X.Org: 17 Sicherheitslücken in libX11, libXi und weiteren X-Bibliotheken

Das X.Org-Sicherheitsteam hat am 16. Oktober 2026 ein Advisory zu 17 Sicherheitslücken in fünf X-Client-Bibliotheken veröffentlicht: libX11, libXi, libXpm, libXrender und libXtst. Behoben sind sie in libX11 1.8.14, libXi 1.8.4, libXpm 3.5.20, libXrender 0.9.13 und libXtst 1.2.6. Knapp zwei Wochen zuvor hatte X.Org bereits Lücken im X-Server und in XWayland gemeldet, jetzt ist die Clientseite dran.

Betroffen ist praktisch jedes Linux- und Unix-System mit grafischen X11-Programmen, auch Wayland-Desktops, sobald dort Anwendungen über XWayland laufen. Reine Server ohne X-Bibliotheken sind nicht betroffen. Für die meisten Umgebungen genügt das reguläre Wartungsfenster: Soweit X.Org CVSS-Werte angibt, liegen sie im mittleren Bereich, nur eine Lücke erreicht 7.1, und der typische Angriffsweg verlangt einen bösartigen oder kompromittierten X-Server. Schneller handeln sollten Admins dort, wo Clients Verbindungen zu fremden X-Servern aufbauen, etwa per X11-Forwarding.

Welche Lücken in welchen Bibliotheken stecken

Die Fehler sind überwiegend Lese- und Schreibzugriffe außerhalb von Puffergrenzen beim Auswerten von Antworten und Ereignissen des X-Servers, dazu zwei Heap-Überläufe und mehrere Denial-of-Service-Fälle. Gefunden haben sie vor allem Aisle Research, Adam Bedard, teils über die Zero Day Initiative, und Kaya Emre Arikan.

• libX11 vor 1.8.14, vier CVEs: CVE-2026-88806 (Schreibzugriff außerhalb des Puffers im XKB-Parser), CVE-2026-94283 und CVE-2026-94284 (Lesefehler im XIM-Protokoll für Eingabemethoden, CVSS 6.5 und 5.5) sowie CVE-2026-94285 (Lesefehler im Zeichensatz-Parser für Mehrbyte-Locales wie GBK oder Big5).
• libXi vor 1.8.4, neun CVEs: CVE-2026-93541 bis CVE-2026-93545, CVE-2026-94281 und CVE-2026-94282 betreffen das Parsen von Eingabegeräte-Antworten und XI2-Ereignissen, CVSS zwischen 5.4 und 6.5. CVE-2026-109089 und CVE-2026-109090 sind Heap-Überläufe in XGetDeviceControl().
• libXpm vor 3.5.20: CVE-2026-94287, eine präparierte XPM-Datei mit 0x0 Pixeln führt beim Schreiben zu Endlosschleife und Dauerlast, CVSS 5.5.
• libXrender vor 0.9.13: CVE-2026-88807 im Parser für XRenderQueryFormat-Antworten.
• libXtst vor 1.2.6: CVE-2026-94286 im RECORD-Parser, mit CVSS 7.1 die höchste Bewertung der Runde, sowie CVE-2026-109088, eine Endlosschleife bei RECORD-EnableContext-Antworten.

Für libX11 und libXi weist X.Org ausdrücklich darauf hin, dass die neuen Versionen zusätzliche Härtungen ohne CVE enthalten. Wer nur einzelne Patches zurückportiert, sollte diese ebenfalls prüfen.

Wie kritisch ist das?

Technisch geht es überwiegend um Absturz und Speicherauslese im Client, nicht um direkte Codeausführung aus dem Netz. Der Angreifer sitzt in fast allen Fällen auf der Gegenseite der X-Verbindung: Ein manipulierter X-Server oder ein bösartiger XIM-Server schickt präparierte Antworten an ein X11-Programm. Bei den Schreibfehlern in libX11 und den Heap-Überläufen in libXi ist mehr als ein Absturz denkbar, das Advisory nennt aber keine Codeausführung und keinen öffentlichen Exploit. Hinweise auf aktive Ausnutzung gibt es nicht.

Auf einem normalen Desktop, der mit seinem eigenen lokalen X-Server oder XWayland spricht, ist der Server Teil der vertrauenswürdigen Sitzung. Dort ist das Risiko gering. Anders sieht es aus, wenn Programme mit fremden X-Servern sprechen. Ein Sonderfall ist libXpm: CVE-2026-94287 braucht keinen bösartigen Server, sondern nur eine präparierte XPM-Datei, die eine Anwendung verarbeitet und wieder schreibt. Das betrifft eher Bildkonvertierung und Dienste, die XPM-Dateien automatisiert umwandeln.

Wayland, XWayland und X11-Forwarding

Ein Umstieg auf Wayland löst das Problem nicht automatisch. Die verwundbaren Bibliotheken stecken in den Anwendungen, nicht im Compositor. Jedes Programm, das unter GNOME oder KDE Plasma über XWayland läuft, lädt libX11 und häufig libXi. Erst wenn keine X11-Anwendungen mehr laufen und die Pakete fehlen, ist ein System außen vor.

• X11-Forwarding per SSH: Startet ein Admin per ssh -X eine Anwendung auf einem Server, spricht dieser Client mit dem X-Server des Arbeitsplatzes. Ist der Arbeitsplatz kompromittiert, kann ein manipulierter X-Server die Bibliotheken auf dem Server angreifen, und zwar mit den Rechten der dort gestarteten Anwendung.
• Netzwerkfähige X-Server, Thin Clients und Remote-Desktop-Lösungen mit X11-Backend sind die Umgebungen, in denen ein bösartiger Server am ehesten realistisch ist.
• Privilegierte X11-Programme: X.Org erinnert daran, Code mit erhöhten Rechten von der grafischen Oberfläche zu trennen, damit ein Fehler im GUI-Teil nicht zu höheren Rechten führt.

Was Admins jetzt tun sollten

• Bestand erfassen: Paketstand von libX11, libXi, libXpm, libXrender und libXtst auf Desktops, Terminalservern und Build-Systemen ermitteln, unter Debian und Ubuntu etwa mit dpkg -l 'libx11*' 'libxi6' 'libxpm4' 'libxrender1' 'libxtst6', unter RHEL-Derivaten mit rpm -q libX11 libXi libXpm libXrender libXtst.
• Sicherheitsmeldungen der eigenen Distribution verfolgen. Distributionen portieren Fixes meist zurück, die Upstream-Versionsnummer ist dann nicht maßgeblich. Der Debian Security Tracker führte CVE-2026-94283 bei Redaktionsschluss für bookworm, trixie und sid noch als offen und stuft es für die stabilen Zweige als „Minor issue“ ein.
• Updates über die reguläre Paketverwaltung einspielen und laufende X11-Anwendungen neu starten, damit die neuen Bibliotheken geladen werden.
• X11-Forwarding auf Servern abschalten, wo es nicht gebraucht wird (X11Forwarding no in der sshd_config), und auf Clients nicht pauschal mit ForwardX11Trusted yes arbeiten.
• Dienste prüfen, die XPM-Dateien aus fremden Quellen automatisiert verarbeiten, und diese bevorzugt aktualisieren.

Einordnung

Nach den Lücken im X-Server Anfang Oktober zeigt die zweite Runde, wie viel Parser-Code in den jahrzehntealten X-Bibliotheken Eingaben des Servers ungeprüft übernimmt. Für Admins bedeutet das: X11-Pakete gehören in den regulären Patchzyklus, auch auf Systemen, die offiziell längst Wayland nutzen. Wer X11 noch produktiv einsetzt, sollte gleichzeitig planen, wo Netzwerk-X11 noch nötig ist.

Passende Anleitungen auf S-EDV

• KDE Plasma 6.8 setzt nur noch auf Wayland: X11-Sitzung entfällt
• OpenSSH 10.6: Sicherheitskorrekturen und Post-Quanten-Signaturen
• APT mit SHA3-Prüfsummen unter Debian und Ubuntu

Quellen

• X.Org Security Advisory: multiple security issues in X.Org X client libraries (16.10.2026)
• xorg-announce, Oktober 2026: Release-Ankündigungen libX11 1.8.14, libXi 1.8.4, libXpm 3.5.20, libXrender 0.9.13, libXtst 1.2.6
• oss-security, 16.10.2026: Weiterleitung des X.Org-Advisorys
• Debian Security Tracker: CVE-2026-94283 (libx11)
• Phoronix: 17 More Security Vulnerabilities Made Public For X.Org Libraries (16.10.2026)