Kurzfassung
Mit CVE-2026-86325 und CVE-2026-91135 sind zwei kritische Speicherfehler bekannt geworden, die unterschiedliche Produkte und Einsatzszenarien betreffen. Besonders schwer wiegt CVE-2026-86325 mit CVSS 9.4, kritisch: Ein angemeldeter Nutzer mit niedrigen Rechten kann über die Web-Verwaltung eines Protokoll-Gateways Speicher korrumpieren und damit Vertraulichkeit, Integrität und Verfügbarkeit des Systems gefährden. CVE-2026-91135 betrifft Apache Thrift vor Version 0.25.0 und kann in C++-Anwendungen mit aktivierter ZLIB-Transformation zu einem Heap-Overflow führen.
Was ist passiert?
Im Mittelpunkt stehen zwei voneinander unabhängige Schwachstellen, die beide auf unsaubere Grenzenprüfungen bei Speicheroperationen zurückgehen.
CVE-2026-86325 betrifft die Kontenverwaltung in Protokoll-Gateways. Dort wird ein zu langer Wert im Parameter account_name nicht ausreichend geprüft. Greift ein bereits angemeldeter Benutzer über die Web-Oberfläche auf die Kontenverwaltung zu und übermittelt gezielt präparierte Eingaben, kann das den Programmablauf beeinflussen. Laut NVD sind dadurch das Auslesen sensibler Informationen aus dem Gerätespeicher, Änderungen an Speicherinhalten und Ausfälle des Geräts möglich.
CVE-2026-91135 steckt in Apache Thrift, genauer in der C++-Komponente THeaderTransport. Wenn eine Anwendung die ZLIB-Transformation für gesendete Frames aktiviert hat, kann komprimierter Inhalt in einen zu kleinen Schreibpuffer kopiert werden. Das führt zu einem Heap-basierten Buffer Overflow. Apache nennt als betroffen alle Versionen vor 0.25.0.
Für Unternehmen im DACH-Raum ist die Relevanz unterschiedlich: Die Gateway-Lücke ist vor allem dort kritisch, wo solche Geräte produktionsnah oder in verteilten OT-/IoT-Umgebungen per Web-Management administriert werden. Die Thrift-Lücke ist dagegen ein typisches Lieferketten- und Komponentenrisiko für eigene Anwendungen, Appliances und eingebettete Produkte, die Apache Thrift intern nutzen.
Technische Details
CVE-2026-86325 ist ein stack-basierter Buffer Overflow in der Account-Verwaltung von Protokoll-Gateways. Ursache ist eine unzureichende Längenprüfung des Parameters account_name. Der hinterlegte CVSS-Basiswert liegt bei 9.4 und beschreibt die technische Schwere, nicht automatisch eine bereits beobachtete Ausnutzung. Der Vektor bedeutet hier: Angriff über das Netzwerk, geringe Angriffskomplexität, keine Nutzerinteraktion, aber ein vorhandenes Benutzerkonto mit niedrigen Rechten ist nötig.
Die Folgen sind gravierend, weil ein Stack-Overflow nicht nur Abstürze verursachen kann, sondern auch den Kontrollfluss der Anwendung beeinflusst. NVD beschreibt mögliche Auswirkungen auf alle drei klassischen Schutzziele sowie auf nachgelagerte Systemeigenschaften: vertrauliche Daten aus dem Speicher könnten ausgelesen, Speicherinhalte verändert und die Verfügbarkeit des Geräts gestört werden.
CVE-2026-91135 ist ein Heap-basierter Buffer Overflow in Apache Thrift C++ THeaderTransport. Problematisch wird die Funktion THeaderTransport::transform(), wenn ZLIB für ausgehende Frames aktiv ist. Daten, die sich schlecht komprimieren lassen, können unter Kompression anwachsen. Wird das Ergebnis dann ohne ausreichende Größenkontrolle in den Schreibpuffer kopiert, schreibt der Code über das Ende des Heap-Puffers hinaus. Bei großen Frames kann zusätzlich aus dem Transformationspuffer hinaus gelesen werden.
Für CVE-2026-91135 nennt NVD einen CVSS-4.0-Basiswert von 9.2. Anders als bei CVE-2026-86325 ist laut Vektor keine Authentifizierung nötig. Praktisch hängt das Risiko aber stark davon ab, ob eine Anwendung überhaupt Apache Thrift in C++ einsetzt, THeaderTransport verwendet und die ZLIB-Transformation eingeschaltet hat.
Wer ist betroffen?
Direkt betroffen von CVE-2026-86325 sind Protokoll-Gateways mit einer verwundbaren Web-Oberfläche zur Kontenverwaltung. Welche Hersteller, Modellreihen oder Firmware-Stände konkret dazugehören, geht aus den NVD-Informationen nicht hervor. Für Betreiber solcher Geräte ist das ein Problem, weil sich die Betroffenheit nicht allein über die CVE-Beschreibung sicher eingrenzen lässt.
Von CVE-2026-91135 betroffen ist Apache Thrift vor Version 0.25.0. Relevant ist das für Softwarehersteller, interne Entwicklungsteams und Betreiber von Produkten, die Apache Thrift als Bibliothek eingebunden haben. Besonders prüfen sollten Sie C++-basierte Dienste, Middleware, Appliances und Eigenentwicklungen, in denen THeaderTransport mit ZLIB genutzt wird.
Für klassische Office-Umgebungen ohne Bezug zu OT-Gateways oder selbst entwickelte Backend-Dienste ist die unmittelbare Relevanz meist begrenzt. In Produktionsnetzen, bei Fernwartungszugängen und in Umgebungen mit proprietären Gateways oder eingebetteten Geräten sieht das anders aus.
Empfohlene Maßnahmen
1. Priorisieren Sie die Bestandsaufnahme. Prüfen Sie zuerst, ob in Ihrer Umgebung Protokoll-Gateways mit Web-Management im Einsatz sind und ob Produkte oder Eigenentwicklungen Apache Thrift in Versionen vor 0.25.0 enthalten.
2. Aktualisieren Sie Apache Thrift auf Version 0.25.0 oder höher, wenn Ihre Anwendungen betroffen sind. Das ist derzeit die klarste und konkret benannte Abhilfemaßnahme für CVE-2026-91135.
3. Begrenzen Sie bei potenziell betroffenen Gateways die Erreichbarkeit der Web-Verwaltung sofort auf vertrauenswürdige Admin-Netze. Setzen Sie wenn möglich VPN, Jump-Hosts, IP-Filter und strikte Netzwerksegmentierung ein. Da für CVE-2026-86325 bereits ein Konto mit Leserechten ausreicht, sollten auch vermeintlich harmlose Benutzerrollen überprüft und minimiert werden.
4. Kontrollieren Sie lokale und zentrale Benutzerkonten auf den betroffenen Geräten. Entfernen Sie nicht mehr benötigte Read-only-Zugänge, rotieren Sie Zugangsdaten und prüfen Sie, ob gemeinsame Konten oder Standardkonten im Einsatz sind.
5. Sichten Sie Protokolle der Web-Verwaltung und Anwendungslogs auf ungewöhnliche Kontoverwaltungsaufrufe, Abstürze, Speicherfehler oder unerklärliche Neustarts. Bei Thrift-basierten Diensten sind auch Crash-Dumps und Telemetrie zu Transportfehlern relevant.
6. Binden Sie die Prüfung in Ihr Schwachstellenmanagement und Ihre SBOM-Prozesse ein. Gerade CVE-2026-91135 ist ein typischer Fall, in dem Bibliotheken tief in Produkten verborgen sind und nicht im normalen Softwareinventar auftauchen.
Ob für die von CVE-2026-86325 betroffenen Protokoll-Gateways bereits ein Patch bereitsteht, ist aus den verfügbaren Informationen nicht ersichtlich.
Einschätzung von CyberSecurity-News.de
Die Kombination dieser beiden Meldungen zeigt ein bekanntes Muster: Kritische Speicherfehler sind technisch schwerwiegend, aber operativ nur dann richtig einzuordnen, wenn Hersteller und Betreiber ihre Produktabhängigkeiten offenlegen. Bei CVE-2026-91135 ist die Lage vergleichsweise klar, weil Apache die betroffene Versionsspanne bis 0.25.0 nennt und die Zielversion zur Behebung benennt.
Deutlich schwieriger ist CVE-2026-86325. Die technische Beschreibung ist aussagekräftig, die praktische Einordnung für Admins aber unvollständig, solange konkrete Hersteller-, Modell- oder Versionsangaben fehlen. Für Betreiber bedeutet das unnötige Sucharbeit im Bestand. Gerade bei Gateways an der Schnittstelle zwischen IT und OT ist das problematisch, weil solche Systeme oft lange Laufzeiten haben und nicht immer sauber inventarisiert sind.
Verglichen mit vielen allgemeinen CVE-Meldungen ist CVE-2026-86325 für betroffene Umgebungen ernster zu nehmen als die bloße Voraussetzung „nur mit Anmeldung“ vermuten lässt. Wenn bereits ein Read-only-Konto genügt, fällt eine wichtige Schutzbarriere weg. CVE-2026-91135 ist ebenfalls kritisch, aber in der Praxis besser beherrschbar, sofern Entwicklungs- und Plattformteams ihre Abhängigkeiten kennen und Updates zeitnah ausrollen.
Fazit
Prüfen Sie jetzt zwei Dinge parallel: verwundbare Protokoll-Gateways mit Web-Management und Apache-Thrift-Abhängigkeiten vor Version 0.25.0. Wo Sie die Betroffenheit nicht sofort ausschließen können, sollten Sie Management-Zugänge einschränken, Konten bereinigen und Updates beziehungsweise Neu-Builds priorisieren.
