6 Schwachstellen in Samba, eine mit CVSS 10,0 und öffentlichem Exploit-Code — Update jetzt einspielen

Sechs Schwachstellen, eine davon mit dem höchstmöglichen CVSS-Wert von 10,0, und für eine bereits öffentlich verfügbarer Exploit-Code: Das klingt nach einer weiteren Zeile in einer langen Advisory-Liste. Wer deshalb abwinkt, übersieht, dass die Lücken laut CERT-Bund remote ausnutzbar sind und einem Angreifer bis hin zur Ausführung beliebigen Programmcodes reichen.

Was ist passiert

Das CERT-Bund-Advisory WID-SEC-2026-1686 zu Samba wurde am 2. September 2026 erneut aktualisiert, mittlerweile die 30. Revision seit der Erstveröffentlichung am 26. Mai 2026. Der aktuelle Eintrag ergänzt neue Updates von Red Hat, vorangegangene Revisionen brachten Patches von Debian, SUSE, Fedora, Oracle Linux, Amazon, IBM und der Rocky Enterprise Software Foundation nach. Insgesamt bündelt das Advisory sechs CVEs: CVE-2026-1933, CVE-2026-2340, CVE-2026-3012, CVE-2026-3238, CVE-2026-4408 und CVE-2026-4480. Ein Angreifer kann sie laut CERT-Bund nutzen, um beliebigen Programmcode auszuführen, einen Denial-of-Service-Angriff durchzuführen, Dateien zu manipulieren und Sicherheitsvorkehrungen zu umgehen. Die Kombination aus Codeausführung, Diensteausfall und Umgehung von Schutzmechanismen macht diesen Fall ernst, unabhängig davon, welche einzelne der sechs Lücken ein Angreifer konkret wählt.

Was ist belegt

Der CVSS-3.1-Base-Score liegt bei 10,0, dem höchstmöglichen Wert, der Temporal Score bei 9,0. CERT-Bund stuft das Advisory als „kritisch" ein und bestätigt, dass die Lücken remote ausnutzbar sind. Für CVE-2026-4480 ist seit Anfang Juli Exploit-Code öffentlich im Internet verfügbar, ein Umstand, der die Priorität für ungepatchte Umgebungen deutlich erhöht. Behoben sind die Schwachstellen in Samba 4.22.10, 4.23.8 und 4.24.3; alle Versionen unterhalb dieser drei Stände gelten als betroffen. Darauf aufbauend haben unter anderem Debian, Ubuntu, SUSE, Fedora, Oracle Linux, Red Hat Enterprise Linux, Red Hat OpenShift Container Platform, Rocky Linux, Amazon Linux 2, IBM QRadar SIEM und IBM Storage Scale eigene Updates veröffentlicht, nachvollziehbar über die jeweiligen Release-Notes und Security-Advisories der Hersteller.

Was ist derzeit unklar

Das Advisory nennt für die sechs Lücken keine einzelnen Voraussetzungen wie Authentifizierung oder Nutzerrechte, sodass sich nicht pauschal sagen lässt, ob ein Angreifer ohne Zugangsdaten auskommt oder bereits im Netz Fuß gefasst haben muss. Auch zur tatsächlichen Ausnutzung von CVE-2026-4480 über den bekannten Exploit-Code hinaus, etwa ob es bereits aktive Angriffe in freier Wildbahn gibt, liegt öffentlich keine unabhängige Bestätigung vor. Wer hierzu Klarheit braucht, sollte die Herstellerdokumente zur jeweiligen CVE aus der Quellenliste prüfen.

Welche praktischen Auswirkungen ergeben sich

Wenn Sie Samba einsetzen, sei es als klassischen Dateiserver, als Domänencontroller-Ersatz oder eingebettet in einer Appliance wie IBM Storage Scale, sollten Sie jetzt prüfen, welche Version bei Ihnen läuft. Vergleichen Sie den Stand über den Paketmanager Ihrer Distribution mit den fixen Versionen 4.22.10, 4.23.8 und 4.24.3, und ziehen Sie bei älteren, nicht mehr gepflegten Zweigen einen Umstieg auf eine unterstützte Version in Betracht statt eines reinen Patches. Setzen Sie eine der betroffenen Enterprise-Distributionen ein, prüfen Sie das jeweilige Herstelleradvisory aus der Quellenliste; in vielen Umgebungen lässt sich das Update über den regulären Paketkanal zeitnah einspielen, in komplexeren Setups mit angepassten Samba-Konfigurationen oder Cluster-Abhängigkeiten kann das mehr Vorbereitung erfordern. Angesichts des maximalen CVSS-Werts und des bereits verfügbaren Exploit-Codes für eine der Lücken würden wir hier nicht auf das nächste reguläre Wartungsfenster warten.

Quellen: CERT-Bund — „WID-SEC-2026-1686: Samba: Mehrere Schwachstellen" (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-1686), Samba — Release Notes 4.22.10, 4.23.8, 4.24.3 (https://www.samba.org/samba/history/samba-4.22.10.html)