aber nicht. Ob nur bestimmte Deployments, bestimmte Builds oder nur einzelne Konfigurationen betroffen sind, bleibt offen. Auch ein Patchstand wird nicht genannt.

Für Admins heißt das: Nicht auf CVSS-Zahlen oder Schlagzeilen verlassen, sondern prüfen, wo QuantaStor läuft, wie es erreichbar ist und ob die Kapacitor-Funktion überhaupt exponiert wurde. Wer eine Management-Oberfläche ins WAN gestellt hat, hat hier sofort ein Problem.

Wer ist betroffen?

Betroffen sind Installationen von OSNEXUS QuantaStor, sofern sie die beschriebene Schwachstelle enthalten. Mehr gibt die Quelle nicht preis. Ob auch ältere oder aktuelle Hauptversionen betroffen sind, lässt der Hersteller offen.

Für den DACH-Raum ist das vor allem für Storage-Umgebungen relevant, die zentral Daten für mehrere Systeme bereitstellen. Dazu zählen etwa Fileservices, Backup-Ziele oder virtualisierte Infrastrukturen, in denen QuantaStor als Speicherplattform läuft. Privatnutzer spielt das nach heutigem Stand kaum eine Rolle.

Empfohlene Maßnahmen

Wer QuantaStor betreibt, sollte jetzt drei Dinge tun. Erstens: Prüfen, ob eine aktualisierte Herstellerfassung vorliegt und diese zügig einspielen. Zweitens: Den Zugriff auf die Verwaltungs- und Service-Schnittstellen strikt auf interne Netze begrenzen. Drittens: Prüfen, ob die betroffene Funktion überhaupt benötigt wird.

Wenn ein Patch noch fehlt, hilft nur Schadensbegrenzung. Systeme vom Internet trennen, Segmentierung nachziehen, Admin-Zugänge härten und Logs auf verdächtige Zugriffe prüfen. Wer ungewöhnliche Root-Aktivitäten oder unerklärliche Prozessstarts sieht, sollte den Vorfall wie einen möglichen Einbruch behandeln.

Für SOC-Teams und Admins gilt: IOC-Listen gibt die Quelle nicht her. Dann bleibt klassische Gegenarbeit. Auth-lose Zugriffe auf Verwaltungsdienste, neue Shells, verdächtige Kinderprozesse und Änderungen an Konfigurationen gehören in die Prüfung.

Einschätzung von CyberSecurity-News.de

Die Lage ist klar: Eine unauthentifizierte RCE mit Root-Potenzial gehört in die oberste Priorität. Wer QuantaStor produktiv einsetzt, sollte nicht auf weitere Berichte warten. Solche Lücken werden oft schnell von Angreifern geprüft, sobald sie öffentlich sind.

Unschön ist die dünne Informationslage. Keine Versionsangaben, keine Umgehungshinweise, kein sauberer Risikorahmen für einzelne Deployment-Varianten. Das macht die operative Reaktion schwerer als nötig. Hersteller und Quellen sollten hier schneller und präziser liefern, gerade bei einer kritischen Schwachstelle.

Für die meisten Leser ist das kein Massenproblem. Für betroffene Organisationen kann es aber ein echter Notfall sein, weil Speicherplattformen oft tief im Netz hängen und gern zu spät gehärtet werden. Genau dort sitzt das Risiko.

Fazit

CVE-2026-18265 ist keine theoretische Schwachstelle. Sie erlaubt Remote Code Execution ohne Authentifizierung und kann im schlimmsten Fall direkt mit Root-Rechten enden. Wer QuantaStor betreibt, sollte den Patch- und Expositionsstatus sofort prüfen.

Solange keine belastbaren Herstellerdetails vorliegen, bleibt nur ein sauberes Minimieren der Angriffsfläche. Das ist bei einer kritischen RCE der richtige Weg. Und zwar heute, nicht beim nächsten Wartungsfenster.