Anders als in den vergangenen Wochen geht es diesmal nicht um WordPress-Themes, sondern um die Infrastruktur dahinter: die Firewall am Netzwerkrand, den WLAN-Controller im Büro und die Plattform, auf der viele Unternehmen ihre eigenen Anwendungen hosten. Alle drei Funde erreichen mit CVSS-Werten zwischen 9.9 und 10.0 die höchste oder eine der höchsten Risikostufen überhaupt. Wir haben jeden Fund gegen die offizielle Hersteller- beziehungsweise Projekt-Quelle geprüft und ordnen ein, was das für Unternehmen bedeutet, die diese Systeme selbst betreiben. Hinweis zur Einordnung der Werte: Der UniFi-Wert (CVSS 10.0) ist eine offizielle NVD-Bewertung; die Werte fuer OPNsense (9.9) und Coolify (9.9) stammen vom Finder beziehungsweise vom CNA (GitHub) und sind in der NVD noch nicht abschließend angereichert.
OPNsense: Von der Firewall-Alias-Bearbeitung zur Root-Übernahme
CVE-2026-57155 betrifft OPNsense, eine quelloffene Firewall- und Routing-Plattform auf FreeBSD-Basis, die viele kleine und mittlere Unternehmen als Perimeter-Firewall einsetzen. Betroffen sind Versionen vor 26.1.11 (Community-Edition) beziehungsweise vor 26.4.1 (Business-Edition). Der Sicherheitsforscher Jonas Ampferl hat die Lücke gefunden und mit CVSS 9.9 als kritisch bewertet.
Der technische Kern: OPNsense erlaubt es, für die sogenannte GeoIP-Alias-Funktion eine Länderdatenbank von einer frei wählbaren Adresse herunterzuladen, die dann mit Root-Rechten verarbeitet wird. Weder die Adresse noch der Inhalt der heruntergeladenen Datei wurden ausreichend geprüft. Ein Angreifer, der lediglich das eingeschränkte Recht „Firewall: Alias: Edit“ besitzt, also normalerweise nur harmlose Alias-Einträge bearbeiten dürfte, kann den Download auf einen eigenen Server umleiten. Über einen unzureichend validierten Dateinamen in der heruntergeladenen Datenbank lässt sich dann eine Datei an einen beliebigen Pfad im System schreiben, etwa ein Fragment, das der ohnehin root-laufende stündliche Cron-Job anschließend ausführt. Aus einem stark eingeschränkten Konto wird so volle Root-Kontrolle über die Firewall.
Was für die Geschäftsführung zählt: Wenn Ihre Firewall OPNsense ist, entscheidet dieses Update darüber, ob ein Mitarbeiter mit sehr eingeschränkten Rechten, oder ein Angreifer, der ein solches Konto kompromittiert hat, die komplette Firewall und damit den gesamten Netzwerkübergang Ihres Unternehmens übernehmen kann. Das ist kein Randfall, sondern der zentrale Schutzmechanismus zwischen Ihrem Netz und dem Internet.
Was für die Technik zählt: Patch verfügbar. Aktualisieren Sie auf OPNsense 26.1.11 (Community) oder 26.4.1 mit dem zugehörigen Patch-Level (Business), abrufbar über die reguläre Update-Funktion. Prüfen Sie zusätzlich, welche Konten das Recht „Firewall: Alias: Edit“ besitzen, und beschränken Sie es auf das Notwendigste, auch nach dem Patch als zusätzliche Härtung.
Ubiquiti UniFi: Höchstbewertung für Command Injection ohne Anmeldung
CVE-2026-50746 betrifft die UniFi Connect Application von Ubiquiti in Versionen vor 3.4.20, ein Bestandteil des UniFi-Ökosystems, mit dem viele Unternehmen ihr WLAN, ihre Netzwerk-Switches und teils auch Gebäudetechnik wie Beleuchtung oder Ladeinfrastruktur zentral verwalten. Die Lücke ist als CWE-284 (Improper Access Control) eingestuft und erreicht mit CVSS 10.0 den höchstmöglichen Wert. Der Grund: Ein Angreifer mit Zugriff auf das Netzwerk kann, ohne sich anzumelden, über die fehlerhafte Zugriffskontrolle beliebige Befehle auf dem betroffenen Gerät einschleusen. Ubiquiti hat im selben Zug weitere kritische Lücken in UniFi Access, UniFi Protect, UniFi Talk und dem UniFi OS Server geschlossen, die Analyse hier konzentriert sich auf den mit voller Punktzahl bewerteten Fund.
Was für die Geschäftsführung zählt: UniFi-Geräte laufen in vielen Büros unauffällig im Hintergrund, oft ohne dass jemand aktiv auf Updates achtet. Eine Schwachstelle ohne Anmeldeerfordernis und mit Höchstbewertung bedeutet: Jeder, der physischen oder logischen Zugriff auf Ihr Netzwerk erlangt, egal ob über ein kompromittiertes Gerät im Gäste-WLAN oder einen unzureichend gesicherten Netzwerkport, kann im schlimmsten Fall die Kontrolle über Ihre Netzwerk-Infrastruktur übernehmen.
Was für die Technik zählt: Aktualisieren Sie die UniFi Connect Application auf Version 3.4.20 oder neuer. Prüfen Sie parallel, ob weitere UniFi-Komponenten (Access, Protect, Talk, OS Server) im Einsatz sind, und spielen Sie die zugehörigen Updates gemäß dem offiziellen Ubiquiti-Sicherheitshinweis ein. Management-Interfaces von Netzwerk-Infrastruktur sollten grundsätzlich nicht aus dem allgemeinen Nutzernetz erreichbar sein, sondern in einem separaten Verwaltungsnetz liegen.
Coolify: Wenn Deployment-Rechte zur Serverübernahme werden
CVE-2026-34038 betrifft Coolify, eine quelloffene Self-Hosting-Plattform, mit der Unternehmen eigene Anwendungen ähnlich wie bei einem Cloud-Anbieter deployen, ohne auf einen externen Dienst angewiesen zu sein. Betroffen sind Versionen bis einschließlich 4.0.0-beta.462, gepatcht ist die Lücke ab 4.0.0-beta.469. Der CVSS-Wert liegt bei 9.9. Die Schwachstelle liegt im Deployment-Prozess: Nutzer mit Schreibrechten auf eine Anwendung können über den Parameter „dockerfile_location“ oder den „pre_deployment_command“ Shell-Metazeichen wie Semikolons oder Backticks einschleusen, weil die Eingabe nicht ausreichend maskiert wird. Das erlaubt Remote Code Execution und das Auslesen sensibler Umgebungsvariablen wie Datenbank-Zugangsdaten oder API-Schlüssel über die Deployment-Logs, selbst wenn der eigentliche Docker-Socket isoliert ist.
Was für die Geschäftsführung zählt: Wer Coolify zum Selbst-Hosten eigener Anwendungen nutzt, überträgt einem Team-Mitglied mit Deployment-Rechten faktisch die Möglichkeit, den gesamten Host-Server zu übernehmen, inklusive aller dort gespeicherten Zugangsdaten anderer Anwendungen. Das betrifft nicht nur externe Angreifer, sondern auch das Risiko durch kompromittierte interne Konten.
Was für die Technik zählt: Aktualisieren Sie auf Coolify 4.0.0-beta.469 oder neuer. Prüfen Sie zusätzlich, wer in Ihrer Coolify-Instanz Schreibrechte auf Anwendungen besitzt, und rotieren Sie sicherheitshalber Zugangsdaten, die in Deployment-Umgebungen sichtbar waren, wenn eine ältere Version im Einsatz war.
Fazit und Prioritätenliste
- Ubiquiti UniFi Connect (CVE-2026-50746): höchste Priorität, CVSS 10.0 ohne Anmeldeerfordernis, sofort auf 3.4.20 oder neuer aktualisieren.
- OPNsense (CVE-2026-57155): CVSS 9.9, Firewall-Übernahme aus eingeschränktem Konto möglich, auf 26.1.11 (Community) beziehungsweise 26.4.1p1 (Business) aktualisieren.
- Coolify (CVE-2026-34038): CVSS 9.9, betrifft Self-Hosting-Umgebungen mit mehreren Deployment-Berechtigten, auf 4.0.0-beta.469 oder neuer aktualisieren.
Gemeinsam ist allen drei Funden: Es handelt sich nicht um Randsysteme, sondern um die Infrastruktur, auf der andere Sicherheitsmaßnahmen aufbauen. Eine Firewall, ein Netzwerk-Controller oder eine Self-Hosting-Plattform mit kritischer Lücke untergräbt den Schutz aller Systeme dahinter. Ein regelmäßiger, unabhängiger Sicherheits-Check deckt genau solche Abhängigkeiten auf, etwa mit unserem Auditor, der Consent- und Datenfluss-Risiken samt bekannter Schwachstellen in eingesetzter Software systematisch prüft.
Quellen (Abrufdatum: 13.07.2026)
- OPNsense: github.com/Ampferl/security/blob/main/disclosures/001_opnsense-rce-file-write-geoip/README.md, heise.de/en/news/OPNsense-update-fixes-critical-root-vulnerability-and-other-security-risks-11355259.html
- Ubiquiti UniFi Connect: nvd.nist.gov/vuln/detail/CVE-2026-50746 (NVD, PUBLISHED), Ubiquiti Community Security Advisory Bulletin (community.ui.com), securityaffairs.com/194978, thehackernews.com/2026/07/ubiquiti-patches-critical-unifi-flaws.html
- Coolify: github.com/coollabsio/coolify/security/advisories/GHSA-qqrq-r9h4-x6wp, heise.de/en/news/Coolify-Critical-vulnerabilities-could-enable-remote-attacks-11354777.html