Betriebssicherheits-Checks 2026: die Security-Roundup-Reihe wächst weiter

Mit unserem Security-Roundup von 2025 haben wir begonnen, einzelne Sicherheitsereignisse zusammenhängend zu betrachten statt isoliert. In der Blogpause der letzten Monate sind einige Ereignisse liegen geblieben, die es wert sind, nachgelesen zu werden, und einige Lektionen, die den Betrieb nachhaltig verändert haben. Dieser Beitrag holt das nach und bündelt die wichtigsten Entwicklungen von 2025 bis in das Jahr 2026. Ab sofort erscheinen die Betriebssicherheits-Checks als wiederkehrendes Format; die aktuelle Entwicklung wird künftig in eigenen Beiträgen zu den einzelnen Sicherheitsereignissen fortgeführt.

Frühjahr 2025: eine SSH-Lücke ohne Anmeldung

Im April 2025 wurde eine kritische Schwachstelle in der SSH-Implementierung von Erlang/OTP bekannt: CVE-2025-32433 erlaubt einem Angreifer mit Netzwerkzugriff auf einen betroffenen SSH-Server, vor jeder Authentifizierung beliebigen Code auszuführen. Die Bewertung liegt bei CVSS 10.0, dem Maximum. Betroffen sind Server, die auf der Erlang/OTP-SSH-Bibliothek aufbauen; behoben ist die Lücke in den Versionen OTP-27.3.3, OTP-26.2.5.11 und OTP-25.3.2.20. Zwei Dinge machen diesen Fall lehrreich: Erstens zeigte die interne SSH-Fähigkeit von Anwendungsplattformen wieder einmal, dass Verwaltungszugänge nicht nur die bekannten OpenSSH-Daemonen sind; ein Bestand über laufende SSH-Endpunkte ist Pflicht. Zweitens reichte als Übergangslösung eine Firewall-Regel, aber genau solche Regeln wollen dokumentiert und später wieder entfernt sein.

September 2025: die npm-Welle und der Wurm „Shai-Hulud“

Der September 2025 gehört zu den intensivsten Monaten für die Software-Lieferkette, die wir erlebt haben. Anfang des Monats wurden Kompromittierungen in einer Reihe sehr verbreiteter npm-Pakete bekannt, darunter Pakete mit Milliarden wöchentlicher Downloads, deren aktualisierte Versionen bösartigen Code enthielten. Kurz darauf folgte etwas Neues: ein sich selbst replizierender Wurm, der unter dem Namen „Shai-Hulud“ bekannt wurde. Die CISA stufte das Ereignis als weitreichende Lieferkettenkompromittierung ein und berichtete von über 500 kompromittierten Paketen. Der Ablauf: Gestohlene Zugangsdaten, vor allem Token und Schlüssel für Entwicklerplattformen und Cloud-Dienste, wurden verwendet, um weitere Pakete mit einem bösartigen Installationsskript zu veröffentlichen, das wiederum Zugangsdaten suchte und weiterverbreitete. Die Empfehlungen der CISA lesen sich wie eine Checkliste für jeden Betrieb: Abhängigkeitsbestand prüfen, Paketversionen auf vor dem 16. September 2025 bekannte sichere Stände pinnen, alle Entwickler-Zugangsdaten rotieren, phishing-resistente Mehrfaktor-Authentifizierung auf Entwicklerkonten, und die Netzwerkverbindungen auf verdächtige Endpunkte hin auswerten.

Für uns war das der klarste Beleg der letzten Jahre, dass „wir bauen nur mit Open-Source-Paketen“ keine Sicherheitsstrategie ist. Ein Minimalstandard sind heute Sperrdateien im Versionsstand, ein Bestand über direkte und transitive Abhängigkeiten und ein Prozess, der nach einem solchen Vorfall innerhalb von Stunden statt Tagen eine Antwort geben kann.

Auch das Szenario davor gehört zur Geschichte: Ende August 2025 griffen Angreifer eine verwundbare Workflow-Automatisierung im Umfeld eines verbreiteten Entwicklungswerkzeugs an, stahlen ein Veröffentlichungstoken und verteilten kompromittierte Paketversionen, deren Installationsskript Entwicklermaschinen nach Zugangsdaten und Geheimnissen durchsuchte; Tausende Dateien und weit über tausend Geheimnisse sollen dabei exponiert worden sein. Der Fall und der September zeigen dasselbe Muster aus zwei Richtungen: einmal gezieltes Eindringen in die Build-Pipeline, einmal automatisierte Weiterverbreitung. Darauf zu antworten heißt nicht, jedes einzelne Ereignis zu verfolgen, sondern die Grundmauern so zu bauen, dass beide Klassen keinen dauerhaften Schaden anrichten.

Dezember 2025: Remote Code Execution in React Server Components

Mit CVE-2025-55182 wurde im Dezember 2025 eine Schwachstelle in React Server Components bekannt, erneut mit CVSS 10.0 und erneut ohne Authentifizierungshürde: Ein unsicherer Deserialisierungsfehler erlaubt die Ausführung von Code über Anfragen an Server-Function-Endpunkte. Betroffen sind die Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0 der Pakete react-server-dom-webpack, react-server-dom-turbopack und react-server-dom-parcel; behoben in 19.0.1, 19.1.2 und 19.2.1. Die Lücke fand Eingang in den Katalog der aktiv ausgenutzten Schwachstellen der CISA. Für Hosting-Betreiber ist das eine Wiederholung der Lektion aus dem Next.js-Middleware-Vorfall von 2025: Moderne Web-Frameworks verlagern Logik auf den Server, und damit wird jeder React-Entwickler zu einem unbewussten Serveradministrator. Die Gegenmaßnahme bleibt dieselbe: Versionsstände fest pinnen, Update-Benachrichtigungen der Projekte abonnieren und Patch-Fenster messbar kurz halten.

Was 2026 daraus gemacht hat

Die drei Fälle haben gemeinsam, dass sie nicht durch exotische 0-days in exotischer Software entstanden, sondern in verbreiteter Standardsoftware und Standardabläufen. Die Konsequenz für 2026 ist unspektakulär und genau deshalb wirksam: Bestandsaufnahmen über SSH-Endpunkte und Paketabhängigkeiten, kurze Patch-Fenster, rotierte Zugangsdaten und geübte Meldewege. Dass die Serie in diesem Rhythmus weitergeht, ist Zielsetzung, kein Versprechen auf ein konkretes Thema. Wer Patch-Management und Betriebssicherheits-Checks auslagern möchte, findet auf unserer Support-Seite die laufenden Leistungen.

Quellen

• CISA: „Widespread Supply Chain Compromise Impacting npm Ecosystem“ (23.09.2025; Wurm „Shai-Hulud“, über 500 Pakete, Empfehlungen inkl. Pinning vor dem 16.09.2025), https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem (abgerufen 2026-11-01)

• Sonatype: „npm Software Supply Chain Attack Highlights New Risks“ (Shai-Hulud; chalk/debug-Kampagne 08./09.09.2025; Nx- bzw. „S1ngularity“-Vorfall 26.08.2025), https://www.sonatype.com/blog/ongoing-npm-software-supply-chain-attack-exposes-new-risks (abgerufen 2026-11-01)

• oss-security: „CVE-2025-32433: Unauthenticated Remote Code Execution in Erlang/OTP“ (CVSS 10.0; Fixes OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20), https://openwall.com/lists/oss-security/2025/04/16/2 (abgerufen 2026-11-01)

• OSV-Eintrag CVE-2025-32433 (CVSS 10.0), https://osv.dev/vulnerability/CVE-2025-32433 (abgerufen 2026-11-01)

• NVD: CVE-2025-55182 (Pre-Auth-RCE in React Server Components 19.0.0 bis 19.2.0; CNA Facebook, CVSS 10.0; CISA-KEV-Eintrag 05.12.2025), https://nvd.nist.gov/vuln/detail/CVE-2025-55182 (abgerufen 2026-11-01)

• React-Team: „Critical Security Vulnerability in React Server Components“ (Fixes 19.0.1, 19.1.2, 19.2.1), https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components (abgerufen 2026-11-01)

• Sicherheitsadvisory GHSA-fv66-9v8q-g76r (betroffene Pakete und Fixversionen), https://github.com/advisories/GHSA-fv66-9v8q-g76r (abgerufen 2026-11-01)