Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Das Spring-Team veröffentlichte am 20. August 2026 einen Batch mit 91 behobenen Schwachstellen im Spring-Ökosystem. Drei Advisories betreffen das Spring Framework:
Sind meine Systeme betroffen? Jetzt prüfen →
Für die Bewertung reicht ein Abgleich der CVE-Nummern mit dem Komponentenbestand nicht aus. Entscheidend sind zusätzlich die eingesetzte Spring-Version, die verwendeten Funktionen und die Art der Bereitstellung.
Auf einen Blick:
| Produkt / Komponente | Betroffene Versionen |
|---|---|
| Spring-Framework | 7.0.0 – 7.0.8, 6.2.0 – 6.2.19, 6.1.0 – 6.1.28, 6.0.0 – 6.0.30, 5.3.0 – 5.3.49, 5.2.5.RELEASE – 5.2.25.RELEASE |
Die Advisories führen mehrere Versionsreihen des Spring Framework als betroffen. Dazu gehören die Reihen 7.0.0 bis 7.0.8, 6.2.0 bis 6.2.19, 6.1.0 bis 6.1.28, 6.0.0 bis 6.0.30 sowie 5.3.0 bis 5.3.49. Für einzelne Advisories ist auch die 5.2-Reihe aufgeführt.
CVE-2026-59313 betrifft Spring-MVC-Anwendungen, die das funktionale Web-Framework gemeinsam mit Server-Sent Events einsetzen. Unter diesen Voraussetzungen kann es zu Stream-Korruption kommen. Ein CVSS-Score wurde zum Veröffentlichungszeitpunkt noch nicht vergeben. Das vollständige Spring Advisory zu CVE-2026-59313 enthält weitere technische Details.
Die Prüfung sollte daher klären:
CVE-2026-47892 betrifft WebFlux-Anwendungen mit funktionalen Endpunkten, sofern sie über DispatcherServlet bereitgestellt werden. Bei einer Pre-Flight-Anfrage kann ein Header-Prädikat umgangen werden. Das Spring Advisory zu CVE-2026-47892 stuft die Schwachstelle als mittleren Schweregrad ein.
Relevant ist damit die konkrete Kombination aus funktionalen WebFlux-Endpunkten, DispatcherServlet und Pre-Flight-Verarbeitung.
CVE-2026-59283 betrifft Anwendungen, die SpEL-Ausdrücke über SimpleEvaluationContext auswerten und den SpEL-Compiler aktiviert haben. In dieser Konstellation kann eine Sicherheitsprüfung umgangen werden. Das Spring Advisory zu CVE-2026-59283 stuft die Schwachstelle als mittleren Schweregrad ein.
Falls ein Update nicht unmittelbar eingespielt werden kann, nennt das Spring-Advisory das Deaktivieren des SpEL-Compiler-Modus IMMEDIATE oder MIXED als Übergangsmaßnahme. Diese Maßnahme ersetzt keine Aktualisierung.
Laut den Spring-Advisories sind Updates auf die jeweils nächste fehlerbereinigte Minor-Version verfügbar, darunter 7.0.9 oder höher, 6.2.20 oder höher, 6.1.29 oder höher, 6.0.31 oder höher sowie 5.3.50 oder höher, sofern verfügbar. Die empfohlenen Zielversionen sind den jeweiligen Advisories (CVE-2026-59313, CVE-2026-47892, CVE-2026-59283) zu entnehmen.
Eine belastbare Bearbeitungsreihenfolge kann sich an folgenden Fragen orientieren:
Für die längerfristige Planung nennt der Maßnahmenkatalog die Migration der nicht mehr unterstützten Reihen 5.2.x, 5.3.x, 6.0.x und 6.1.x auf aktiv unterstützte Branches. Ergänzend sollte ein kontinuierliches Monitoring von Schwachstellen und Lieferantenrisiken etabliert werden.
Spring Framework ist im DACH-Raum weit verbreitet und findet sich in Unternehmensanwendungen quer durch alle Branchen. Betreiber NIS-2-pflichtiger Dienste in Deutschland und Österreich sollten prüfen, ob öffentlich erreichbare Spring-Anwendungen in betroffenen Versionen betrieben werden, und eine Risikoabwägung vornehmen. Schweizer Organisationen beachten die Meldepflichten nach dem revidierten Informationssicherheitsgesetz (ISG) gegenüber dem Bundesamt für Cybersicherheit (BACS). Liegt durch eine Schwachstelle ein Risiko für personenbezogene Daten vor, ist zudem die 72-Stunden-Meldefrist nach DSGVO Art. 33 zu berücksichtigen.
Spring-Anwendungen werden typischerweise als serverseitige Webanwendungen unter eigenen Domains bereitgestellt. Öffentlich erreichbare Dienste können über HTTP und HTTPS sichtbar sein. LocateRisk EASM kann solche Webanwendungen und zugehörige Assets unter eigenen Domains erfassen und Hinweise auf den Technologieeinsatz liefern — einschließlich vergessener Subdomains oder ungetrackt betriebener Cloud-Instanzen, die im internen Asset-Inventar möglicherweise nicht erfasst sind.
Die externe Sicht ersetzt keine Prüfung der tatsächlich eingesetzten Framework-Version oder der konkreten Funktionsnutzung. Sie unterstützt jedoch die Zuordnung eines Advisories zu erreichbaren Anwendungen, die anschließend durch die zuständigen Teams auf Version, Konfiguration und Patchstatus geprüft werden können.
C-VRM ergänzt diese Sicht durch Hinweise, wenn bei Technologieanbietern kritische Schwachstellen bekannt werden oder sich deren Sicherheitsniveau verändert. Für diesen Spring-Batch bleibt die technische Prüfung der eigenen öffentlich erreichbaren Anwendungen der zentrale Arbeitsschritt.
Betroffen ist Spring-Framework in den oben genannten Versionen. Wer wissen will, ob Spring-Framework in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-59313 ist eine Schwachstelle im Spring Framework, die Spring-MVC-Anwendungen betrifft, welche das funktionale Web-Framework gemeinsam mit Server-Sent Events (SSE) einsetzen. Unter diesen Voraussetzungen kann es zu Stream-Korruption kommen. Ein CVSS-Score wurde zum Veröffentlichungszeitpunkt noch nicht vergeben.
Alle drei Schwachstellen betreffen die Versionsreihen 7.0.0–7.0.8, 6.2.0–6.2.19, 6.1.0–6.1.28, 6.0.0–6.0.30 und 5.3.0–5.3.49. CVE-2026-47892 und CVE-2026-59283 schließen darüber hinaus die 5.2-Reihe ein. CVE-2026-59313 betrifft die 5.2-Reihe nicht.
Der empfohlene Weg ist die Aktualisierung auf eine nicht betroffene Version laut den jeweiligen Spring-Advisories. Für CVE-2026-59283 nennt das Advisory als temporäre Übergangsmaßnahme das Deaktivieren des SpEL-Compiler-Modus IMMEDIATE oder MIXED — diese Maßnahme ersetzt jedoch keine vollständige Aktualisierung. Für CVE-2026-59313 und CVE-2026-47892 sind keine vergleichbaren Workarounds dokumentiert; hier gilt die Aktualisierung als einzige Abhilfemaßnahme.
Stand: 29.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Deutsch 
English 
Français