libssh2: Öffentlicher PoC-Exploit für Heap-Corruption-Lücke CVE-2026-58050
Sicherheitsforscher haben einen Proof-of-Concept-Exploit für die libssh2-Schwachstelle CVE-2026-58050 veröffentlicht. Ein bösartiger SSH-Server kann damit den Heap eines verbindungsaufbauenden Clients korrumpieren. Betroffen sind alle Versionen bis einschließlich 1.11.1.
Sicherheitsforscher haben einen öffentlichen Proof-of-Concept-Exploit für die libssh2-Schwachstelle CVE-2026-58050 veröffentlicht. Die Lücke ermöglicht es einem bösartigen SSH-Server, den Heap eines verbindungsaufbauenden Clients zu korrumpieren. Betroffen sind alle libssh2-Versionen bis einschließlich 1.11.1.
Was ist passiert?
Die Schwachstelle CVE-2026-58050 (CVSS 7.0) befindet sich in der Bibliothek libssh2, die von zahlreichen Anwendungen für SSH-Verbindungen verwendet wird. Ein bösartiger SSH-Server kann speziell gestaltete Pakete an einen Client senden, der eine Verbindung aufbaut. Dadurch wird der Heap-Speicher des Clients korrumpiert. Dies kann potenziell zu Remotecodeausführung auf dem Client-System führen. Der öffentliche PoC-Exploit demonstriert die Heap-Corruption in der Praxis. Die Schwachstelle wurde am 28. Juni 2026 offengelegt.
Wer ist betroffen?
Betroffen sind alle Versionen von libssh2 bis einschließlich Version 1.11.1. Da libssh2 von vielen Anwendungen statisch gelinkt oder mitgeliefert wird, ist jede Anwendung eigenständig verwundbar und benötigt einen separaten Patch des jeweiligen Herstellers. Betroffen sein können SSH-Clients, SFTP-Tools, Automatisierungs-Software und alle Programme, die libssh2 für SSH-Verbindungen nutzen. Auf Linux-Distributionen wie RHEL 8 und neuer ist libssh2 nicht mehr in der Basis-Distribution enthalten, kann aber über EPEL installiert worden sein.
Wie kritisch ist das?
Die Schwachstelle ist mit CVSS 7.0 als High eingestuft. Der Angriff erfordert, dass ein Opfer eine Verbindung zu einem bösartigen SSH-Server aufbaut. Das ist in der Praxis weniger wahrscheinlich als bei clientseitigen Angriffen, aber in Szenarien wie automatisierten SSH-Verbindungen zu externen Systemen oder bei der Nutzung öffentlicher Git-Server über SSH durchaus realistisch. Es ist keine aktive Ausnutzung bekannt. Der öffentliche PoC ermöglicht jedoch Angreifern die schnelle Übernahme.
Was sollten Admins jetzt tun?
- libssh2 auf die neueste Version aktualisieren, sobald ein Patch verfügbar ist
- Prüfen, welche Anwendungen auf dem System libssh2 nutzen, da statisch gelinkte Programme separat gepatcht werden müssen
- Automatisierte SSH-Verbindungen zu externen oder öffentlichen Servern auf Notwendigkeit prüfen
- Bei Distributionen wie RHEL, Ubuntu oder Debian prüfen, ob libssh2 aus EPEL oder Drittquellen installiert ist
- SSH-Verbindungen nur zu vertrauenswürdigen Servern zulassen
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ist die Schwachstelle relevant, wenn SSH-Verbindungen zu externen Systemen oder öffentlichen Git-Servern hergestellt werden. Besonders Automatisierungs- und Backup-Lösungen, die SFTP nutzen, können betroffen sein. Da libssh2 in vielen Produkten eingebettet ist, ohne dass Administratoren dies wissen, empfiehlt sich eine Überprüfung der installierten Software. Der öffentliche PoC ermöglicht Angreifern, bösartige SSH-Server aufzusetzen und gezielt Opfer zu locken.
Passende Anleitungen auf S-EDV
- libssh2: Kritische Out-of-Bounds-Lücke gefährdet SSH-Infrastruktur – Patches nur als Commits – Bereits im Juni wurden weitere kritische Lücken in libssh2 gemeldet. Kombiniert mit CVE-2026-58050 steigt der Druck für schnelle Patches.
- OpenSSL: Neun Schwachstellen im Sicherheitsrelease vom 9. Juni 2026 – Wenn bereits SSH-Bibliotheken angreifbar sind, sollten auch TLS-Bibliotheken auf dem Patch-Radar stehen.
