X.Org-Server 21.1.26 und Xwayland 24.1.15 schließen acht Sicherheitslücken
Das X.Org-Projekt hat am 10. November 2026 acht Lücken im X-Server veröffentlicht und mit xorg-server 21.1.26 und Xwayland 24.1.15 behoben. Präparierte Anfragen oder EDID-Daten können den Server abstürzen lassen oder Speicher beschädigen. Systeme ohne laufenden X-Server sind nicht betroffen.
Das X.Org-Projekt hat am 10. November 2026 ein Sicherheitsadvisory zu acht Lücken im X-Server veröffentlicht. Behoben sind sie in xorg-server 21.1.26 und Xwayland 24.1.15, die am selben Tag erschienen sind. Die Fehler stecken in der Prüfung von Größen- und Längenangaben. Die meisten können laut Advisory den Server zum Absturz bringen, Speicher beschädigen oder Speicher außerhalb der vorgesehenen Grenzen lesen.
Betroffen sind Linux- und Unix-Systeme mit grafischer Oberfläche auf Basis von X11 sowie Wayland-Desktops, die alte X11-Programme über Xwayland ausführen. Systeme, auf denen kein X-Server läuft, sind nicht betroffen. Wer Xvfb oder einen VNC-X-Server nutzt, sollte auch diese Pakete prüfen. Die Updates kommen über die Distributionen, bei Debian 12 und 13 stand die Korrektur am 12. November noch aus. Wir halten das Update vor allem für Terminalserver und Mehrbenutzersysteme für eilig, Einzelplatzrechner können im normalen Updatezyklus folgen.
Was ist passiert?
Laut Advisory betreffen die Lücken die Erweiterungen Xv, XTest und XRes, die Grafikbeschleunigung glamor und das Auslesen von Monitordaten (EDID). Die Nummern lauten CVE-2026-109091 bis CVE-2026-109096 sowie CVE-2026-109903 und CVE-2026-109904. In mehreren Fällen führen ein Ganzzahlüberlauf oder eine negative Größenangabe dazu, dass die Längenprüfung greift, obwohl die Daten fehlen. Die Folge sind Lese- oder Schreibzugriffe außerhalb des vorgesehenen Speichers. Bei CVE-2026-109903 meldet der Server Clients eine falsche Puffergröße.
Eine Sonderrolle hat CVE-2026-109091: Hier schreibt der Xorg-Server Daten aus den EDID-Angaben eines Monitors ohne Grenzprüfung in feste Felder. Auslöser ist laut Advisory ein bösartiger Monitor oder manipulierte EDID-Daten. Die Release-Mail zu Xwayland 24.1.15 führt nur die übrigen sieben Lücken auf. Zwei Fehler in der XRes-Erweiterung (CVE-2026-109904 und CVE-2026-109094) lassen sich laut Advisory auf 32-Bit-Servern ausnutzen. Phoronix zufolge wurden die Lücken mit Unterstützung von KI-Sprachmodellen aufgedeckt.
Wer ist betroffen?
Relevant ist das für Linux-Arbeitsplätze, Terminalserver mit X11-Sitzungen, VDI-Umgebungen und Kiosk-Systeme. Auf Wayland-Desktops läuft Xwayland, sobald eine X11-Anwendung startet. Debian hat xorg-server 21.1.26 und Xwayland 24.1.15 in Unstable (Sid) bereitgestellt, für Debian 12 (Bookworm) und Debian 13 (Trixie) führte der Security-Tracker beim Abruf am 12. November beide Pakete noch als verwundbar. Xwayland stuft Debian dabei als „unimportant“ ein, weil es nicht mit Root-Rechten laufen sollte.
Wie kritisch ist das?
Die meisten Fehler lassen sich über präparierte Anfragen an den X-Server auslösen. Nach unserer Einschätzung brauchen Angreifer dafür in der Regel ein Programm, das sich bereits mit dem X-Server verbinden darf, also lokalen Zugang oder eine weitergeleitete X11-Verbindung. Das Advisory nennt Absturz und Speicherbeschädigung, eine Rechteausweitung erwähnt es nicht. Läuft der Xorg-Server noch mit Root-Rechten, wiegt Speicherbeschädigung allerdings schwerer, das ist eine eigene Einschätzung. Ein Angriff über das Netz ohne bestehenden Zugang ist nicht beschrieben.
Was sollten Admins jetzt tun?
- Inventar: Systeme mit grafischer Oberfläche erfassen und die Paketstände von xorg-server und xwayland prüfen, etwa mit
dpkg -l xserver-xorg-core xwaylandoderrpm -q xorg-x11-server-Xorg xorg-x11-server-Xwayland. - Sicherheitsupdates der Distribution einspielen, sobald sie verfügbar sind, und den grafischen Dienst oder das System neu starten. Laufende X-Server nutzen sonst weiter die alte Version.
- Terminalserver und Mehrbenutzersysteme zuerst patchen, weil dort fremde Nutzer Programme auf demselben X-Server starten.
- Prüfen, ob der Xorg-Server ohne Root-Rechte läuft, und X11-Weiterleitung per SSH nur dort erlauben, wo sie gebraucht wird.
- Wo möglich auf Wayland-Sitzungen umstellen, dann bleibt nur Xwayland für einzelne Anwendungen übrig.
Einordnung für Unternehmen
Für typische Linux-Server ohne Oberfläche ändert sich nichts. Wer Linux-Desktops oder Terminalserver betreibt, sollte die Updates einplanen, aber nicht in Hektik verfallen: Ein Angriff braucht nach heutigem Stand Zugang zum X-Server. Der X-Server bekommt seit Jahren regelmäßig solche Advisories, und Desktops wie KDE Plasma 6.8 setzen bereits nur noch auf Wayland. Für Unternehmen ist das ein Argument, die verbliebenen X11-Abhängigkeiten zu erfassen.
Passende Anleitungen auf S-EDV
- Automatische Sicherheitsupdates unter Debian/Ubuntu mit unattended-upgrades richtig konfigurieren
- KDE Plasma 6.8 erschienen: X11-Sitzung entfällt, nur noch Wayland
