Der Warn- und Informationsdienst (WID) des BSI hat am 15. Oktober 2026 eine neue pfSense-Schwachstelle gemeldet. Das Advisory trägt die Kennung WID-SEC-2026-3974, ist mit „hoch" eingestuft und als „[NEU]" gekennzeichnet. Laut der Meldung kann ein entfernter, authentisierter Angreifer eine Lücke in Netgate pfSense ausnutzen, um beliebigen Programmcode mit Administratorrechten auszuführen. Betroffen sein können damit Firewall-Appliances direkt an der Netzwerkkante — also Systeme, deren eigentliche Aufgabe der Schutz des dahinterliegenden Netzes ist.
pfSense-Schwachstelle: Was das Advisory konkret sagt
Die Meldung ist knapp gehalten. Veröffentlicht wurde sie am 15. Oktober 2026 um 13:15:53 UTC. Sie beschreibt eine einzelne Schwachstelle — anders als ältere Feed-Fassungen zu pfSense, die von „mehreren Schwachstellen" sprachen. Der Titel benennt das Schadenspotenzial direkt: das Ausführen von beliebigem Programmcode mit Administratorrechten.
Bemerkenswert ist die Formulierung „entfernter, authentisierter Angreifer". Sie ist der zentrale Punkt der ganzen Warnung und wird in Kurzmeldungen gern überlesen. Denn sie verschiebt die Lücke aus der Kategorie „jeder im Netz kann zuschlagen" in die Kategorie „wer bereits Zugang hat, kann eskalieren".
Warum „authentisiert" die Risikoeinschätzung prägt
Authentisiert heißt nicht harmlos. Es bedeutet, dass der Angreifer gültige Zugangsdaten oder eine bestehende Sitzung benötigt — typischerweise ein Administratorkonto der Weboberfläche. Die Hürde sinkt damit, aber sie verschwindet nicht: Gestohlene oder erratene Zugangsdaten, wiederverwendete Passwörter und Administratorkonten ohne Zwei-Faktor-Authentifizierung bleiben realistische Wege in ein solches System.
Wer die pfSense-Weboberfläche aus dem offenen Internet erreichbar lässt, vergrößert die Angriffsfläche zusätzlich. Genau dieses Muster erklärt auch, warum Hersteller bei ähnlich gelagerten Fällen gern mit dem Argument arbeiten, der Zugriff sei ohnehin Administratoren vorbehalten — und damit die Kritikalität herunterstufen.
Offene Punkte: keine CVE-Nummer, keine Versionen, kein Patch
Das Advisory nennt weder eine CVE-Nummer noch betroffene Versionsstände von pfSense CE oder pfSense Plus, und es enthält keine Angabe zu einem Fix oder Workaround. Der abgerufene Inhalt der BSI-Seite lieferte über die Überschrift hinaus keinen weiteren Fließtext; alle Detailangaben müssten gegen die Originalseite erneut geprüft werden.
Auch aus der Advisory-Übersicht des Herstellers lässt sich kein Bezug ableiten. Dort ist als jüngstes Dokument pfSense-SA-26_22.webgui gelistet, angekündigt am 15. September 2026 und zuletzt aktualisiert am 21. September 2026. Ob es sich bei WID-SEC-2026-3974 um eine bereits dort geführte Lücke handelt, ist daraus nicht ablesbar. Die Nomenklatur benennt jeweils die betroffene Komponente — etwa .webgui, .packages oder .kernel; der weit überwiegende Teil der Liste betrifft die Weboberfläche .webgui.
Eine Diskrepanz bleibt außerdem bestehen: Deutschsprachige Weiterverbreitungen des BSI-Feeds melden pfSense ausdrücklich für pfSense Plus und CE und nennen dabei mehrere Schwachstellen zugleich. Das aktuelle Advisory spricht von einer einzelnen Lücke. Mit den vorliegenden Angaben lässt sich dieser Widerspruch nicht auflösen — er sollte deshalb offen benannt und nicht geglättet werden.
Bekannte pfSense-CVEs: kein belegter Zusammenhang
Wer die Meldung einordnen will, stößt schnell auf zwei ältere Codeausführungs-CVEs aus dem pfSense-Umfeld. Die CVE-Datenbank OpenCVE führt für den Vendor „pfsense" 32 Einträge. Darunter CVE-2025-69691 mit CVSS-v3.1-Score 9.9 (kritisch): pfSense CE 2.8.0 soll über die XMLRPC-API und den Aufruf pfsense.exec_php Codeausführung erlauben. Ebenfalls gelistet: CVE-2025-69690, Score 9.1 (kritisch), für pfSense CE 2.7.2 über den Modul-Installer und eine Backup-Datei mit serialisiertem PHP-Objekt samt post_reboot_commands.
In beiden Fällen bestreitet der Hersteller die Einstufung: Der jeweilige Aufruf sei nur für Administratoren verfügbar, und die Ausführung von PHP-Code dort ausdrücklich beabsichtigt. Ob WID-SEC-2026-3974 mit einem dieser Fälle zusammenhängt, ist nicht belegt und sollte nicht unterstellt werden. Die Ähnlichkeit der Beschreibung — Administratorrechte, Codeausführung — ist kein Beweis, sondern allenfalls eine offene Frage.
Daneben finden sich im Bestand mehrere mittelschwere pfSense-Lücken, darunter CVE-2025-53392 mit Score 5.0 (Directory Traversal über den dlPath-Parameter in diag_command.php, laut Hersteller beabsichtigtes Verhalten der Privilegienstufe) sowie mehrere XSS-Fälle in Suricata- und HAProxy-Diagnoseseiten. Sie zeigen vor allem eines: Die pfSense-Weboberfläche ist historisch das bevorzugte Ziel der gemeldeten Schwachstellen.
Handlungsempfehlung: Advisory-Liste statt Patch-Nummer
Einen Patch gibt es nach dem vorliegenden Stand nicht zu nennen — deshalb an dieser Stelle keine Versionsnummer, sondern der Verweis auf die Primärquellen: die Advisory-Übersicht von Netgate und die Sicherheitsseite des Herstellers. Wer pfSense betreibt, sollte dort in den nächsten Tagen prüfen, ob ein Advisory zu WID-SEC-2026-3974 nachgereicht wird.
Unabhängig davon lohnt der Blick auf die eigene Konfiguration: Zwei-Faktor-Authentifizierung für Administratorkonten, keine Erreichbarkeit der Weboberfläche aus dem offenen Internet, restriktive Regeln für den Verwaltungszugang und zeitnahes Einspielen von Hersteller-Updates. Diese Maßnahmen mindern das Risiko gerade dann, wenn ein Angriff eine gültige Anmeldung voraussetzt.
Die Einstufung „hoch" und die Auswirkung „Codeausführung mit Administratorrechten" sind bei einer Firewall-Appliance ernst zu nehmen. Solange CVE-Nummer, betroffene Versionen und Fix fehlen, bleibt die Lage aber unvollständig bewertbar. Wer jetzt beruhigt auf einen Patch verweist, spekuliert.