--- title: "Checkmk 2.5.0p19 und 2.4.0p40 schließen drei kritische Lücken zur Codeausführung" date: 2026-11-12T19:23:14+01:00 modified: 2026-11-12T19:23:14+01:00 category: monitoring type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/checkmk-2-5-0p19-2-4-0p40-drei-kritische-luecken-codeausfuehrung keywords: - Checkmk - Monitoring - CVE-2026-118965 - CVE-2026-121374 - CVE-2026-120495 - Sicherheitsupdate - Robotmk reading_time: 4 --- # Checkmk 2.5.0p19 und 2.4.0p40 schließen drei kritische Lücken zur Codeausführung Checkmk hat am 11. November 2026 die Versionen 2.5.0p19 und 2.4.0p40 veröffentlicht. Sie schließen drei Lücken, die der Hersteller jeweils mit CVSS 4.0 9,4 als kritisch einstuft: CVE-2026-118965, CVE-2026-121374 und CVE-2026-120495. Alle drei können dazu führen, dass Angreifer Code auf dem Checkmk-Server ausführen. Checkmk 2.3.0 ist ebenfalls betroffen, erhält als Version ohne Support aber keinen Patch mehr. Betroffen sind alle Checkmk-Installationen mit 2.5.0 und 2.4.0, zwei der Lücken in allen Editionen einschließlich der kostenlosen Community-Edition. Ausnutzen kann sie nur, wer schon einen Fuß in der Tür hat: ein angemeldeter Nutzer mit Rechten zum Bearbeiten von Regeln, eine kompromittierte Remote-Site oder ein kompromittierter überwachter Host. Gerade die erste Variante reicht in vielen Umgebungen aus. Admins sollten das Update deshalb zeitnah einspielen. ## Was ist passiert? Checkmk hatte das Sicherheitsupdate am 6. November im eigenen Forum angekündigt, damit größere Umgebungen ihre Updates planen können. Am 11. November folgten die Versionen mit drei Korrekturen, beschrieben in den sogenannten Werks des Herstellers: - Werk 22120, CVE-2026-118965: Die zentrale Site fragt Remote-Sites nach erkannten Host-Labels und schreibt die Antwort auf die Platte. Weil der Dateiname nicht geprüft wurde, konnte eine bösartige Remote-Site beliebige Dateien auf der zentralen Site schreiben und so Code ausführen. Betroffen sind alle Editionen. - Werk 17994, CVE-2026-121374: Der Spezial-Agent für Kubernetes übernahm Knotenrollen aus einer Regeloption ohne Trennung von seinen eigenen Optionen in seine Kommandozeile. Ein Nutzer, der Regeln bearbeiten darf, konnte so Dateien an beliebige vom Site-Nutzer beschreibbare Orte schreiben, auch ein ausführbares Python-Skript. Betroffen sind alle Editionen. - Werk 22624, CVE-2026-120495: Über manipulierte Agentendaten für den Robotmk-Testdienst ließ sich durch eine Pfadmanipulation eine HTML-Datei mit eigenem Inhalt außerhalb des vorgesehenen Ordners ablegen, was laut Checkmk zur Codeausführung führen kann. Betroffen sind nur die kommerziellen Editionen Pro, Ultimate, Cloud und Ultimate MT. ## Wer ist betroffen? Am breitesten trifft die Kubernetes-Lücke: Laut Checkmk sind alle Sites betroffen, auch solche, die gar kein Kubernetes überwachen, weil der Angreifer die Regel selbst anlegen kann. Nötig ist ein Konto, das in mindestens einem Ordner Regeln bearbeiten darf. Das gilt standardmäßig auch für die Rolle „Normal monitoring user“ mit Rechten auf einen Ordner. Die Lücke mit den Host-Labels betrifft verteilte Installationen mit möglicherweise nicht vertrauenswürdigen Remote-Sites. Für die Robotmk-Lücke muss ein überwachter Host bereits kompromittiert sein, was meist Root-Rechte voraussetzt, und zusätzlich die automatische Service-Erkennung aktiv sein oder ein Admin die Robotmk-Dienste von Hand bestätigen. ## Wie kritisch ist das? Alle drei Lücken setzen einen Zugang voraus, keine ist ohne Anmeldung aus dem Netz ausnutzbar. Hinweise auf Angriffe nennt Checkmk nicht. Der Schaden wäre aber groß: Ein Monitoring-Server kennt viele Systeme, hält oft Zugangsdaten für Agenten und Spezial-Agenten und hat Netzwerkzugriff auf fast alles. Wer dort Code ausführt, hat einen guten Ausgangspunkt für weitere Angriffe. Das ist eine eigene Einschätzung, die Werks beschreiben nur die Codeausführung selbst. ## Was sollten Admins jetzt tun? - Inventar: Version jeder Site prüfen, zum Beispiel mit `omd version` als Site-Nutzer, und verteilte Umgebungen vollständig erfassen. - Patchen: Auf 2.5.0p19 oder 2.4.0p40 aktualisieren. Checkmk empfiehlt, vorher auf 2.5.0p18 beziehungsweise 2.4.0p39 zu gehen, um fremde Änderungen vom Sicherheitsupdate zu trennen. - Altversionen: Sites mit 2.3.0 oder älter auf eine unterstützte Version migrieren. - Rechte prüfen: Kontrollieren, welche Nutzer Regeln bearbeiten dürfen, und überzählige Rechte entziehen. - Übergangslösung für Robotmk: heise nennt als Maßnahme bis zum Update, die Option „Monitor undecided services“ in der Regel „Periodic service discovery“ abzuschalten. - Nach dem Update: Im Checkmk-Forum berichtete ein Nutzer nach dem Update auf 2.5.0p19 über einen Startfehler durch eine veraltete Python-Bibliothek im lokalen Ordner der Site. Eigene Erweiterungen unter `~/local/lib/python3` deshalb vorher prüfen. ## Einordnung für Unternehmen Monitoring-Systeme gelten oft als interne Werkzeuge und laufen entsprechend lange ohne Updates. Die drei Lücken zeigen, warum das riskant ist: Wer Regeln bearbeiten darf, war bisher ein Monitoring-Nutzer, mit diesen Fehlern konnte er Code auf dem Server ausführen. Positiv ist die Vorankündigung des Herstellers fünf Tage vor dem Update, die Teams Zeit zur Planung gab. Wer Checkmk auf einem NAS oder in Docker betreibt, sollte prüfen, ob das Image bereits auf die neue Version zeigt. ## Passende Anleitungen auf S-EDV - [Checkmk auf dem Synology NAS installieren: professionelles IT-Monitoring](https://s-edv.com/anleitungen/checkmk-synology-it-monitoring) - [Prometheus mit Docker installieren: Monitoring-Stack mit Grafana und Alertmanager](https://s-edv.com/anleitungen/prometheus-docker-monitoring-stack) - [LibreNMS mit Docker Compose: SNMP-Netzwerk-Monitoring für KMU selbst hosten](https://s-edv.com/anleitungen/librenms-docker-compose-netzwerk-monitoring-selfhosting) ## Quellen - [Checkmk: Werk 22120 zu CVE-2026-118965](https://checkmk.com/werk/22120) - [Checkmk: Werk 17994 zu CVE-2026-121374](https://checkmk.com/werk/17994) - [Checkmk: Werk 22624 zu CVE-2026-120495](https://checkmk.com/werk/22624) - [Checkmk-Forum: Ankündigung des Sicherheitsupdates](https://forum.checkmk.com/t/upcoming-checkmk-security-release-2-4-0p40-and-2-5-0p19/60794) - [Checkmk-Forum: Veröffentlichung von 2.5.0p19](https://forum.checkmk.com/t/release-checkmk-stable-release-2-5-0p19/60834) - [heise online: Bericht zu den Checkmk-Updates](https://www.heise.de/news/Monitoring-Software-Checkmk-Updates-schliessen-kritische-Codeschmuggel-Lecks-11522043.html)