Das BSI/CERT-Bund führt seit dem 09.10.2026 die Meldung „[NEU] [UNGEPATCHT] [hoch] GnuTLS: Mehrere Schwachstellen" unter der Kennung WID-SEC-2026-3843. Der Kurztext des BSI-Advisories beschreibt die Lage als entfernt ausnutzbar: Ein anonymer Angreifer kann mehrere GnuTLS Schwachstellen nutzen, um Sicherheitsvorkehrungen zu umgehen, Daten offenzulegen oder zu manipulieren oder einen Denial-of-Service-Zustand auszulösen. Als eine der mit „High" bewerteten Lücken führt das GnuTLS-Projekt CVE-2026-42010, einen Authentication Bypass in der RSA-PSK-Verarbeitung. Einen CVSS-Score nennt die abgerufene BSI-Meldung nicht, und die konkrete CVE-Liste des WID-Advisories war nicht abrufbar. Betroffen sind grundsätzlich alle Systeme, die die TLS-Bibliothek GnuTLS einsetzen — von Linux-Distributionen über VPN- und Mail-Gateways bis zu Appliances.
GnuTLS Schwachstellen: Was das BSI meldet – und was offen bleibt
Die Technischen Sicherheitshinweise des BSI bestätigen die Einstufung „[NEU] [UNGEPATCHT] [hoch]" mit dem Datum 09.10.2026. Die Kategorien des Warn- und Informationsdienstes richten sich an Bundesverwaltung und weitere Organisationen; „[UNGEPATCHT]" bedeutet im WID-Schema, dass zum Redaktionszeitpunkt kein Patch referenziert wird. Genau dort liegt die offene Flanke der Meldung: Ob sie sich auf einen konkreten, bereits adressierten Fehlerblock bezieht, lässt sich aus dem abrufbaren Text nicht ableiten. Weder die CVE-Liste noch CVSS-Werte oder betroffene Produktversionen waren verifizierbar. Für Admins ist der Status damit ein Signal, aber keine belastbare Patch-Anweisung.
Upstream und Distributionen patchen seit Sommer 2026
Die Frage nach dem Patch-Status ist alles andere als trivial, denn für GnuTLS existiert seit Monaten ein umfangreicher Fix-Block. Das GnuTLS-Projekt listet unter dem Datum 2026-04-29 zwölf Advisories (GNUTLS-SA-2026-04-29-2 bis -13) mit CVE-IDs und Schweregraden; die durchgängige Empfehlung lautet, auf GnuTLS 3.8.13 oder neuer zu aktualisieren. Die Upstream-Sicherheitshinweise führen als „High" unter anderem CVE-2026-42010 (Authentication Bypass über RSA-PSK, weil Benutzernamen mit NUL-Zeichen fälschlich auf abgeschnittene Namen gematcht wurden), CVE-2026-33845 (Heap Overrun in der DTLS-Reassembly) und CVE-2026-42009 (Undefined Behaviour bei der DTLS-Paket-Sortierung im qsort-Comparator).
Red Hat und SUSE liefern Distributions-Fixes
Auch die Distributoren haben nachgezogen. Red Hat hat mit RHSA-2026:43575 am 22.07.2026 einen Fix für RHEL 7 Extended Lifecycle Support ausgestellt (Severity „Moderate", Paket gnutls-3.3.29-9.el7_9.2), der sechs GnuTLS-CVEs adressiert. SUSE hat mit SUSE-SU-2026:2923-1 am 13.07.2026 ein Update für SLES 12 SP5 einschließlich LTSS Extended Security veröffentlicht (Rating „moderate", Paket libgnutls30-3.4.17-8.26.1), das ebenfalls sechs CVEs nennt. Wer auf diesen Zweigen unterwegs ist, hat also seit Juli einen Upgrade-Pfad — unabhängig davon, was das WID-Label suggeriert.
Warum „ungepatcht" und „gepatcht" gleichzeitig gelten können
Die Diskrepanz zwischen dem BSI-Status und den verfügbaren Fixes ist kein Widerspruchsbeweis, sondern eine offene Frage. Wahrscheinlich adressiert die WID-Meldung nicht die identische CVE-Menge wie die Upstream-Advisories — denkbar sind andere Produkte und Bundles, ältere Zweige oder ein Disclaimer des Dienstes. Eine belastbare Zuordnung wäre erst mit dem vollständigen Advisory möglich. Klar ist nur: Aus dem Label „[UNGEPATCHT]" allein lässt sich keine Dringlichkeit ableiten. Genau gegen diese Art pauschaler Einstufung lohnt ein prüfender Blick, bevor Change-Fenster kurzfristig umgeplant werden.
Wer betroffen ist und was Admins jetzt prüfen sollten
Eine aktive Ausnutzung ist derzeit nicht belegt. Im Known-Exploited-Vulnerabilities-Katalog von CISA fand sich in der abgerufenen Ansicht kein GnuTLS-Eintrag; der Check deckte allerdings nur die ersten 20 von 1.739 Einträgen ab und ist damit ein Hinweis, kein Nachweis. Die praktische Prüfliste bleibt überschaubar:
- GnuTLS-Version der eingesetzten Pakete bestimmen und mit dem Stand 3.8.13 abgleichen.
- Distributionspakete über den Paketmanager auf den aktuellen Patch-Stand bringen (RHEL 7 ELS, SLES 12 SP5 inkl. LTSS).
- Systeme ohne eigenen Upstream-Zweig identifizieren — Appliances und eingebettete Geräte mit mitgelieferter GnuTLS-Bibliothek sind hier die blinden Flecken.
- Logs und IDS-Signaturen auf DTLS- und RSA-PSK-Auffälligkeiten prüfen, solange die CVE-Zuordnung offen ist.
Fazit
Der BSI-Status „[UNGEPATCHT]" steht bei GnuTLS in Spannung zu dem, was Upstream und Distributionen seit dem Sommer bereitstellen. Für Admins zählt die eigene Versionsprüfung, nicht das Label: Wer GnuTLS 3.8.13 oder neuer fährt oder die Distro-Fixes eingespielt hat, ist beim bekannten Fehlerblock auf der sicheren Seite. Wer ältere Zweige ohne Patch-Pfad betreibt, sollte das zeitnah nachholen — unabhängig davon, ob die WID-Meldung dieselben CVEs meint. Bis der Volltext vorliegt, bleibt die CVE-Zuordnung der Meldung offen und sollte nicht als Begründung für Panik-Updates herhalten.