Kurzfassung
In Dayforce Payroll sind mit CVE-2026-73640 und CVE-2026-73642 zwei kritische Schwachstellen bekannt geworden. Besonders schwer wiegt CVE-2026-73640 mit CVSS 9.3, kritisch; die zweite Lücke ist mit CVSS 9.2 ebenfalls im kritischen Bereich. Beide Angriffe sollen ohne Anmeldung, über das Netzwerk und ohne Nutzerinteraktion möglich sein.
Was ist passiert?
Betroffen ist Dayforce Payroll, also Software mit direktem Bezug zu Entgeltabrechnung und damit regelmäßig zu besonders sensiblen Personen- und Unternehmensdaten. Für die aktuell bekannten Fälle wurde als betroffene Version Dayforce Payroll R2026.2.0 bestätigt.
CVE-2026-73640 beschreibt eine zeitbasierte Blind-SQL-Injection in der Funktion zur Passwortwiederherstellung. Ein Angreifer kann demnach eine manipulierte GET-Anfrage senden und einen Parameter so befüllen, dass dieser als Bestandteil einer SQL-Bedingung verarbeitet wird.
CVE-2026-73642 betrifft eine Path-Traversal-Schwachstelle in einer Download-Funktion. Auch hier reicht laut den bekannten Informationen eine präparierte GET-Anfrage, um Dateipfade vorzugeben, darunter auch absolute lokale Pfade.
Brisant ist die Kombination aus fehlender Authentifizierung, Netzwerk-Angriffspfad und dem fachlichen Kontext: Payroll-Systeme enthalten typischerweise Stammdaten, Gehaltsinformationen, Dokumente und interne Konfigurationsdaten. Schon eine einzelne ungepatchte oder direkt erreichbare Instanz kann deshalb ein hohes Risiko darstellen.
Technische Details
CVE-2026-73640 ist als Time-Based-Blind-SQL-Injection eingeordnet. Der CVSS-Basiswert liegt bei 9.3 nach CVSS 4.0. Das bedeutet technisch: Ein externer Angreifer kann über das Netzwerk angreifen, benötigt weder Anmeldung noch besondere Voraussetzungen noch Nutzerinteraktion; der Aufwand ist gering. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.
Bei zeitbasierter Blind-SQL-Injection wird die Datenbank nicht direkt mit sichtbaren Ergebnissen abgefragt. Stattdessen lassen sich Rückschlüsse über Antwortzeiten ziehen, etwa durch absichtlich verzögernde Datenbankbefehle. In der Praxis kann das zum Auslesen von Daten oder zur weiteren Analyse der Datenbankstruktur führen, auch wenn die Anwendung keine Fehlermeldungen preisgibt.
CVE-2026-73642 ist eine Path-Traversal-Lücke in einer Dateidownload-Funktion. Der CVSS-Basiswert liegt hier bei 9.2 nach CVSS 4.0. Wenn ein Dateipfad aus einer Anfrage unzureichend geprüft wird, kann ein Angreifer versuchen, Dateien außerhalb des vorgesehenen Verzeichnisses anzufordern. Je nach Berechtigungen des Dienstes wären so lokale Dateien lesbar, die nicht zum Download vorgesehen sind.
Für beide Schwachstellen ist nach den bekannten Informationen nur Dayforce Payroll R2026.2.0 bestätigt. Ob weitere Versionen betroffen sind, bleibt offen. Ein Patch-Stand oder offizielle Herstellerdetails wurden nicht mitgeteilt.
Wer ist betroffen?
Im Fokus stehen Unternehmen und Dienstleister, die Dayforce Payroll einsetzen und die Anwendung intern oder extern erreichbar betreiben. Besonders relevant ist das für HR-, Payroll- und IT-Teams in mittelständischen und großen Organisationen, für Outsourcing-Partner sowie für Umgebungen mit Internet-Zugriff auf Self-Service- oder Recovery-Funktionen.
Für den DACH-Raum ist das Thema vor allem dort kritisch, wo Payroll-Systeme direkt aus dem Internet erreichbar sind oder wo vorgeschaltete Schutzmechanismen nur oberflächlich prüfen. Da beide Lücken ohne Anmeldung funktionieren sollen, ist die reine Existenz eines exponierten Systems bereits ein zentrales Risiko.
Für Privatnutzer hat der Fall praktisch keine unmittelbare Relevanz, weil es sich um eine Unternehmensanwendung handelt.
Empfohlene Maßnahmen
Prüfen Sie zuerst, ob Dayforce Payroll R2026.2.0 in Ihrer Umgebung eingesetzt wird. Falls die Anwendung extern erreichbar ist, sollten Sie deren Erreichbarkeit sofort auf das notwendige Minimum reduzieren, idealerweise per VPN, IP-Filter oder vorgeschaltetem Reverse-Proxy mit restriktiven Regeln.
Kontrollieren Sie besonders die Funktionen für Passwortwiederherstellung und Dateidownload. Wenn sich diese separat deaktivieren, abschalten oder über Konfiguration einschränken lassen, sollte das bis zur Klärung priorisiert geprüft werden.
Werten Sie Webserver-, Proxy- und Anwendungsprotokolle gezielt auf verdächtige GET-Anfragen aus. Achten Sie bei CVE-2026-73640 auf ungewöhnliche Parameterwerte, wiederholte Anfragen mit Zeitmustern und Hinweise auf SQL-Ausdrücke. Bei CVE-2026-73642 sind Zugriffe mit relativen oder absoluten Dateipfaden, Traversal-Sequenzen und untypischen Dateinamen verdächtig.
Überprüfen Sie, mit welchen Rechten der betroffene Dienst läuft. Je geringer die lokalen Dateirechte und Datenbankberechtigungen, desto kleiner ist der potenzielle Schaden. Dienste für Payroll-Anwendungen sollten keine weitergehenden Rechte besitzen als betrieblich zwingend nötig.
Falls ein Web Application Firewalling im Einsatz ist, ergänzen Sie kurzfristig Regeln gegen SQL-Injection-Muster und Path-Traversal-Aufrufe. Das ersetzt keinen Patch, kann aber das Risiko bis zur Herstellerklärung reduzieren.
Planen Sie außerdem eine forensische Kurzprüfung, wenn die Instanz öffentlich erreichbar war: relevante Logs sichern, Datenbankzugriffe prüfen, verdächtige Downloads nachvollziehen und Integrität kritischer Dateien kontrollieren. Ob ein Patch bereitsteht, wurde nicht mitgeteilt.
Einschätzung von CyberSecurity-News.de
Die technische Risikoeinstufung ist hoch und für produktive Payroll-Umgebungen ernst zu nehmen. Dass beide Lücken ohne Anmeldung über das Netzwerk angreifbar sein sollen, macht sie operativ relevant, selbst wenn bislang nur eine konkrete Version bestätigt ist.
Schwierig ist die dünne Informationslage. Bekannt ist nur die Bestätigung für R2026.2.0; belastbare Aussagen zu weiteren Versionen, Workarounds des Herstellers oder einem Fix fehlen. Für Administratoren ist das unbefriedigend, weil gerade bei HR- und Abrechnungssystemen schnelle und präzise Herstellerkommunikation nötig wäre.
Für Unternehmen im DACH-Raum gilt deshalb: nicht auf weitere Details warten, sondern Exposition sofort prüfen und einschränken. Wer Dayforce Payroll nicht öffentlich betreibt, senkt das Risiko deutlich. Wer die Anwendung aus dem Internet erreichbar macht, sollte den Fall mit hoher Priorität behandeln.
Fazit
Wenn Sie Dayforce Payroll einsetzen, prüfen Sie umgehend, ob R2026.2.0 betroffen ist und ob Passwort-Reset oder Dateidownload von außen erreichbar sind. Reduzieren Sie die Angriffsfläche sofort und untersuchen Sie verdächtige Zugriffe in den Protokollen.
Solange keine weitergehenden Herstellerinformationen vorliegen, ist ein defensiver Betrieb mit minimaler Exposition die vernünftigste Maßnahme. Besonders öffentlich erreichbare Payroll-Systeme gehören jetzt auf die Prioritätenliste.
