OpenSSH: BSI warnt vor ungepatchten Schwachstellen

Mehrere OpenSSH-Schwachstellen sind Gegenstand einer neuen Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Der Warn- und Informationsdienst (WID) führt sie unter der Kennung WID-SEC-2026-3970, veröffentlicht am 15. Oktober 2026, mit den Einstufungen [NEU], [UNGEPATCHT] und [hoch]. Ein Angreifer kann dem Hinweis zufolge Administratorrechte erlangen, Sicherheitsmaßnahmen umgehen sowie Daten manipulieren oder offenlegen. Eine CVE-Nummer nennt die Meldung nicht; betroffene Versionen und Plattformen bleiben offen.

OpenSSH ist der De-facto-Standard für verschlüsselten Fernzugriff und Dateitransfer auf Servern, Netzwerkkomponenten und in vielen Cloud-Umgebungen. Eine als „hoch" eingestufte Lücke trifft damit praktisch jede größere Infrastruktur – vom kleinen Root-Server bis zum Rechenzentrum. Genau deshalb ist die dünne Faktenlage der Meldung das eigentliche Problem.

OpenSSH-Schwachstellen: Was die neue BSI-Warnung bislang offenlässt

Die Originalmeldung ist beim Warn- und Informationsdienst des BSI abrufbar. In der abgerufenen Fassung liefert die Seite allerdings nur den Seitentitel „Warn- und Informationsdienst" – die inhaltlich entscheidenden Angaben fehlen. Es gibt weder eine CVE-Zuordnung noch einen CVSS-Score, weder eine Liste betroffener Versionen noch Hinweise zu Angriffsvektoren oder Exploits. Risikostufe und Kategorie sind gesetzt, die technische Substanz fehlt.

Ein Blick auf eine ältere, ähnlich betitelte Meldung zeigt, wie ausführlich solche Hinweise normalerweise ausfallen. edv-future.de listet für die Kennung WID-SEC-2026-2221 vom 7. Juli 2026 konkrete CVE-Nummern, einen CVSS-Wert sowie betroffene Distributionen. Diese Angaben betreffen jedoch eine dritte, ältere Kennung – sie gehören nicht zu WID-SEC-2026-3970 und dürfen nicht auf die aktuelle Warnung übertragen werden. Wer die Meldungen gleichsetzt, überschätzt die Informationslage erheblich.

Was die Kennzeichnung „[UNGEPATCHT]" praktisch bedeutet

Die Kennzeichnung [UNGEPATCHT] heißt nicht zwingend, dass es weltweit keinen Fix gibt – sie beschreibt den Stand zum Redaktionsschluss des Hinweises: Ein offiziell verfügbarer Patch ist zum Zeitpunkt der Veröffentlichung nicht vermerkt. Für Admins bedeutet das vor allem Unsicherheit. Solange CVE-Zuordnung und Versionsangaben fehlen, lässt sich kaum eingrenzen, welche Systeme konkret betroffen sind.

Die beschriebenen Auswirkungen sind gewichtig: Administratorrechte, das Umgehen von Sicherheitsmaßnahmen sowie die Manipulation oder Offenlegung von Daten sind typische Folgen von Fehlern in Authentifizierung, Rechteprüfung oder Speicherverwaltung. Ob es sich tatsächlich um solche Klassen handelt, ist aus dem vorliegenden Material nicht belegt – das BSI nennt keine CWE-Klasse. Ebenso wenig gibt es Hinweise auf einen kursierenden Exploit oder eine beobachtete Ausnutzung. Die Einstufung „hoch" ist ernst zu nehmen, aber kein Grund für Alarmismus: Ohne Proof-of-Concept, CVE und Versionsliste bleibt die konkrete Bedrohungslage nicht bewertbar.

Nicht verwechseln: Die bereits gepatchten Fixwellen 10.3 und 10.4

OpenSSH hat 2026 bereits zwei dokumentierte Fixwellen hinter sich – beide sind geschlossen und gehören nicht zur aktuellen Warnung. Die erste betrifft Version 10.3 mit den CVEs CVE-2026-35385 bis CVE-2026-35414. Für AIX und VIOS liefert das IBM Security Bulletin technische Einzelbeschreibungen inklusive CVSS-Base-Scores, CVSS-Vektoren, CWE-Klassen und den betroffenen Systemversionen.

Die zweite Welle schloss mit OpenSSH 10.4 beziehungsweise 10.4p1 die CVEs CVE-2026-59995 bis CVE-2026-60002, wie das gmCSIRT in seinem Advisory festhält. Das Canadian Centre for Cyber Security bestätigt in der Meldung AV26-658, dass Versionen vor 10.4 betroffen waren.

Beide Fixwellen taugen nicht als Beleg für die neue ungepatchte Warnung. Sie sind andernorts abgearbeitet und dienen hier nur als Kontext – etwa für die Frage, ob im eigenen Bestand noch ältere Stände laufen.

Was Admins jetzt tun sollten

Die praktikabelste Reaktion ist Nachverfolgung statt Aktionismus:

Den Hinweis WID-SEC-2026-3970 beobachten und auf die Nachlieferung von CVE-IDs und Versionsangaben warten.
Ein Inventar der im Einsatz befindlichen OpenSSH-Versionen erstellen – ohne Versionsliste lässt sich Betroffenheit nicht eingrenzen.
Bei noch offenen Ständen aus den 2026er Wellen auf die 10.4er-Linie aktualisieren, sofern nicht bereits geschehen.
Fernzugriff härten: Zugriff auf notwendige Adressen und Konten begrenzen, Logging aktivieren, ungewöhnliche Anmeldeversuche beobachten.
Einen Patchplan vorbereiten, damit ein kurzfristig erscheinender Fix zügig ausgerollt werden kann.

Wer OpenSSH bislang nicht als eigenes Patch-Thema führt, sollte das spätestens jetzt tun. Der Dienst sitzt auf nahezu jedem Server und ist damit ein attraktives Ziel; die beiden 2026er Wellen zeigen, dass Schwachstellen hier gebündelt auftreten können.

Fazit

Die neue BSI-Warnung ist eine Dringlichkeitsmeldung ohne technische Details. Bis CVE-Zuordnung, Versionsangaben und Patchstand nachgeliefert sind, bleibt Admins nur, die Meldung eng zu verfolgen und die eigene OpenSSH-Landschaft zu kennen. Wer die bekannten 2026er Lücken aus den Wellen 10.3 und 10.4 bereits geschlossen hat, ist für die dokumentierten Fälle auf der sicheren Seite – für WID-SEC-2026-3970 gilt das ausdrücklich noch nicht.

Quellen