Kurzfassung
HCL BigFix Service Management weist zwei kritische Schwachstellen auf: CVE-2026-67100 mit CVSS 9.8 und CVE-2026-67101 mit CVSS 9.3. Betroffen sind eine SQL-Injection mit möglicher mandantenübergreifender Preisgabe personenbezogener Daten sowie eine SSRF-Lücke in der Suchfunktion. Unternehmen sollten Internet-Erreichbarkeit, Mandantentrennung und verdächtige Anfragen sofort prüfen.
Was ist passiert?
Für HCL BigFix Service Management sind zwei zusammenhängende Sicherheitsprobleme öffentlich dokumentiert worden. Die erste Schwachstelle, CVE-2026-67100, betrifft laut NVD eine SQL-Injection und zusätzlich eine Schwäche bei der Trennung von Mandanten. Dadurch könnten sensible Systeminformationen sowie vollständige persönliche Profildaten und personenbezogene Informationen organisationsübergreifend zugänglich werden.
Die zweite Schwachstelle, CVE-2026-67101, ist eine Server-Side Request Forgery in der Suchfunktion. Dabei lässt sich der Anwendungsserver zu Anfragen an interne Systeme veranlassen, die von außen eigentlich nicht erreichbar sind.
BigFix Service Management wird typischerweise in Unternehmensumgebungen eingesetzt. Für den DACH-Raum ist das vor allem dort relevant, wo das Produkt mandantenfähig betrieben wird, an interne Backend-Systeme angebunden ist oder aus dem Internet erreichbar bleibt.
Technische Details
CVE-2026-67100 ist mit CVSS 9.8 als kritisch eingestuft, CVE-2026-67101 mit CVSS 9.3 ebenfalls als kritisch. Der CVSS-Basiswert beschreibt die technische Schwere einer Schwachstelle, nicht automatisch ihre tatsächliche Ausnutzung in freier Wildbahn.
Der für CVE-2026-67100 genannte Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Das bedeutet: Ein Angriff ist über das Netzwerk möglich, mit geringer Komplexität, ohne vorherige Berechtigungen und ohne Mitwirkung eines Nutzers; bei Erfolg drohen erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Inhaltlich nennt NVD bei CVE-2026-67100 zwei Risiken in einem Kontext: Zum einen können manipulierte Datenbankabfragen sensible Systemdetails offenlegen. Zum anderen sollen sich Anforderungswerte so verändern lassen, dass ein unberechtigter Zugriff auf vollständige Profil- und personenbezogene Daten über Organisationsgrenzen hinweg möglich wird. Gerade dieser mandantenübergreifende Aspekt ist in gehosteten oder gemeinsam betriebenen Umgebungen besonders heikel.
CVE-2026-67101 beschreibt eine SSRF-Schwachstelle in der Suchfunktion. Solche Fehler sind gefährlich, weil der angreifbare Server selbst Anfragen in interne Netze, an Verwaltungsoberflächen oder an Metadaten- und Hilfsdienste senden kann. Das schafft oft einen indirekten Zugriffspfad auf Systeme, die eigentlich nicht öffentlich adressierbar sind.
Wer ist betroffen?
Betroffen ist HCL BigFix Service Management. Welche konkreten Versionen verwundbar sind, nennt NVD in den vorliegenden Einträgen nicht. Ob bereits korrigierte Releases, Workarounds oder Einschränkungen existieren, lässt sich anhand der verfügbaren Angaben ebenfalls nicht belastbar ableiten.
Besonders aufmerksam sollten Unternehmen sein, wenn BigFix Service Management direkt aus dem Internet erreichbar ist, wenn mehrere organisatorische Einheiten oder Kunden auf derselben Instanz arbeiten oder wenn die Anwendung interne Systeme erreichen kann. Dazu zählen Datenbanken, Verwaltungsnetze, Schnittstellen zu Drittanwendungen und interne Web-Dienste.
Für Privatnutzer spielt das Thema praktisch keine Rolle, weil es sich um ein Unternehmensprodukt handelt.
Empfohlene Maßnahmen
Erstens: Prüfen Sie sofort, ob HCL BigFix Service Management aus dem Internet erreichbar ist. Wenn ja, beschränken Sie den Zugriff kurzfristig auf vertrauenswürdige IP-Bereiche, VPN oder vorgelagerte Zugangswege.
Zweitens: Überprüfen Sie die Mandantentrennung. Kontrollieren Sie, ob Benutzerkonten Daten anderer Organisationseinheiten abrufen können, und testen Sie insbesondere Profilansichten, Suchfunktionen und parameterbasierte Aufrufe.
Drittens: Untersuchen Sie Protokolle auf verdächtige Muster. Relevant sind ungewöhnliche Suchanfragen, auffällige Parameter-Manipulationen, Datenbankfehler, vermehrte 5xx-Antworten sowie ausgehende Verbindungen des Anwendungsservers zu internen Zielen.
Viertens: Segmentieren Sie das System strenger. Der Applikationsserver sollte nur die internen Ziele erreichen dürfen, die für den Betrieb zwingend nötig sind. SSRF-Schäden lassen sich so oft deutlich begrenzen.
Fünftens: Stimmen Sie mit Betrieb, Datenschutz und Fachbereich ab, ob in der Instanz personenbezogene Daten mehrerer Organisationen liegen. Wenn ja, behandeln Sie CVE-2026-67100 als Vorfall mit erhöhter Priorität und prüfen Sie, ob eine forensische Sicherung erforderlich ist.
Sechstens: Beobachten Sie die NVD-Einträge eng auf neue Produkt- und Versionsangaben. Ein Hersteller-Advisory mit Patch-Hinweisen wurde hier nicht übergeben; ob ein Update bereitsteht, ist daher derzeit nicht mit Link belegbar.
Einschätzung von CyberSecurity-News.de
Die technische Risikolage ist ernst. CVE-2026-67100 kombiniert potenziell Datenabfluss, Manipulation und einen mandantenübergreifenden Zugriff auf personenbezogene Informationen. CVE-2026-67101 ist ebenfalls brisant, weil SSRF in Unternehmensanwendungen oft der Einstieg in interne Netze und Management-Zonen ist.
Gleichzeitig ist die Informationslage lückenhaft. Es fehlen hier konkret benannte betroffene Versionen, belastbare Angaben zu Patches und eine offizielle Herstellerverlinkung für Administratoren. Für IT-Teams ist das unbefriedigend, weil gerade bei Unternehmenssoftware schnelle Entscheidungen zu Wartungsfenstern, Segmentierung und möglicher Incident-Response nötig sind.
Für die Priorisierung in Unternehmen gilt dennoch: Wenn BigFix Service Management extern erreichbar ist oder mehrere Mandanten bedient, gehört die Prüfung ganz nach oben auf die Liste. In isolierten, nur intern erreichbaren Einzelmandanten-Umgebungen sinkt das unmittelbare Risiko, verschwindet aber nicht.
Fazit
Unternehmen mit HCL BigFix Service Management sollten CVE-2026-67100 und CVE-2026-67101 umgehend prüfen, auch wenn noch nicht alle Betriebsdetails öffentlich vorliegen. Priorität haben Zugriffsbeschränkungen, Log-Analyse und die Kontrolle der Mandantentrennung. Wenn die Anwendung aus dem Internet erreichbar ist, sollten Sie nicht auf weitere Detailangaben warten, sondern sofort Gegenmaßnahmen einleiten.
