Kurzfassung

In FileMaker Server steckt mit CVE-2026-86934 eine kritische Schwachstelle zur Umgehung von Autorisierungsmechanismen. Der CVSS-Basiswert liegt bei 9.1 und ist damit kritisch; betroffen ist die Web Publishing Engine, über die sich das deaktivierte XML Web Publishing dennoch erreichen ließ. Behoben ist das Problem laut NVD in FileMaker Server 26.0.3.

Was ist passiert?

Die Schwachstelle betrifft die Web Publishing Engine von FileMaker Server. Speziell präparierte Anfragen mit einem erweiterten Berechtigungs-Header konnten eine Schutzwirkung aushebeln: Selbst wenn Custom Web Publishing mit XML deaktiviert war, blieb der Zugriff auf die XML-Web-Publishing-Schnittstelle möglich.

Für Unternehmen ist das vor allem dort relevant, wo FileMaker Server direkt oder indirekt aus anderen Netzen erreichbar ist. Die Lücke ermöglicht keine vollständige Systemübernahme nach dem derzeit veröffentlichten Informationsstand, öffnet aber einen Weg zu eigentlich abgeschalteten Funktionen und damit potenziell zu ungewolltem Datenzugriff.

Technische Details

CVE-2026-86934 ist als Autorisierungsumgehung eingestuft. Der CVSS-3.1-Basiswert beträgt 9.1 und damit kritisch; dieser Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch eine bestätigte Ausnutzung in freier Wildbahn.

Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Das bedeutet: Angriffe sind über das Netzwerk möglich, die Angriffskomplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig; laut Bewertung sind Vertraulichkeit und Integrität stark betroffen, die Verfügbarkeit jedoch nicht.

Inhaltlich geht es um einen Header in HTTP-Anfragen, der erweiterte Rechte signalisiert. Wurde eine solche Anfrage verarbeitet, konnte die Einstellung zum deaktivierten XML Custom Web Publishing umgangen werden. Als behobene Version nennt NVD FileMaker Server 26.0.3.

Wer ist betroffen?

Betroffen sind FileMaker-Server-Installationen mit verwundbarer Web Publishing Engine vor Version 26.0.3. NVD nennt 26.0.3 ausdrücklich als korrigierte Fassung. Welche älteren Haupt- und Nebenversionen darüber hinaus im Detail betroffen sind, ist in den vorliegenden Angaben nicht weiter aufgeschlüsselt.

Besonders genau prüfen sollten Unternehmen, die FileMaker Server für interne Fachanwendungen, Kundenportale oder Integrationen mit Webzugriff einsetzen. Wenn die XML-Webschnittstelle eigentlich abgeschaltet sein sollte, ist die Lücke besonders heikel, weil sie genau diese Schutzannahme unterläuft.

Empfohlene Maßnahmen

Erstens: Aktualisieren Sie FileMaker Server vorrangig auf Version 26.0.3 oder neuer. Das ist die zentrale Maßnahme, weil die Schwachstelle dort behoben ist.

Zweitens: Prüfen Sie, ob die Web Publishing Engine von außen erreichbar ist. Falls ein sofortiges Update nicht möglich ist, begrenzen Sie den Zugriff per Firewall, Reverse Proxy oder Netzwerksegmentierung auf unbedingt notwendige Quellnetze.

Drittens: Kontrollieren Sie Protokolle und Zugriffe auf die XML-Web-Publishing-Schnittstelle. Achten Sie besonders auf Anfragen, die unerwartet gegen eigentlich deaktivierte Funktionen laufen oder ungewöhnliche Header enthalten.

Viertens: Überprüfen Sie Ihre Annahmen zur Deaktivierung von Funktionen. Wenn Sicherheitsentscheidungen bisher allein auf der Einstellung „XML Web Publishing deaktiviert“ beruhten, sollten Sie zusätzliche technische Kontrollen einziehen.

Einschätzung von CyberSecurity-News.de

Die technische Bewertung mit CVSS 9.1 ist hoch und nachvollziehbar: keine Authentifizierung, keine Nutzerinteraktion, Angriff über das Netzwerk. Für DACH-Unternehmen mit öffentlich erreichbarem FileMaker Server ist das kein theoretisches Detail, sondern ein klarer Patch-Fall mit hoher Priorität.

Die veröffentlichte Informationslage bleibt allerdings knapp. Bekannt ist die betroffene Komponente, der Mechanismus der Umgehung und die behobene Version 26.0.3. Ob bereits Angriffe beobachtet wurden, ist nicht mitgeteilt. Ebenso fehlen hier feinere Angaben dazu, welche älteren Versionsstände im Einzelnen betroffen sind.

Wichtig für die Einordnung: Die Lücke bedroht nicht jedes Unternehmen gleichermaßen. Wer FileMaker Server gar nicht einsetzt oder die betroffene Web-Komponente nicht erreichbar betreibt, hat kein akutes Thema. Wer das Produkt produktiv für webnahe Geschäftsprozesse nutzt, sollte das Update dagegen zügig einplanen und die Erreichbarkeit bis dahin einschränken.

Fazit

Wenn Sie FileMaker Server betreiben, sollten Sie Ihre Instanzen umgehend auf Version 26.0.3 anheben und die Erreichbarkeit der Web Publishing Engine bis dahin strikt begrenzen. Prüfen Sie zusätzlich Protokolle auf verdächtige Zugriffe gegen die XML-Schnittstelle, weil die Schwachstelle eine deaktivierte Funktion gerade nicht zuverlässig deaktiviert ließ.

Quellenangabe

Weiterführende technische Details bietet der NVD-Eintrag zu CVE-2026-86934.