Die Schwachstellen betreffen Buildah, ein Container-Build-Tool für Linux-Umgebungen (Red Hat Enterprise Linux, Oracle Linux). Der Kunde setzt ausschließlich SLES 15 und Ubuntu 22.04 LTS als Linux-Systeme ein – weder RHEL noch Oracle Linux sind im Technologieportfolio vorhanden. Darüber hinaus gibt es keine Hinweise darauf, dass Buildah im Kundenumfeld eingesetzt wird. CVE-Daten und EPSS-Scores liegen noch nicht vor, da das Advisory sehr neu ist, was eine präzise Exploitabilitätsbewertung verhindert. Selbst bei vorhandenem RHEL/Oracle-Linux-Einsatz wäre die Relevanz von der tatsächlichen Nutzung von Buildah abhängig.

Warewulf4 ist ein HPC-Cluster-Provisioning-Tool, das im eingesetzten Technologie-Stack der Beispiel GmbH nicht vorkommt. Die betroffenen Plattformen (SUSE HPC Module, openSUSE Leap, SLES HPC-Varianten) decken sich zwar teilweise mit dem eingesetzten SLES 15, jedoch ist Warewulf4 eine spezialisierte HPC-Software, die in einer Standard-Unternehmensumgebung typischerweise nicht installiert ist. Der EPSS-Score von 0,3% (Perzentile 19%) bestätigt eine sehr geringe reale Ausnutzungswahrscheinlichkeit, und es liegt kein KEV-Eintrag vor.

Die beiden bewerteten CVEs (CVE-2026-40385, CVE-2026-40386) weisen einen lokalen Angriffsvektor (AV:L) mit hoher Angriffskomplexität (AC:H) auf und erfordern keine Authentifizierung, ermöglichen jedoch nur eingeschränkten Informationsabfluss und begrenzte Verfügbarkeitsbeeinträchtigung. Die EPSS-Scores von 0,1% (Perzentile 1% bzw. 3%) signalisieren eine sehr geringe reale Ausnutzungswahrscheinlichkeit. Kein KEV-Eintrag vorhanden. Der Kunde betreibt SLES 15, für das Patches verfügbar sind – Ubuntu 22.04 LTS ist ebenfalls potenziell betroffen, sofern libexif installiert ist. Die dritte Schwachstelle CVE-2026-32775 (Codeausführung) ist im Advisory erwähnt, aber ohne CVSS/EPSS-Daten bewertet, was die Gesamteinschätzung mit Unsicherheit behaftet.

Das Advisory betrifft TigerVNC auf Linux-Systemen (primär Red Hat Enterprise Linux / Oracle Linux). Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht RHEL oder Oracle Linux. TigerVNC ist zudem typischerweise kein Standardbestandteil von Server-Deployments und müsste explizit installiert sein. Da keine CVE-Details vorliegen, ist eine CVSS- oder EPSS-basierte Bewertung nicht möglich, jedoch ändert dies nichts an der fehlenden Plattformrelevanz für den vorliegenden Kundenkontext.

libaom ist eine AV1-Video-Codec-Bibliothek, die in verschiedenen Anwendungen eingesetzt wird. Die vier CVEs (CVE-2026-56208 bis -56211) ermöglichen theoretisch Remote Code Execution, erfordern jedoch zwingend Benutzerinteraktion (z. B. Öffnen einer manipulierten Mediendatei) und keine Privilegien. Da keine CVE-Detaildaten, kein EPSS-Score und kein CISA-KEV-Eintrag vorliegen, ist die reale Ausnutzungswahrscheinlichkeit derzeit nicht quantifizierbar. Der Kunde betreibt SLES 15, das explizit als betroffene Plattform gelistet ist; Microsoft Office-Systeme (Windows) sind nach aktuellem Advisory-Stand nicht betroffen.

Die betroffenen Produkte sind Ruby-Laufzeitumgebungen unter Linux, primär im Entwicklungskontext. Der Kundenkontext (Beispiel GmbH) listet keine Ruby-Installationen oder Ruby-basierten Anwendungen in der eingesetzten Technologiebasis. Die betroffenen Linux-Systeme (SLES 15, Ubuntu 22.04 LTS) könnten zwar Ruby als Systempaket enthalten, jedoch ist dies ohne expliziten Einsatz im Produktivbetrieb nicht risikorelevant. Der EPSS-Score von 0,5 % (Perzentile 39 %) signalisiert eine geringe reale Ausnutzungswahrscheinlichkeit; kein KEV-Eintrag vorhanden.

Die Schwachstellen in rlottie ermöglichen ausschließlich lokale Denial-of-Service-Angriffe und erfordern zwingend Benutzerinteraktion (z. B. Öffnen einer manipulierten Lottie-Animationsdatei). Keine Privilegien sind erforderlich, jedoch ist der Angriffsvektor lokal, was die Ausnutzbarkeit im Unternehmenskontext erheblich einschränkt. CVE-Daten und EPSS-Scores liegen noch nicht vor (sehr neues Advisory), und es gibt keinen KEV-Eintrag. Der Kunde setzt Microsoft Office auf Windows ein, nicht auf Linux; rlottie ist primär eine Linux-Bibliothek (Debian-Paket), sodass die Relevanz für die eingesetzte Infrastruktur gering ist – Ubuntu 22.04 LTS könnte betroffen sein, sofern rlottie dort installiert ist.