Eine GIMP-Schwachstelle unter der WID-ID WID-SEC-2026-3570 soll beliebige Codeausführung und einen Denial of Service ermöglichen. Der CVSS-Base-Score liegt bei 7,8 (hoch), der Temporal-Score bei 6,8 (mittel). Als betroffene Systeme sind Linux, MacOS X, UNIX und Windows genannt. Eine CVE-ID fehlt. Genau daran hängt jede belastbare Patch-Empfehlung: Ohne CVE-Nummer lässt sich weder prüfen, ob das eigene Distributionspaket betroffen ist, noch ob ein bereits eingespieltes Update die Lücke tatsächlich schließt.
GIMP Schwachstelle ohne CVE-ID: Was der Eintrag belegt
Die Erstveröffentlichung datiert auf den 25.09.2026, der aktuelle Stand auf den 19.10.2026. Zwei Felder sind für die Risikobewertung wichtiger als der Score: „Remoteangriff" steht auf „nein", „Mitigation" auf „ja" — ohne dass konkretisiert wird, ob damit Distributions-Updates, ein Workaround oder beides gemeint ist.
Auffällig ist die Produktzeitleiste. Als betroffene Produkte mit Zeitstempel sind Open Source GIMP (25.09.2026), Red Hat Enterprise Linux (05.10.2026), Oracle Linux (06.10.2026), Amazon Linux 2 (13.10.2026) und SUSE Linux (14.10.2026) aufgeführt. Dass Distributions-Paketierer innerhalb von knapp drei Wochen nachziehen, ist das eigentliche Signal: Die Lücke wird ernst genommen, auch wenn die Referenzierung nach außen hin lückenhaft bleibt.
Für Redaktionen, Grafikabteilungen und alle, die GIMP auf Workstations betreiben, auf denen auch fremde Bilddateien verarbeitet werden, ist die fehlende CVE-ID kein Formfehler. Sie verhindert die Zuordnung zum eigenen Patch-Level. Ein Upgrade auf die neueste Distributionsversion hilft zwar meist, ist aber keine gezielte Maßnahme — und lässt sich gegenüber der Geschäftsführung schlecht begründen, solange unklar ist, welcher Fehler damit behoben wurde.
Der Angriffsvektor passt nicht zum Beschreibungstext
„Ein entfernter, anonymer Angreifer kann eine Schwachstelle in GIMP ausnutzen." Das Feld „Remoteangriff" steht dagegen auf „nein". Dieser Widerspruch ist kein redaktionelles Detail, sondern verschiebt die Risikoklasse: Ein netzbasierter Angriff ohne Zutun des Anwenders wäre etwas anderes als das Öffnen einer präparierten Bilddatei durch einen Nutzer.
Zeitlich und inhaltlich am nächsten liegt CVE-2026-62439: ein Integer Overflow im file-pvr-Plug-in bei der Berechnung von Speicherpuffergrößen für Bildabmessungen, der beim Öffnen einer manipulierten PowerVR-Datei (.pvr) zu einem heap-basierten Buffer Overflow führt — mit potenziell beliebiger Codeausführung oder Absturz. Die CVE ist als CWE-190 klassifiziert, trägt den Red-Hat-Schweregrad „Important" und einen CVSS-v3.1-Base-Score von 7,0 mit dem Vektor AV:L/AC:H/PR:N/UI:R. Übersetzt: lokaler Angriffsvektor, hohe Komplexität, keine Privilegien nötig, aber Nutzerinteraktion erforderlich. Der Angreifer muss also eine Datei anliefern, die jemand öffnet — „anonym" bedeutet hier nur „ohne Credentials".
Eine explizite Zuordnung zu WID-SEC-2026-3570 ist über die vorliegenden Quellen nicht belegbar, sie bleibt eine Arbeitshypothese: gleiches Zeitfenster (CVE-Update um 10:49, Veröffentlichung des WID-Eintrags um 15:15 desselben Tages), identisches Schadensbild, Red Hat als zuständige CNA — das passt zur RHEL-Nennung im Eintrag. Für Change-Tickets und Patch-Dokumentation sollte CVE-2026-62439 deshalb nur als vorläufige Referenz dienen, nicht als bestätigte Kennung.
Selbst wenn die Zuordnung stimmt, bleibt eine Bewertungsdifferenz: 7,8 im WID-Eintrag gegen 7,0 in den CVE-Metadaten. Ob anderer Vektor, andere Gewichtung oder anderer Bezugsstand — aus den Materialien ist die Ursache nicht ableitbar. Der für CVE-2026-62439 hinterlegte EPSS-Ausnutzungswert liegt im sehr niedrigen Bereich und taugt nicht als Trendaussage, zumal er ausschließlich diese eine CVE betrifft und nicht die WID-ID.
Integer Overflow als Muster in GIMP-Bildparsern
GIMP erzeugt nicht nur Bilder, es liest sie — und jeder Import ist ein Parser, der fremde Bytes interpretiert. Die Fehlerklasse wiederholt sich über Monate. CVE-2026-58384 beschreibt einen Integer Overflow in read_RLE_channel() im PSD-Parser: Eine zu klein dimensionierte Heap-Allokation für die RLE-Zeilenlängentabelle führt dazu, dass anschließende Schreibvorgänge den Heap korrumpieren. Vergleichbare Fälle aus demselben Muster: CVE-2026-2271 im PSP-Parser (read_creator_block()), CVE-2026-97185 bei einem GIMPressionist-Preset mit fehlender Validierung von Vector-Indizes, CVE-2026-6384 im GIF-Loader (ReadJeffsImage) und CVE-2026-58380 im PNM-Parser, wo pnmscanner_gettoken() den Null-Terminator durch einen Off-by-one ein Byte hinter einen stack-allokierten Puffer schreibt.
Das ist keine Panikmache, sondern eine Strukturaussage: Wer Bilddateien aus unbekannten Quellen öffnet, arbeitet mit einem Angriffsflächen-Zuwachs, der sich nicht mit einem einzelnen Patch erledigt. Für Redaktionsumgebungen heißt das, Bildimporte aus Mailanhängen oder Downloads getrennt vom produktiven Konto zu verarbeiten — ein Containment, das unabhängig von der CVE-Zuordnung wirkt.
Patch-Stand: Was Distributionen tatsächlich liefern
Für Amazon Linux 2 ist seit dem 14.05.2026 ein Fix mit Severity „Medium" verfügbar. Korrigiert werden gimp-2.8.22-1.amzn2.0.15 sowie gimp-libs, gimp-devel, gimp-devel-tools und gimp-debuginfo in derselben Version; eingespielt wird per yum update gimp oder yum update --advisory [ALAS2GIMP-2026-015](https://alas.aws.amazon.com/AL2/ALAS2GIMP-2026-015.html). Wichtig für die Einordnung: Dieses Update adressiert CVE-2026-40915, einen Integer Overflow im FITS-Image-Loader mit anschließender Zero-Byte-Allokation und Heap Buffer Overflow — nicht zwingend die BSI-Schwachstelle.
Für Ubuntu behebt ein Update vom 04.03.2026 mehrere GIMP-Sicherheitsprobleme (USN-8075-1), darunter den Fall, dass die Berechnung der linearen Größe einer DDS-Datei auf 32-Bit-Systemen überlaufen kann. Im Kontext von CVE-2026-62439 sind RHEL 7, 8 und 9 mit dem Paket gimp als „affected" geführt, RHEL 10 als „unaffected", RHEL 6 als „unknown" — ein konkreter Fix-Status je Version ist nicht belegt.
Was Admins jetzt prüfen sollten
Drei Schritte, in dieser Reihenfolge: Erstens die installierte Paketversion gegen die Distributions-Advisories abgleichen und Updates einspielen — das ist unabhängig von der offenen CVE-Frage wirksam. Zweitens beim BSI über die WID-ID nachfassen, ob eine CVE-Zuordnung nachgereicht wird; erst danach lässt sich ein Change-Ticket sauber referenzieren. Drittens die Endnutzer sensibilisieren: Betroffen sind Dateitypen wie .pvr, .psd, .psp, .gif, .pnm, .fits und .dds, und die Nutzerinteraktion ist Teil des Angriffsmodells.
Der niedrige EPSS-Wert und der lokale Vektor sprechen gegen eine breite, automatisierte Ausnutzung. Sie sprechen nicht dagegen, das Patch-Management für Desktop-Software ernst zu nehmen — GIMP steht auf vielen Workstations seit Jahren ohne Update-Zyklus, und genau das ist die Lücke, die der WID-Eintrag offenlegt.