FreeRDP: 23 Schwachstellen geschlossen — Update auf Version 3.29.0 jetzt einspielen

Das klingt nach einem gewöhnlichen Sammel-Advisory – und für die meisten der 23 darin gelisteten Schwachstellen ist es das auch. Für eine von ihnen, CVE-2026-44421, kursiert jedoch bereits funktionierender Exploit-Code im Internet. Das CERT-Bund bewertet die Sammlung als remote ausnutzbar, mit einem CVSS-Basiswert von 9,6 – das ist der kritische Bereich.

Was ist passiert

FreeRDP ist die verbreitetste quelloffene Implementierung des Remote-Desktop-Protokolls: Wer von Linux oder macOS aus per RDP auf einen Windows-Terminal-Server zugreift, tut das häufig über FreeRDP oder eine Anwendung, die die Bibliothek einbindet. Das CERT-Bund-Advisory WID-SEC-2026-2384 fasst 23 CVEs zusammen, die FreeRDP-Versionen vor 3.29.0 betreffen. Erstveröffentlicht wurde die Meldung am 15. Juli 2026, seither ist sie 14-mal aktualisiert worden – zuletzt am 30. August 2026, als Red Hat weitere Paketupdates nachreichte. Das ist kein Zeichen für eine neue Lücke, sondern dafür, dass die betroffenen Linux-Distributionen ihre eigenen FreeRDP-Pakete nacheinander patchen.

Was ist belegt

Laut Advisory kann ein Angreifer die Schwachstellen nutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren oder einen Denial-of-Service-Zustand auszulösen. Diese Kombination aus Codeausführung, Rechteumgehung, Informationsabfluss und Ausfall macht den Sammelfund ernst, auch wenn der CVSS-Wert für die einzelnen CVEs unterschiedlich ausfallen dürfte. Gefixt ist der Stand in FreeRDP 3.29.0. Betroffen sind laut Advisory neben dem Upstream-Projekt auch die Distributionspakete von Oracle Linux, Rocky Linux, Red Hat Enterprise Linux, SUSE Linux und Ubuntu, jede mit eigenem, separat verlinktem Sicherheitsupdate. Für CVE-2026-44421 ist öffentlicher PoC-Code verfügbar (GHSA-cj9v-h4hq-29jr); das Advisory nennt für die Sammlung einen CVSS-Basiswert von 9,6 und einen temporären Wert von 8,6.

Was ist derzeit unklar

Öffentlich nicht unabhängig bestätigt ist eine aktive Ausnutzung in freier Wildbahn – das Advisory spricht ausdrücklich nur von verfügbarem PoC-Code für eine der 23 CVEs, nicht von beobachteten Angriffen. Ebenfalls nicht aus dem Advisory ersichtlich: ob primär FreeRDP-Clients, Server-Implementierungen oder beide Betriebsarten betroffen sind. Wer das genau wissen will, muss die 20 zugrunde liegenden GitHub-Security-Advisories einzeln prüfen.

Auswirkungen für Ihren Betrieb

Relevant ist das für alle, die FreeRDP oder darauf aufbauende Werkzeuge einsetzen, um von Linux- oder macOS-Arbeitsplätzen auf Windows-Terminal-Server oder RDS-Umgebungen zuzugreifen. Prüfen Sie zunächst die installierte Version Ihres FreeRDP-Pakets und vergleichen Sie sie mit dem Fix in 3.29.0. Auf Distributionen mit eigenem Paket sollten Sie das jeweilige Advisory Ihres Anbieters heranziehen, da sich Paketnamen und Versionsstände zwischen Oracle Linux, Rocky Linux, RHEL, SUSE und Ubuntu unterscheiden. Ein Update über den Paketmanager der jeweiligen Distribution ist in vielen Umgebungen kurzfristig möglich, sofern keine komplexeren Abhängigkeiten dagegensprechen. Angesichts des verfügbaren Exploit-Codes für CVE-2026-44421 würden wir hier nicht auf das nächste reguläre Wartungsfenster warten.

Quellen: CERT-Bund — „FreeRDP: Mehrere Schwachstellen“ (WID-SEC-2026-2384) (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2384)