Kritische Schwachstelle in LibreNMS: Authentifizierungs-Bypass in der REST API (CVE-2026-86426)
Eine kritische Sicherheitslücke (CVE-2026-86426) wurde in LibreNMS-Versionen vor 26.8.0 entdeckt. Angreifer können die REST API, eine Schnittstelle für den Datenaustausch, nutzen, um die Authentifizierung zu umgehen.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-86426) wurde in LibreNMS-Versionen vor 26.8.0 entdeckt. Angreifer können die REST API, eine Schnittstelle für den Datenaustausch, nutzen, um die Authentifizierung zu umgehen. Dies geschieht, indem sie numerische Werte anstelle von Zeichenketten-Tokens senden und eine MySQL-Typumwandlung ausnutzen. Dadurch erhalten sie Zugriff auf geschützte API-Funktionen, einschliesslich Gerätezugangsdaten und administrativen Funktionen, die sogar die Ausführung von Remote Code ermöglichen.
Wer ist betroffen?
Betroffen sind alle Unternehmen, die LibreNMS in Versionen vor 26.8.0 einsetzen. Insbesondere sind Systeme gefährdet, deren REST API öffentlich zugänglich ist oder von internen Angreifern erreicht werden kann. Die Schwachstelle ermöglicht unautorisierten Zugriff auf sensible Daten und Systemfunktionen.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als "CRITICAL" eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 2 %. Obwohl die Schwachstelle derzeit nicht in der CISA KEV-Liste für aktiv ausgenutzte Schwachstellen geführt wird, ist das Potenzial für schwerwiegende Schäden erheblich.
Was ist jetzt zu tun?
Unternehmen sollten umgehend prüfen, welche LibreNMS-Version im Einsatz ist. Ist eine Version vor 26.8.0 installiert, muss diese schnellstmöglich auf Version 26.8.0 oder höher aktualisiert werden. Bis zur Aktualisierung sollten, falls möglich, der Zugriff auf die REST API eingeschränkt und zusätzliche Sicherheitsmassnahmen wie eine Web Application Firewall (WAF) in Betracht gezogen werden.
Quellen: NVD (CVE-2026-86426), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.