Das BSI führt im Warn- und Informationsdienst eine Meldung zu mehreren OpenSSH-Schwachstellen unter der Kennung WID-SEC-2026-2221, eingestuft als „mittel". Als mögliche Folgen nennt das Advisory nicht näher spezifizierte Angriffe, Denial of Service, die Offenlegung von Informationen, die Manipulation von Dateien sowie das Umgehen von Sicherheitsvorkehrungen. Betroffen sind Linux, UNIX und Windows — also faktisch jede Umgebung, die SSH-Zugänge betreibt. Unklar bleibt, welche Schwachstellen konkret gemeint sind: Die vorliegenden Quellen nennen drei unterschiedliche CVE-Nummernkreise und drei verschiedene Fix-Versionen.
OpenSSH-Schwachstellen: Was das BSI-Advisory meldet
Die Meldung ist nicht neu. Die Erstveröffentlichung datiert auf den 7. Juli 2026, die letzte Quell-Aktivität auf den 30. September 2026 — rund 85 Tage, in denen die kuratierte Zusammenfassung auf hlukh.ch die Einstufung „medium" führt. Der offizielle BSI-Eintrag zu WID-SEC-2026-2221 ließ sich beim Abruf nicht auslesen: Die Seite liefert ihren Inhalt über eine JavaScript-Oberfläche aus, sichtbar war nur der Seitentitel „Warn- und Informationsdienst". Eine unabhängige Kontrolle des Originaltexts ist damit erschwert.
Als belastbarste Quelle für den Inhalt erweist sich derzeit die maschinenlesbare CSAF-Reproduktion des Advisories bei CIRCL. Sie beziffert die betroffenen Produkte auf 15 und führt 28 Referenzen — darunter acht CVEs aus dem Kreis CVE-2026-59995 bis CVE-2026-60002.
Drei CVE-Sätze, drei Fix-Versionen — die Lage ist widersprüchlich
Wer aus den verfügbaren Quellen ein eindeutiges Patch-Ziel ableiten will, landet in einer Sackgasse. edv-future.de nennt fünf CVEs — CVE-2026-35385 bis -35388 sowie CVE-2026-35414 —, einen CVSS-Score von 7,5, einen möglichen Fernangriff und als Fix die Version OpenSSH 10.3. Die SentinelOne-Schwachstellendatenbank beschreibt dagegen CVE-2026-73282, eine Use-after-Free-Lücke im OpenSSH-Client beim Remote-Forwarding, mit CVSS 4,8. Zwischen den Angaben kursieren Fix-Versionen von 10.3 bis 10.5. Keine Quelle ordnet einen dieser Nummernkreise eindeutig demselben Advisory zu.
Auf Herstellerseite ist dagegen ein konkreter Patch belegt: Red Hats Errata-Meldung RHSA-2026:22648 stuft die Lücken für RHEL 9.2 (Update Services for SAP Solutions) als „Important" ein und benennt mit CVE-2026-35385, -35386, -35387, -35388 und -35414 exakt dieselbe Gruppe wie edv-future.de. Ein weiteres Red-Hat-Update, RHSA-2026:25063, wird nur sekundär genannt und ist über eine Red-Hat-Primärquelle nicht verifiziert.
Warum Vorsicht bei CVE-2026-73282 angebracht ist
Der Eintrag zu CVE-2026-73282 weist „Known Exploited: No" und einen EPSS-Wert von 0,16 Prozent aus — eine aktive Ausnutzung ist dort nicht belegt. Zusätzliche Skepsis ist angebracht, weil der Beitrag sich selbst als KI-generiert kennzeichnet und die einzige Quelle für diese CVE und die Fix-Version 10.5 ist. Bis zur Gegenprüfung taugt er nicht als Entscheidungsgrundlage.
Remote-Angriff möglich, Schweregrad umstritten
Deutlicher als die CVE-Frage ist die Angreifbarkeit: Der Angriffsvektor wird als remote beschrieben, ein Fernangriff ist also möglich. Das erhöht die Dringlichkeit, obwohl die Einstufungen auseinanderlaufen. Das BSI führt die Meldung als „mittel", der referierte CVSS-Score liegt bei 7,5 und damit ebenfalls im mittleren Bereich, während Red Hat für RHEL 9.2 „Important" vergibt. Diese Diskrepanz ist nicht aufgelöst — sie dürfte aus unterschiedlichen Bewertungsmaßstäben und Produktkontexten stammen, ist aber kein Grund, das Thema zu vertagen.
Was Administratoren jetzt tun sollten
Statt auf eine einzelne Upstream-Versionsnummer zu warten, führt der verlässliche Weg über die Distributor-Patches. Für RHEL-9.2-Umgebungen mit Update Services for SAP Solutions ist das Vorgehen über RHSA-2026:22648 dokumentiert. OpenSSH wird in der Praxis fast immer über die Distribution bezogen und nicht direkt vom Upstream — entscheidend ist deshalb der Stand im Paketmanager, nicht die Nummer der Referenzimplementierung. Wer aus anderen Quellen bezieht, sollte die Paketversionen prüfen und die Herstellerkanäle beobachten, bis CVE-Zuordnung und Fix-Versionen geklärt sind.
Sinnvoll ist außerdem, die eigene Angriffsfläche zu prüfen: Welche Systeme bieten SSH nach außen an, und lässt sich der Zugang auf bekannte Netze einschränken? Ein Blick in die Logs auf ungewöhnliche Verbindungsmuster kostet wenig und hilft, falls aus einer theoretischen Lücke doch ein Vorfall wird.
Fazit
Das BSI-Advisory WID-SEC-2026-2221 markiert ein reales Risiko für nahezu jede SSH-Umgebung, lässt aber zentrale Fragen offen: welche CVEs genau betroffen sind und welche Version sie schließt. Solange die Quellenlage widersprüchlich bleibt, ist die ehrliche Antwort auf die naheliegende Frage nach der richtigen Version ein „noch nicht gesichert". Administratoren fahren am besten damit, die Distributor-Updates einzuspielen, die Zuordnung weiter zu beobachten und die Dringlichkeit nicht an einer einzelnen Zahl festzumachen.