CVE-2026-58066: Kritische Schwachstelle in Rocket.Chat ermöglicht Account-Übernahme
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 30. Juli 2026 wurde eine kritische Sicherheitslücke in der Kommunikationsplattform Rocket.Chat unter der Kennung CVE-2026-58066 veröffentlicht. Die Schwachstelle wird mit einem CVSS-Score von 9.8 bewertet und betrifft die Implementierung des SAML Single Sign-On (SSO). Sie erlaubt es unauthentifizierten Angreifern, die Authentifizierung zu umgehen und beliebige Benutzerkonten, einschließlich solcher mit administrativen Rechten, zu übernehmen. Herstellerseitig stehen bereits fehlerbereinigte Versionen zur Verfügung.
Rocket.Chat hat in den vergangenen Jahren mehrfach SAML-bezogene Sicherheitsprobleme behoben. Im Mai 2026 veröffentlichte der Hersteller allein zwei weitere SAML-Advisories — darunter einen Fall, in dem die Signaturvalidierung bei leerem IdP-Zertifikatsfeld vollständig übersprungen wurde (GHSA-rgg7-qvp9-wvx7), sowie eine fehlende Signaturprüfung beim Logout (GHSA-pw6f-q8ww-vqfq). Das wiederkehrende Muster unterstreicht, wie wichtig ein kontinuierliches Monitoring der Sicherheitslage von Drittanbietern und eingesetzter Kommunikationssoftware ist.
Die Ursache der Schwachstelle liegt in einer fehlerhaften Verarbeitung von SAML-Antworten, die für den SSO-Prozess verwendet werden. Klassifiziert unter CWE-347 (Improper Verification of Cryptographic Signature) nutzt der Angriffsmechanismus eine Technik, die als XML Signature Wrapping (XSW) bekannt ist. CVSS-Score: 9.8 (Critical) — Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Die SAML-Implementierung von Rocket.Chat hat zwar die kryptografische Signatur innerhalb einer XML-Nachricht eines vertrauenswürdigen Identity Providers (IdP) validiert, versäumte es jedoch, diese validierte Signatur fest an die eigentlichen Identitätsdaten (samlp:Response / saml:Assertion) zu binden.
Ein Angreifer kann dies ausnutzen, indem er eine gültig signierte SAML-Antwort in eine manipulierte XML-Struktur einbettet. Diese äußere Struktur enthält gefälschte Benutzerattribute, etwa die Kennung eines Administrators. Die verwundbare Rocket.Chat-Instanz verarbeitet das Dokument, findet die gültige Signatur und wendet deren Vertrauensstatus fälschlicherweise auf die vom Angreifer kontrollierten, manipulierten Daten an. Dies führt zu einem erfolgreichen Login als der gefälschte Benutzer, ohne dass Anmeldedaten erforderlich sind.
Betroffen sind alle selbst-gehosteten Rocket.Chat-Instanzen, die SAML SSO verwenden und eine der folgenden Versionen einsetzen:
Versionen vor 8.7.0
Versionen vor 8.6.1
Versionen vor 8.5.2
Versionen vor 8.4.5
Versionen vor 8.3.7
Versionen vor 8.2.7
Versionen vor 8.1.7
Versionen vor 8.0.8
Versionen vor 7.10.14
Empfohlene Gegenmaßnahmen
Unternehmen, die Rocket.Chat einsetzen, sollten umgehend handeln, um ihre Systeme abzusichern. Die folgenden Schritte sind erforderlich:
Sofortiges Update: Die wichtigste Maßnahme ist die Aktualisierung auf eine der gepatchten Versionen: 8.7.0, 8.6.1, 8.5.2, 8.4.5, 8.3.7, 8.2.7, 8.1.7, 8.0.8 oder 7.10.14.
Konfigurationsprüfung: Überprüfen Sie die SAML-SSO-Konfiguration und stellen Sie sicher, dass das Zertifikat des Identity Providers korrekt hinterlegt ist, um verwandte Konfigurationsfehler auszuschließen.
Langfristige Überwachung: Etablieren Sie ein kontinuierliches Schwachstellenmanagement. Dazu gehört die regelmäßige Prüfung der Security Advisories des Herstellers, der eine 30-tägige Disclosure-Policy verfolgt, bei der Updates unter Umständen vor der öffentlichen Bekanntgabe von Details bereitgestellt werden.
Hinweis für Unternehmen in Deutschland und der EU: Wer Rocket.Chat selbst hostet und SAML SSO einsetzt, sollte im Falle einer Kompromittierung personenbezogener Daten die Meldepflicht nach Art. 33 DSGVO beachten (Frist: 72 Stunden nach Kenntnisnahme an die zuständige Aufsichtsbehörde). Betreiber kritischer Infrastrukturen können darüber hinaus Meldepflichten nach NIS-2 unterliegen. Das BSI empfiehlt grundsätzlich die zeitnahe Einspielung von Sicherheitsupdates bei kritischen Schwachstellen.
Einordnung durch LocateRisk
Die Schwachstelle CVE-2026-58066 verdeutlicht zwei zentrale Herausforderungen für die IT-Sicherheit von Unternehmen: die Sichtbarkeit externer Angriffsflächen und das Risiko durch eingesetzte Software von Drittanbietern.
External Attack Surface Management (EASM): Rocket.Chat wird häufig selbst gehostet und läuft unter der Domain einer Organisation (z. B. chat.firmenname.de). Solche Instanzen können leicht zu „Schatten-IT“ werden – also zu Systemen, die ohne zentrale Aufsicht betrieben und bei Patch-Zyklen übersehen werden. Eine EASM-Plattform wie LocateRisk identifiziert kontinuierlich alle öffentlich erreichbaren Systeme einer Organisation, einschließlich solcher Rocket.Chat-Server. Diese Transparenz ist die Grundlage, um betroffene Systeme überhaupt erst identifizieren und anschließend absichern zu können.
Vendor Risk Management (VRM): Setzt ein Dienstleister oder Partner eine verwundbare Rocket.Chat-Instanz für die Kommunikation ein, stellt dies ein Lieferkettenrisiko dar. Die Kompromittierung des Dienstleisters kann direkte Auswirkungen auf die eigene Organisation haben — ein Muster, das sich angesichts der wiederholt aufgetretenen SAML-Schwachstellen bei Rocket.Chat besonders deutlich zeigt. Das Cyber Vendor Risk Management von LocateRisk bewertet die Sicherheitslage von Drittanbietern kontinuierlich und automatisiert. So werden Risiken in der Lieferkette frühzeitig erkannt, bevor sie zu einem Sicherheitsproblem für das eigene Unternehmen werden.
LocateRisk ist eine in Deutschland entwickelte und gehostete Lösung, die bei der Erfüllung von DSGVO-Anforderungen unterstützt und das Risiko von US-Cloud-Act-Zugriffen durch deutsches Hosting reduziert.
CVE-2026-58066 ist eine kritische Sicherheitslücke (CVSS 9.8) in der SAML-SSO-Implementierung von Rocket.Chat. Sie ermöglicht es unauthentifizierten Angreifern, die XML-Signaturprüfung zu umgehen und sich als beliebiger Benutzer — einschließlich Administratoren — einzuloggen, ohne Zugangsdaten zu besitzen. Die Technik dahinter heißt XML Signature Wrapping (XSW) und ist unter CWE-347 klassifiziert.
Betroffen sind selbst-gehostete Rocket.Chat-Instanzen mit SAML SSO, die älter sind als die folgenden Patches: 8.7.0, 8.6.1, 8.5.2, 8.4.5, 8.3.7, 8.2.7, 8.1.7, 8.0.8 und 7.10.14. Wer eine dieser Versionen oder eine neuere einsetzt, ist nicht mehr anfällig. Instanzen ohne SAML-SSO-Konfiguration sind von dieser spezifischen Schwachstelle nicht betroffen.
Die wichtigste Maßnahme ist das sofortige Update auf eine der gepatchten Versionen. Ergänzend sollte die SAML-Konfiguration — insbesondere das hinterlegte IdP-Zertifikat — auf Korrektheit geprüft werden. Rocket.Chat veröffentlicht Security Advisories in der Regel 30 Tage nach Bereitstellung eines Fixes; ein Abonnement der offiziellen Security Advisories unter github.com/RocketChat/Rocket.Chat/security hilft, künftige Schwachstellen frühzeitig zu erkennen.
Stand: 30.07.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français