Kritische Sicherheitslücke in DbGate (CVE-2026-47668) ermöglicht Code-Ausführung

Was ist passiert?

In DbGate, einem plattformübergreifenden Datenbankmanager, wurde eine kritische Sicherheitslücke (CVE-2026-47668) entdeckt. Diese betrifft Versionen 7.1.8 und älter. Angreifer können über den JSON-Skript-Runner (`POST /runners/start`) durch Code-Einschleusung im `functionName`-Parameter von `assign`-Befehlen beliebigen Code ausführen (Remote Code Execution, RCE). Der eingeschleuste Code wird direkt in dynamisch generierten JavaScript-Quellcode eingefügt und in einem separaten Node.js-Child-Prozess ausgeführt.

Wer ist betroffen?

Betroffen sind alle Unternehmen, die den Datenbankmanager DbGate in den Versionen 7.1.8 oder älter einsetzen. Nutzer dieser Software sind einem hohen Risiko ausgesetzt, da die Schwachstelle eine vollständige Kompromittierung des Systems ermöglichen kann. Es ist entscheidend, die eingesetzte Version zu überprüfen.

Wie kritisch ist es?

Die Schwachstelle weist einen CVSS-Score von 10.0 auf, was die höchste Kritikalitätsstufe 'CRITICAL' bedeutet. Dies deutet auf ein extrem hohes potenzielles Risiko hin, da die Ausnutzung weitreichende Folgen haben kann. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 4 %, was eine ernstzunehmende Gefahr darstellt. Derzeit ist die Schwachstelle laut CISA KEV nicht aktiv ausgenutzt.

Was ist jetzt zu tun?

Es wird dringend empfohlen, DbGate umgehend auf Version 7.1.9 oder höher zu aktualisieren, da diese Version einen Patch für die Sicherheitslücke enthält. Überprüfen Sie alle Systeme, auf denen DbGate installiert ist, und planen Sie das Update zeitnah ein. Stellen Sie sicher, dass Ihre IT-Verantwortlichen die Aktualisierung gemäss den Herstelleranweisungen durchführen, um die Sicherheit Ihrer Datenbanken zu gewährleisten.

Quellen: NVD (CVE-2026-47668), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.