Checkmk-Sicherheitslücken: CERT-Bund warnt vor Umgehung von Schutzfunktionen — was Administratoren jetzt tun sollten

Wer Checkmk zur Überwachung seiner IT-Infrastruktur einsetzt, sollte jetzt handeln: Das CERT-Bund hat eine Sicherheitswarnung (WID-SEC-2026-2567) veröffentlicht, die mehrere Schwachstellen in Checkmk beschreibt — ausnutzbar von entfernten, teils anonymen Angreifern, um Sicherheitsvorkehrungen zu umgehen.

Checkmk ist in vielen Mittelstandsunternehmen und IT-Abteilungen die Monitoring-Plattform der Wahl. Das macht sie zu einem attraktiven Angriffsziel: Wer Zugang zu einer Monitoring-Instanz bekommt oder sich verschaffen kann, sieht im günstigsten Fall nur Dashboards — im ungünstigsten Fall erhält er Einblick in Konfigurationsdaten, gespeicherte Zugangsdaten und die gesamte überwachte Infrastruktur.

Was ist belegt?

Laut CERT-Bund betreffen die Schwachstellen Checkmk und erlauben es einem entfernten Angreifer — nach Angaben der Warnung auch ohne vorherige Authentifizierung — Sicherheitsmechanismen zu umgehen. Die offizielle Bewertung lautet „mittel“. Das klingt nach Entwarnung, ist es aber nicht unbedingt: Eine erfolgreiche Umgehung von Sicherheitsvorkehrungen kann der erste Schritt zu einer tiefer gehenden Kompromittierung sein, auch wenn die Lücke selbst keinen direkten Vollzugriff erlaubt. Die Kombination aus anonymem Angriffspfad und mehreren Schwachstellen ist ein klares Signal, das Update nicht auf die lange Bank zu schieben.

Die konkreten CVE-Nummern und betroffenen Checkmk-Versionen sind im CERT-Bund-Advisory im Detail aufgeführt — der Link steht am Ende dieses Beitrags. Die dort genannten Versionsgrenzen sind maßgeblich; bitte direkt dort nachsehen.

Was derzeit unklar ist

Ob die Schwachstellen bereits aktiv ausgenutzt werden, ist nach aktuellem Kenntnisstand öffentlich nicht bekannt. Eine vollständige technische Analyse des genauen Angriffsvektors liegt ebenfalls nicht öffentlich vor. Das bedeutet nicht, dass das Risiko gering ist — sondern dass die Zeit bis zu einem veröffentlichten Proof-of-Concept begrenzt sein könnte. Erfahrungsgemäß sinkt der Abstand zwischen Advisory und erstem öffentlichen Exploit.

Was Sie jetzt tun sollten

Checkmk-Instanzen sind in der Regel intern erreichbar, manchmal aber auch über VPN oder direkt aus dem Internet zugänglich. Gerade für Instanzen mit externem Zugang gilt: nicht warten.

Drei Schritte, die heute noch erledigt sein sollten:

1. Version prüfen. Öffnen Sie die Checkmk-Weboberfläche und navigieren Sie zu Help → About Checkmk. Die installierte Version steht dort direkt.
2. Advisory lesen. Vergleichen Sie Ihre Version mit den im CERT-Bund-Advisory genannten betroffenen Releases. Das dauert zwei Minuten.
3. Update einplanen. Steht ein Patch bereit — und das ist bei Schwachstellen dieser Art in der Regel der Fall —, gehört er ins nächste Wartungsfenster. Bei extern erreichbaren Instanzen: außerplanmäßig patchen, nicht warten.

Ein Wort zur Netzwerksegmentierung

Monitoring-Systeme wie Checkmk sehen die gesamte überwachte Umgebung: Server, Netzwerkgeräte, Dienste, in manchen Konfigurationen auch Zugangsdaten. Sie sollten deshalb in einem separaten, klar abgegrenzten Netzsegment betrieben werden und nicht direkt aus dem Internet erreichbar sein — auch nicht über schwach geschützte VPN-Zugänge. Wer das heute noch nicht umgesetzt hat: Dieser Vorfall ist ein guter Anlass, es anzugehen.

Quellen: CERT-Bund — „Checkmk: Mehrere Schwachstellen ermöglichen Umgehen von Sicherheitsvorkehrungen“ (WID-SEC-2026-2567) (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2567)