Auf den Punkt: Webmin schließt mit Version 2.640/2.641 drei Sicherheitslücken, die eine 2FA-Umgehung sowie root-Zugriffe über Hilfeseiten und das Squid-Modul ermöglichen könnten – Admins sollten zeitnah updaten.
Im Server-Admin-Tool Webmin haben die Entwickler drei Sicherheitslücken geschlossen, darunter eine Umgehung der Zwei-Faktor-Authentifizierung sowie zwei Schwachstellen, die root-Zugriff ermöglichen könnten. Das CERT Bund des BSI stuft die Gesamtlage als kritisch ein.
Webmin, ein verbreitetes Werkzeug zur Fernverwaltung von Unix-Servern, ist über mehrere Schwachstellen angreifbar. Die Entwickler beschreiben im Sicherheitsbereich der Webmin-Website drei Lücken: Bei CVE-2026-42210 lässt sich die Zwei-Faktor-Authentifizierung über die Basic-HTTP-Authentifizierung umgehen. Voraussetzung für eine erfolgreiche Attacke ist, dass Angreifer bereits Nutzername und Passwort kennen – in diesem Fall entfällt lediglich die Abfrage des 2FA-Einmalcodes. Eine offizielle Einstufung des Bedrohungsgrads für diese CVE steht laut Bericht noch aus, das CERT Bund bewertet die Situation insgesamt jedoch als kritisch.
Eine zweite Schwachstelle betrifft die integrierten Hilfeseiten des Tools. Gelingt ein Angriff, sollen Betroffene root-Rechte auf der jeweiligen Instanz erlangen können. Details zum genauen Ablauf eines solchen Angriffs sind derzeit nicht bekannt. Eine dritte Lücke findet sich im Squid-Modul von Webmin, das den installierten Squid-Cachemanager verwaltet – auch hier sind root-Attacken denkbar, konkrete Angriffsschritte wurden bislang nicht veröffentlicht.
Da Webmin zur Fernverwaltung von Servern eingesetzt wird, hätte ein erfolgreicher root-Angriff potenziell weitreichende Folgen bis hin zur vollständigen Übernahme betroffener Systeme. Die Entwickler haben nach eigenen Angaben bislang keine Hinweise auf eine aktive Ausnutzung der drei Schwachstellen in freier Wildbahn.
Admins sollten prüfen, ob mindestens Webmin 2.640 installiert ist – diese Version enthält die Sicherheitspatches. Aktuell verfügbar ist Version 2.641. Wer noch eine ältere Ausgabe betreibt, sollte zeitnah aktualisieren, insbesondere da mit Kenntnis von Zugangsdaten die 2FA-Absicherung faktisch wirkungslos wird.
Quelle: www.heise.de · Erschienen 19. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.