Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer ILIAS-Schwachstelle: Der Warn- und Informationsdienst (WID) hat den Hinweis WID-SEC-2026-3783 am 12. Oktober 2026 als „[UPDATE] [hoch]" veröffentlicht. Betroffen ist die Open-Source-Lernplattform ILIAS, ein Learning-Management-System, das nach Herstellerangaben Unternehmen, Hochschulen, Schulen und Behörden einsetzen. Laut Kurzbeschreibung kann ein entfernter Angreifer mehrere Schwachstellen ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmechanismen zu umgehen sowie Daten zu manipulieren oder offenzulegen. Was fehlt: konkrete CVE-Nummern, betroffene Versionen, ein CVSS-Score und Angaben zur Patch-Lage.
ILIAS-Schwachstelle: Was der BSI-Hinweis bestätigt
Der Sicherheitshinweis WID-SEC-2026-3783 ist als „hoch" eingestuft und trägt ausdrücklich die Kennzeichnung „UPDATE". Das BSI hat damit einen bereits bestehenden Hinweis überarbeitet, statt eine völlig neue Meldung zu eröffnen. Über welche Änderungen das Update informiert, geht aus den öffentlich abrufbaren Angaben nicht hervor.
Klar ist immerhin die grundsätzliche Wirkungskategorie: Remote Code Execution, das Umgehen von Sicherheitsmechanismen sowie Manipulation und Offenlegung von Daten. Die Technischen Sicherheitshinweise und Warnungen des BSI führen den ILIAS-Hinweis mit Datum 12.10.2026 und erläutern zugleich, an wen sich das Format richtet: WID-Advisories sind primär für die Bundesverwaltung gedacht; die Kurzinfos und Technischen Warnungen lassen sich über den RSS-Feed auch von Unternehmen kritischer Infrastrukturen, CERTs und Bürgern abrufen. Die Liste der aktuellen Kurzinformationen des WID bestätigt das Format aus Titel, Einstufung, Datum und WID-SEC-Nummer.
Keine CVE-Nummern, keine Versionen, kein Patch
Für Admins ist das der entscheidende Punkt: Aus dem Hinweis lassen sich bislang keine betroffenen ILIAS-Versionsstände ableiten. Ohne Versionsangabe ist unklar, ob ein Update auf eine bestimmte Patch-Version genügt oder ob mehrere Versionszweige betroffen sind. Auch ein CVSS-Basisscore und Hinweise auf Workarounds fehlen in den abgerufenen Angaben. Der Volltext des Advisories war beim Abruf nicht zugänglich — diese Lücke gilt es vor jeder Bewertung zu schließen.
Hinzu kommt eine Verwechslungsgefahr, die in Suchmaschinen und Tickettsystemen schnell zu Fehlern führt: Die Kennung WID-SEC-2026-3783 ist nicht mit der CVE-2026-3783 zu verwechseln. Jene CVE betrifft die Bibliothek curl (OAuth2-Bearer-Token-Leak bei HTTP(S)-Redirect) und hat inhaltlich nichts mit ILIAS zu tun; die Nummernähnlichkeit ist reiner Zufall. Dass eine solche Verwechslung naheliegt, zeigt, wie wichtig die saubere Trennung von WID-Kennung und CVE ist.
Ein belastbares Signal zur aktiven Ausnutzung gibt es ebenfalls nicht: Im abgerufenen Auszug des CISA-Katalogs bekannter ausgenutzter Schwachstellen findet sich kein ILIAS-Eintrag. Daraus lässt sich jedoch nicht schließen, dass keine Ausnutzung stattfindet — der Katalog listet nur bestätigte Fälle.
Warum ILIAS ein attraktives Ziel für Angreifer ist
ILIAS ist eine weit verbreitete Open-Source-Plattform, die laut Herstellerangaben seit 1998 existiert und in Unternehmen, Hochschulen, Schulen und Behörden im Einsatz ist. Solche Systeme sind aus zwei Gründen interessant: Sie sind häufig aus dem Internet erreichbar, und sie bündeln sensible Inhalte — Kursmaterialien, Nutzerkonten, teils Prüfungsdaten. Eine Lücke, die Codeausführung erlaubt, wiegt in einem zentralen LMS daher schwerer als in einem isolierten Fachverfahren.
Ein Blick auf die Vorgeschichte zeigt, dass ILIAS kein Neuland für kritische Funde ist. Das SEC Consult Vulnerability Lab dokumentierte 2022 mehrere kritische Schwachstellen, darunter eine authentifizierte OS-Command-Injection (CVE-2022-45915), Stored XSS (CVE-2022-45916), Open Redirect (CVE-2022-45917) und Local File Inclusion (CVE-2022-45918). Diese Funde sind ausdrücklich historisch und dürfen nicht mit dem aktuellen BSI-Hinweis vermischt werden — sie zeigen aber, welche Art von Fehlern in der Plattform bereits aufgetreten ist.
Handlungsempfehlungen für Betreiber
Bis der Advisory-Volltext vorliegt, bleibt Betreibern nur ein umsichtiges Vorgehen. Sinnvoll sind diese Schritte:
- Den Hinweis direkt beim BSI prüfen und die Aktualisierung abwarten, statt auf Sekundärberichte zu vertrauen.
- Betroffene Versionsstände ermitteln: Welche ILIAS-Version läuft produktiv, welche Erweiterungen und Plugins sind aktiv?
- Prüfen, ob die Instanz aus dem Internet erreichbar sein muss — ist das nicht nötig, den Zugriff einschränken.
- Anmeldung, administrative Konten und Logs auf Auffälligkeiten kontrollieren.
- Das BSI-Meldeverfahren für Schwachstellen im Blick behalten, um einzuordnen, wie ein solcher Hinweis zustande kommt.
Fazit
Die Meldung ist ein Weckruf mit offenem Ausgang. Die Einstufung „hoch" und die genannten Auswirkungen sind ernst zu nehmen, doch ohne CVE-Nummern, Versionsangaben und Patch-Info lässt sich die reale Betroffenheit einer konkreten Installation noch nicht bewerten. Administratoren sollten den BSI-Hinweis beobachten und die fehlenden Details direkt bei der Quelle nachtragen, bevor sie Entwarnung geben. Wer ILIAS betreibt, tut gut daran, den Patch-Status seiner Instanz schon jetzt vorzubereiten — nicht erst, wenn der Fix veröffentlicht ist.