Die Meldung vom 29. September 2026
Am 29. September 2026 veröffentlichte das OpenSSL-Projekt ein Sicherheitsupdate zu CVE-2026-84782, einer als High eingestuften Schwachstelle im DTLS-Handshake. DTLS ist ein Transportprotokoll, das TLS-ähnliche Sicherheit über Datagramme bereitstellt und beispielsweise in Echtzeit- und Netzwerk-Anwendungen eingesetzt werden kann.
Nach Angaben des OpenSSL-Projekts konnte eine bestimmte Abfolge unterbrochener und erneut gesendeter Handshake-Nachrichten dazu führen, dass nicht dafür vorgesehene Speicherinhalte als Klartext übertragen werden. In anderen Fällen konnte der Prozess abstürzen. Das bedeutet nicht, dass jede HTTPS-Verbindung betroffen ist: Relevant ist insbesondere, ob eine Anwendung DTLS verwendet und eine verwundbare OpenSSL-Version einsetzt.
Korrigierte OpenSSL-Versionen
OpenSSL veröffentlichte am 29. September Korrekturen für diese Versionszweige:
| Zweig | Korrigierte Version |
|---|---|
| 4.0.x | 4.0.3 |
| 3.6.x | 3.6.5 |
| 3.5.x | 3.5.9 |
| 3.4.x | 3.4.8 |
Für die älteren Zweige 3.0, 1.1.1 und 1.0.2 nannte OpenSSL Korrekturen für Kunden mit Premium-Support. Linux-Distributionen und andere Anbieter können eigene Backports bereitstellen. In diesem Fall kann die angezeigte Upstream-Versionsnummer unverändert aussehen, obwohl der Anbieter den Fehler behoben hat. Entscheidend sind deshalb die Paket-Sicherheitshinweise des Betriebssystems oder Plattform-Anbieters.
Sichere nächste Schritte
- Ermitteln Sie, welche Anwendungen und Systemdienste OpenSSL verwenden und ob sie DTLS-Funktionen einsetzen.
- Prüfen Sie die Sicherheitsmeldung Ihres Betriebssystem- oder Hosting-Anbieters. Installieren Sie das passende korrigierte Paket beziehungsweise eine neuere Version.
- Starten Sie betroffene Anwendungen und Dienste neu und prüfen Sie, ob sie die aktualisierte Bibliothek verwenden.
- Wenn Ihr Dienst DTLS nutzt und ein Update längere Zeit nicht möglich ist, bewerten Sie die Exposition mit dem Hersteller oder Ihrem Sicherheitsteam. Ein bloßer Versionsvergleich ist bei Anbieter-Backports nicht immer ausreichend.
Die Lehre für Infrastruktur- und App-Projekte: Eine weit verbreitete Bibliothek kann in vielen Diensten stecken. Ein Update der Anwendung allein reicht nicht unbedingt, wenn die Bibliothek vom Betriebssystem, Container-Image oder Hosting-Anbieter geliefert wird.