close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n Admins und Nutzer sollten Ausschau nach Aktualisierungen f\u00fcr diverse Softwarepakete halten. Die libssh2-Bibliothek, die weit verbreitet zum Einsatz kommt, enth\u00e4lt eine kritische Sicherheitsl\u00fccke. Ein ver\u00f6ffentlichter Proof-of-Concept-Exploit vereinfacht deren Ausnutzung durch b\u00f6sartige Akteure deutlich.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Im Schwachstelleneintrag hat<\/a> die US-amerikanische IT-Sicherheitsbeh\u00f6rde CISA inzwischen die freie Verf\u00fcgbarkeit des Proof-of-Concept-Exploits erg\u00e4nzt. Die Sicherheitsl\u00fccke basiert auf einer nicht erfolgten Begrenzung des \u201epacket_length\u201c-Feldes bei der Verarbeitung in der Funktion ssh2_transport_read(). Angreifer aus dem Netz k\u00f6nnen das missbrauchen, um mit \u00fcberm\u00e4\u00dfig gro\u00dfen \u201epacket_length\u201c-Werten in manipulierten SSH-Paketen den Speicher auf dem Heap durcheinander zu bringen und dabei das Ausf\u00fchren von eingeschleustem Code zu provozieren (CVE-2026-55200, CVSS 9.8, Risiko \u201ekritisch\u201c).<\/p>\n Wenn Angreifer Opfer dazu bringen, sich mit ihrer Client-Software mit manipulierten Servern zu verbinden, k\u00f6nnen sie ihnen damit Schadcode unterjubeln. Projekte wie curl, PHP, libgit2 und diverse weitere setzen libssh2 ein. libssh2 ist bis einschlie\u00dflich Version 1.11.1 anf\u00e4llig. Noch immer ist das die letzte verf\u00fcgbare offizielle Version, der Patch ist derzeit lediglich als Quellcode-Commit verf\u00fcgbar. Diverse Linux-Distributionen stellen jedoch aktualisierte Pakete mit eigenen Backports bereit.<\/p>\n Z\u00fcgig aktualisieren<\/p>\n Unter Linux sollte also das Aufrufen der Softwareverwaltung und die Installation der angebotenen Aktualisierungen zum Ziel f\u00fchren. Etwa unter Windows wird das jedoch schwieriger. Die offiziellen curl-Binaries f\u00fcr Windows<\/a> 8.21.0_2 vom 24. Juni 2026 sind etwa noch statisch mit libssh2 1.11.1 verlinkt, die die Sicherheitsl\u00fccke aufweist. Zwar macht das curl-Team im \u201eSommer der Gl\u00fcckseligkeit\u201c Urlaub<\/a> \u2013 allerdings d\u00fcrfte der Bedarf nach einer Aktualisierung seitens der zahlenden Supportkunden nun wachsen und in K\u00fcrze eine Aktualisierung bereitstehen. <\/p>\n
\n English<\/a>.<\/p>\n