Kurzfassung

PortSwigger Burp Suite DAST, früher Burp Suite Enterprise Edition, enthält in Versionen vor 2026.8 eine kritische Schwachstelle zur Authentifizierungsumgehung. Für CVE-2026-90481 nennt die NVD einen Basiswert von CVSS 9.2, kritisch. Unternehmen sollten betroffene Installationen zügig identifizieren und auf mindestens Version 2026.8 anheben.

Was ist passiert?

Betroffen ist die Server-Komponente von Burp Suite DAST. Nach den bislang veröffentlichten Informationen kann eine Authentifizierung über einen alternativen Pfad oder Kanal umgangen werden. Das ist besonders relevant, weil Burp Suite DAST in vielen Umgebungen tief in interne Test-, Build- und Anwendungslandschaften eingebunden ist.

Die Schwachstelle betrifft laut NVD alle Versionen vor 2026.8. Ob bereits aktive Angriffe beobachtet wurden, geht aus den verfügbaren Informationen nicht hervor.

Technische Details

CVE-2026-90481 beschreibt eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal. Der von der NVD veröffentlichte Basiswert liegt bei CVSS 9.2 nach CVSS 4.0 und ist damit kritisch. Der Vektor bedeutet in der Praxis: Ein Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, es sind keine Berechtigungen nötig und keine Nutzerinteraktion erforderlich.

Wichtig für die Einordnung: Der CVSS-Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bestätigte Ausnutzung in realen Umgebungen. Welche Auswirkungen im Einzelfall drohen, hängt stark davon ab, ob die DAST-Instanz aus externen Netzen erreichbar ist, welche Rollen und Integrationen angebunden sind und wie strikt der Zugriff auf Management-Oberflächen segmentiert wurde.

Wer ist betroffen?

Betroffen sind Installationen von PortSwigger Burp Suite DAST vor Version 2026.8. Dazu zählen insbesondere Umgebungen, in denen das Produkt zentral für automatisierte Sicherheitsprüfungen von Webanwendungen eingesetzt wird.

Für Unternehmen im DACH-Raum ist das vor allem in DevSecOps-, Application-Security- und zentralen Pentest-Teams relevant. Kritischer wird die Lage, wenn die Instanz direkt aus weniger vertrauenswürdigen Netzen erreichbar ist, etwa aus gemeinsam genutzten Admin-Netzen, aus extern angebundenen Segmenten oder über unzureichend geschützte Remote-Zugänge.

Für die meisten klassischen Endanwender spielt die Schwachstelle keine Rolle, da es sich um ein Spezialprodukt für professionelle Sicherheitsprüfungen handelt.

Empfohlene Maßnahmen

Erstens: Prüfen Sie sofort, ob Burp Suite DAST in Ihrer Umgebung läuft und welche Version installiert ist. Priorität haben zentral betriebene Instanzen mit Netzwerkzugriff über mehrere Segmente hinweg.

Zweitens: Planen Sie das Update auf mindestens Version 2026.8 mit hoher Priorität ein. Wenn ein sofortiges Update betrieblich nicht möglich ist, reduzieren Sie die Erreichbarkeit bis zur Aktualisierung konsequent auf einen eng begrenzten Administrationskreis.

Drittens: Beschränken Sie den Netzwerkzugriff auf Management- und Anwendungsoberflächen per Firewall, Reverse Proxy oder Segmentierung. Systeme dieser Klasse sollten nicht breiter erreichbar sein als unbedingt nötig.

Viertens: Prüfen Sie Protokolle auf ungewöhnliche Zugriffe auf Login-, Verwaltungs- und API-Pfade. Besonders interessant sind Anfragen, die bekannte Authentifizierungswege umgehen oder über alternative Endpunkte erfolgen.

Fünftens: Überprüfen Sie nach dem Update Rollen, Sitzungskonfigurationen, angebundene Konten und Integrationen. Wenn unklar ist, ob es unautorisierte Zugriffe gab, sollten Zugangsdaten und Tokens mit Bezug zur Plattform vorsorglich rotiert werden.

Ein Hersteller-Advisory mit Patch-Hinweisen oder weitergehenden Details wurde hier nicht mitgeteilt.

Einschätzung von CyberSecurity-News.de

Die technische Einstufung ist hoch und nachvollziehbar: Eine netzwerkbasierte Authentifizierungsumgehung ohne Anmeldung und ohne Nutzerinteraktion ist in Management- und Security-Plattformen grundsätzlich ernst zu nehmen. Der Fall ist für Unternehmen deutlich relevanter als viele abstrakte Bibliothekslücken, weil hier ein zentraler Sicherheitsdienst selbst betroffen ist.

Die Informationslage bleibt aber noch knapp. PortSwigger nennt in den hier verfügbaren Angaben nur den Versionsschnitt vor 2026.8 und die Art des Fehlers; belastbare Details zu konkreten Angriffswegen, möglichen Standardkonfigurationen oder beobachteter Ausnutzung fehlen. Für Administratoren heißt das: nicht spekulieren, sondern Reichweite begrenzen und zügig aktualisieren.

Gegenüber breiter berichteten Schwachstellen in Massenprodukten ist das kein Vorfall mit universeller Betroffenheit. Für Organisationen, die Burp Suite DAST produktiv einsetzen, ist die Lücke dennoch klar priorisiert zu behandeln.

Fazit

Wenn Sie Burp Suite DAST einsetzen, sollten Sie Versionen vor 2026.8 zeitnah ersetzen. Bis das Update eingespielt ist, zählt vor allem eins: Erreichbarkeit minimieren, Zugriffe überwachen und die Plattform wie ein besonders schützenswertes Administrationssystem behandeln.

Quellenangabe

Weiterführende technische Informationen finden Sie bei der NVD: CVE-2026-90481.