Sieben kritische Lücken in Apache Traffic Server (bis CVSS 10.0)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 29.07.2026: Zusätzlich wurden CVE-2026-58154, CVE-2026-58155 (CVSS 9.2) und CVE-2026-58162 (CVSS 10.0) bekannt. Alle drei Schwachstellen betreffen dieselben Versionsbereiche und sind in den Versionen 9.2.15 und 10.1.4 behoben. Details siehe unten.
Am 29. Juli 2026 hat die Apache Software Foundation ein Advisory für den Apache Traffic Server veröffentlicht, das sieben kritische Schwachstellen beschreibt. Vier dieser Lücken sind mit einem CVSS-Score von 10.0 als maximal kritisch eingestuft. Die Schwachstellen ermöglichen Angriffe wie Request Smuggling und die Generierung von Zertifikaten auf Basis angreiferkontrollierter Eingaben, die es Angreifern erlauben, Sicherheitskontrollen zu umgehen und Backend-Systeme zu kompromittieren. Betroffen sind zahlreiche Versionen der weit verbreiteten Caching- und Proxy-Software.
Es ist nicht das erste Mal, dass der Apache Traffic Server mit schwerwiegenden Sicherheitslücken in die Schlagzeilen gerät: Bereits im April 2026 veröffentlichte die Apache Software Foundation ein Notfall-Advisory mit CVE-2025-58136 (Denial-of-Service) und CVE-2025-65114 (Request Smuggling). Das erneute Auftreten von Request-Smuggling-Schwachstellen unterstreicht die Notwendigkeit eines kontinuierlichen Monitorings dieser Infrastrukturkomponente. (Quelle: Cyber Security News, April 2026)
Das Advisory der Apache Software Foundation fasst sieben schwerwiegende Sicherheitslücken zusammen, die von einem Angreifer ohne Authentifizierung aus der Ferne ausgenutzt werden können. Die hohe Kritikalität ergibt sich aus der geringen Angriffskomplexität in Verbindung mit dem potenziell hohen Schaden für die Vertraulichkeit und Integrität von Daten.
Die gemeldeten Schwachstellen sind:
CVE-2026-58150 (CVSS 10.0): Der Server lehnt den Transfer-Encoding-Header in HTTP/2-Anfragen nicht ab, was Downgrade Request Smuggling ermöglicht.
CVE-2026-57834 (CVSS 10.0): Eine weitere Request-Smuggling-Lücke, die durch fehlerhaft formatierte „chunked“ Nachrichten ausgenutzt werden kann.
CVE-2026-33267 (CVSS 10.0): Eine Schwachstelle durch unzureichende Eingabevalidierung (Improper Input Validation), die nicht spezifizierte, weitreichende Angriffe erlaubt.
CVE-2026-58162 (CVSS 10.0): Das certifier-Plugin des Apache Traffic Server generiert Zertifikate auf Basis angreiferkontrollierter Client-SNI-Werte, was schwerwiegende Angriffe auf die Integrität und Verfügbarkeit ermöglicht.
CVE-2026-41920 (CVSS 9.3): Eine fehlerhafte Zugriffskontrolle (Improper Access Control), die unautorisierten Zugriff auf geschützte Ressourcen ermöglichen kann.
CVE-2026-58154 (CVSS 9.2): Eine kritische Schwachstelle, die Angreifern ermöglicht, die Vertraulichkeit und Integrität von Daten zu gefährden.
CVE-2026-58155 (CVSS 9.2): Eine weitere kritische Schwachstelle mit ähnlichem Schadenspotenzial für Vertraulichkeit und Integrität.
Betroffene Systeme und Patch-Verfügbarkeit
Die Schwachstellen betreffen unterschiedliche Versionsbereiche des Apache Traffic Server — abhängig vom jeweiligen CVE. Die folgende Tabelle gibt einen Überblick:
CVE
Betroffene Versionen
Empfohlener Fix
CVE-2026-58150
8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3
9.2.15 oder 10.1.4
CVE-2026-57834
8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3
9.2.15 oder 10.1.4
CVE-2026-33267
9.2.0–9.2.14, 10.1.0–10.1.3
9.2.15 oder 10.1.4
CVE-2026-41920
9.0.0–9.1.14, 10.0.0–10.1.3
9.1.15 oder 10.1.4
CVE-2026-58154
8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3
9.2.15 oder 10.1.4
CVE-2026-58155
8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3
9.2.15 oder 10.1.4
CVE-2026-58162
8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3
9.2.15 oder 10.1.4
Wichtig: CVE-2026-33267 betrifft ausschließlich den 9.2.x- und 10.1.x-Zweig — Installationen auf 8.x oder 9.0.x/9.1.x sind von dieser Lücke nicht betroffen. CVE-2026-41920 betrifft den 9.0.x/9.1.x-Zweig; für diese Installationen lautet der empfohlene Fix-Pfad 9.1.15 (nicht 9.2.15).
Eine besondere Herausforderung stellt die Patch-Situation dar. Das Advisory empfiehlt ein Upgrade auf die Versionen 9.2.15 oder 10.1.4. Zum Zeitpunkt der Veröffentlichung dieses Artikels waren diese Versionen jedoch noch nicht auf der offiziellen Download-Seite des Apache-Projekts gelistet. Diese Diskrepanz zwischen der Ankündigung und der öffentlichen Verfügbarkeit der Patches schafft operative Unsicherheit für Administratoren, die den Status der neuen Releases aktiv beobachten müssen.
CVE-2026-58154 und CVE-2026-58155: Weitere kritische Schwachstellen
Die beiden zusätzlich gemeldeten Schwachstellen CVE-2026-58154 und CVE-2026-58155 sind mit einem CVSS-Score von 9.2 als kritisch eingestuft. Beide Lücken betreffen dieselben Versionsbereiche wie CVE-2026-58150 und CVE-2026-57834 (8.0.0–8.1.9, 9.0.0–9.2.14, 10.0.0–10.1.3) und ermöglichen Angreifern ohne Authentifizierung aus der Ferne, die Vertraulichkeit und Integrität von Daten zu gefährden. Der Angriffsvektor ist netzwerkbasiert (AV:N) mit geringer Angriffskomplexität (AC:L), was die Ausnutzung erleichtert.
Die Schwachstellen sind in denselben Patch-Versionen behoben wie die übrigen CVEs: 9.2.15 und 10.1.4. Administratoren, die diese Versionen einspielen, schließen damit alle sieben im Advisory beschriebenen Lücken.
CVE-2026-58162: Zertifikatsgenerierung auf Basis angreiferkontrollierter Eingaben
CVE-2026-58162 ist mit einem CVSS-Score von 10.0 als maximal kritisch eingestuft und betrifft das certifier-Plugin des Apache Traffic Server. Die Schwachstelle ermöglicht es Angreifern, Zertifikate auf Basis angreiferkontrollierter Client-SNI-Werte (Server Name Indication) zu generieren. Der Angriffsvektor ist netzwerkbasiert (AV:N) mit geringer Angriffskomplexität (AC:L), es ist keine Authentifizierung erforderlich (PR:N) und keine Benutzerinteraktion notwendig (UI:N). Die Auswirkungen auf Integrität (I:H) und Verfügbarkeit (A:H) sind hoch, während die Vertraulichkeit gering betroffen ist (C:L). Der Scope ist Changed (S:C), was bedeutet, dass die Schwachstelle Auswirkungen über die verwundbare Komponente hinaus haben kann.
Die Schwachstelle betrifft die Versionen 8.0.0–8.1.9, 9.0.0–9.2.14 und 10.0.0–10.1.3 und ist in den Versionen 9.2.15 und 10.1.4 behoben. Organisationen, die das certifier-Plugin einsetzen, sollten die Patch-Installation priorisieren, da die Schwachstelle schwerwiegende Angriffe auf die TLS-Infrastruktur ermöglicht.
Empfohlene Handlungsschritte
Aufgrund der hohen Kritikalität der Schwachstellen ist schnelles Handeln erforderlich. Unternehmen sollten die folgenden Schritte priorisieren:
Identifikation betroffener Systeme: Ermitteln Sie alle Instanzen des Apache Traffic Server in Ihrer externen Infrastruktur, einschließlich Systemen in der Schatten-IT.
Versionsprüfung: Gleichen Sie die installierten Versionen mit der CVE-spezifischen Tabelle oben ab, um die unmittelbare Gefährdung zu bewerten. Achten Sie dabei besonders auf den Branch (8.x, 9.1.x, 9.2.x, 10.x), da die betroffenen Bereiche je nach CVE variieren.
Zeitnahes Upgrade: Planen und führen Sie das Upgrade auf die korrigierten Versionen durch, sobald diese als stabil und verfügbar bestätigt sind.
DACH-Relevanz und regulatorischer Kontext
Für Organisationen in Deutschland, Österreich und der Schweiz ergeben sich aus diesen Schwachstellen konkrete regulatorische Implikationen. Betreiber kritischer Infrastrukturen (KRITIS), die den Apache Traffic Server als Proxy- oder Caching-Komponente einsetzen, fallen unter die Pflichten der NIS-2-Richtlinie und müssen Sicherheitsvorfälle unverzüglich melden. Sollte eine der Schwachstellen aktiv ausgenutzt werden und dabei personenbezogene Daten betroffen sein, greift zusätzlich die Meldepflicht nach DSGVO Art. 33 mit einer 72-Stunden-Frist gegenüber der zuständigen Datenschutzbehörde. Unternehmen sollten daher sicherstellen, dass ihre Patch-Prozesse und Incident-Response-Verfahren auf diese zeitlichen Anforderungen ausgelegt sind.
Sichtbarkeit für Angriffsfläche und Lieferkette schaffen
Schwachstellen in weit verbreiteter Software wie dem Apache Traffic Server verdeutlichen zwei zentrale Herausforderungen für die Cybersicherheit von Unternehmen: die mangelnde Transparenz über die eigene, extern erreichbare IT-Infrastruktur und das Risiko durch eingesetzte Software bei Dienstleistern.
Ein External Attack Surface Management (EASM) wie LocateRisk hilft dabei, die eigene Angriffsfläche kontinuierlich zu überwachen. Die Plattform identifiziert öffentlich erreichbare Dienste wie den Apache Traffic Server — einschließlich vergessener Subdomains, Schatten-IT-Systeme und ungetrackt betriebener Cloud-Assets — und ermöglicht es Sicherheitsteams, schnell zu überprüfen, wo potenziell verwundbare Software im eigenen Unternehmen eingesetzt wird. Dies ist die Grundlage für eine schnelle und gezielte Reaktion auf neue Sicherheitswarnungen.
Parallel dazu adressiert kontinuierliches Vendor Risk Management (C-VRM) das Lieferkettenrisiko. Da auch Zulieferer und Partner den Apache Traffic Server einsetzen können, ist es entscheidend, deren Sicherheitslage zu bewerten. C-VRM-Lösungen prüfen automatisiert die externe Sicherheit von Drittanbietern und warnen, wenn deren Sicherheitsniveau durch kritische Schwachstellen sinkt. So können Risiken in der Lieferkette proaktiv gesteuert werden — gerade angesichts von Wiederholungsmustern wie den erneuten Request-Smuggling-Lücken im Apache Traffic Server.
Apache Traffic Server ist eine hochperformante, quelloffene Proxy- und Caching-Software der Apache Software Foundation. Sie wird von Unternehmen, CDN-Betreibern und Rechenzentren eingesetzt, um HTTP-Datenverkehr zu verwalten und zu beschleunigen. Aufgrund ihrer exponierten Stellung zwischen Clients und Backend-Systemen ist sie ein attraktives Angriffsziel — Schwachstellen können es Angreifern ermöglichen, Sicherheitskontrollen zu umgehen und auf interne Systeme zuzugreifen.
Die betroffenen Versionen variieren je nach CVE. CVE-2026-58150, CVE-2026-57834, CVE-2026-58154, CVE-2026-58155 und CVE-2026-58162 betreffen die Versionen 8.0.0–8.1.9, 9.0.0–9.2.14 und 10.0.0–10.1.3. CVE-2026-33267 betrifft ausschließlich 9.2.0–9.2.14 und 10.1.0–10.1.3. CVE-2026-41920 betrifft 9.0.0–9.1.14 und 10.0.0–10.1.3. Administratoren sollten ihren jeweiligen Branch prüfen und den CVE-spezifischen Fix-Pfad wählen.
Das Advisory der Apache Software Foundation empfiehlt ein Upgrade auf Version 9.2.15 oder 10.1.4. Für Installationen im 9.0.x/9.1.x-Branch lautet der Ziel-Fix für CVE-2026-41920 9.1.15. Zum Zeitpunkt der Veröffentlichung dieses Artikels waren die neuen Versionen noch nicht auf der offiziellen Download-Seite gelistet. Administratoren sollten die Ankündigungen der Apache Software Foundation aktiv beobachten, um die Verfügbarkeit der Patches zu bestätigen.
Stand: 29.07.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français