Die Schwachstelle CVE-2026-13601 betrifft Yelp, den GNOME-Hilfebrowser, der primär in Desktop-Linux-Umgebungen eingesetzt wird. Der Kunde betreibt SLES 15 und Ubuntu 22.04 LTS, jedoch typischerweise als Server ohne GNOME-Desktop-Umgebung, in der Yelp nicht installiert ist. Das verfügbare Sicherheitsupdate bezieht sich ausschließlich auf openSUSE Leap 16.0, nicht auf die eingesetzten Distributionen des Kunden. Mangels CVE-Daten (CVSS, EPSS) ist eine präzise Risikoquantifizierung nicht möglich, die lokale Ausnutzbarkeit ohne Privilegien auf einem Server-System ohne GUI-Stack ist jedoch praktisch nicht gegeben.

Die betroffene Komponente uriparser ist eine URI-Parsing-Bibliothek, für die ein Sicherheitsupdate ausschließlich für openSUSE Leap 16.0 bereitsteht. Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht openSUSE Leap 16.0. Zu den drei CVEs (CVE-2026-42371, CVE-2026-44927, CVE-2026-44928) liegen keine CVSS-Vektoren, EPSS-Scores oder KEV-Einträge vor, da die Advisories sehr neu sind. Selbst wenn uriparser auf den Linux-Systemen des Kunden installiert sein sollte, ist kein Patch für die eingesetzten Distributionen verfügbar oder angekündigt.

Die Schwachstelle CVE-2026-2303 betrifft Apptainer, eine Container-Laufzeitumgebung primär für HPC-Umgebungen (High Performance Computing). Im Kundenkontext der Beispiel GmbH sind ausschließlich Windows Server, SLES 15, Ubuntu 22.04 LTS sowie Netzwerk- und Standardanwendungen im Einsatz – Apptainer ist in keiner dieser Technologien enthalten. Das verfügbare Sicherheitsupdate bezieht sich zudem ausschließlich auf openSUSE Leap 16.0, nicht auf SLES 15 oder Ubuntu. Mangels CVE-Details sind CVSS-Vektor und EPSS-Score nicht bewertbar, die fehlende Produktrelevanz macht eine tiefergehende Analyse jedoch obsolet.

Die Schwachstelle CVE-2026-56016 betrifft das Perl-Modul CGI::Session und ermöglicht das Ausspähen von Informationen aus der Ferne ohne Authentifizierung. Mangels verfügbarer CVE-Details (CVSS, EPSS) ist eine präzise Risikobewertung nicht möglich. Entscheidend für den Kunden: Die betroffene Plattform ist openSUSE/SLES, der Kunde setzt SLES 15 ein, was eine grundsätzliche Relevanz begründet. Allerdings ist CGI::Session ein Perl-Webframework-Modul, das nur dann relevant ist, wenn der Kunde aktiv Perl-basierte CGI-Webanwendungen auf SLES 15 betreibt – was im vorliegenden Technologieprofil (Apache/nginx, aber keine Perl-Applikationen explizit genannt) als unwahrscheinlich einzustufen ist.

Die Schwachstelle CVE-2026-58379 in GIMP erfordert lokalen Zugriff, übliche Benutzerrechte sowie aktive Benutzerinteraktion – der Angriffspfad ist damit erheblich eingeschränkt. GIMP ist primär ein Desktop-Bildbearbeitungsprogramm und in typischen Unternehmensumgebungen kein kritisches System. Der Kundenkontext zeigt keine explizite GIMP-Nutzung; die eingesetzten Linux-Systeme (SLES 15, Ubuntu 22.04 LTS) sind zwar betroffen, jedoch sind Patches aktuell nur für RHEL 9 verfügbar. CVE-Daten und EPSS-Score liegen nicht vor, was eine präzise Exploitabilitätsbewertung erschwert.

Die Schwachstellen betreffen die Go-Laufzeitumgebung (golang) auf Linux-Systemen (RHEL, Oracle Linux). Der Kundenkontext umfasst zwar Linux-Systeme (SLES 15, Ubuntu 22.04 LTS), jedoch sind die verfügbaren Patches explizit für Red Hat Enterprise Linux und Oracle Linux ausgestellt – nicht für SUSE oder Ubuntu. Darüber hinaus ist Go als Entwicklungsumgebung im Technologiestack der Beispiel GmbH nicht aufgeführt, sodass eine direkte Betroffenheit unwahrscheinlich ist. Der EPSS-Score von 0,2 % (8. Perzentile) signalisiert eine sehr geringe reale Ausnutzungswahrscheinlichkeit, und ein KEV-Eintrag liegt nicht vor.

Die Schwachstellen in MIT Kerberos 5 betreffen primär DoS-Szenarien mit begrenztem Schadenspotenzial. Der CVSS-Vektor von CVE-2026-11850 (AV:N/AC:H/PR:H) erfordert hohe Privilegien und hohe Angriffskomplexität, was die reale Ausnutzbarkeit erheblich einschränkt. Der EPSS-Score von 0,3% (Perzentile 17%) bestätigt eine sehr geringe Wahrscheinlichkeit aktiver Ausnutzung; ein KEV-Eintrag liegt nicht vor. Der Kunde betreibt SLES 15, das explizit im Advisory als betroffene Plattform genannt wird, weshalb die Schwachstellen technisch relevant sind, jedoch kein akutes Risiko darstellen.

OpenEXR ist eine Bibliothek zur Verarbeitung von HDR-Bilddateien, die primär in Grafik- und VFX-Anwendungen eingesetzt wird. Die betroffenen Systeme sind Red Hat Enterprise Linux / CodeReady Linux Builder – der Kunde betreibt SLES 15 und Ubuntu 22.04 LTS, für die keine Patches im Advisory genannt werden. Zudem ist OpenEXR in typischen Unternehmensumgebungen ohne Medienverarbeitung kein standardmäßig installiertes oder exponiertes Paket. CVE-Daten und EPSS-Scores liegen noch nicht vor (Advisory sehr neu, CVE-IDs mit 2026-Jahrgang), sodass die reale Ausnutzbarkeit nicht quantifizierbar ist; eine Benutzerinteraktion ist für mindestens eine der Schwachstellen erforderlich.

Die Schwachstelle betrifft Rocket.Chat, eine Team-Kollaborations- und Messaging-Plattform. Rocket.Chat ist nicht im Technologieportfolio der Beispiel GmbH gelistet – der Kunde setzt Microsoft Teams als Kollaborationslösung ein. Mangels CVE-Daten und EPSS-Score ist eine quantitative Risikoeinschätzung nicht möglich, jedoch ist die Relevanz aufgrund fehlender Betroffenheit der eingesetzten Systeme nicht gegeben. Die im Advisory genannten Plattformen 'Linux' und 'Microsoft' beziehen sich auf die Betriebssysteme, auf denen Rocket.Chat betrieben werden kann, nicht auf eigenständige Microsoft-Produkte.

Die betroffenen Schwachstellen betreffen ausschließlich Red Hat Enterprise Linux (RHEL 8) mit dem Paket 'container-tools:rhel8' (Podman, Go-Laufzeit). Der Kunde setzt laut Technologieprofil SLES 15 und Ubuntu 22.04 LTS ein, jedoch kein RHEL. Keine der eingesetzten Plattformen des Kunden ist direkt betroffen. Zu den genannten CVEs (CVE-2026-33811, CVE-2026-39835, CVE-2026-57231) liegen keine CVSS- oder EPSS-Daten vor, da das Advisory sehr neu ist; eine weitergehende Exploitabilitätsbewertung ist daher nicht möglich.

Das Advisory beschreibt zehn Schwachstellen in curl/libcurl, die Remote-Ausnutzung ohne Privilegien ermöglichen und Informationsabfluss, Security-Bypass sowie DoS abdecken. CVE-Details und CVSS-Vektoren liegen noch nicht vor (sehr neues Advisory vom 2026-07-13), daher ist eine präzise Risikobewertung eingeschränkt. Der Kunde betreibt Ubuntu 22.04 LTS und SLES 15, auf denen curl/libcurl systemweit genutzt wird – die Angriffsfläche ist real, da curl in vielen Automatisierungs- und Deployment-Prozessen eingesetzt wird. Kein KEV-Eintrag bekannt, EPSS-Daten fehlen mangels CVE-Metadaten; historisch werden curl-Schwachstellen selten aktiv in Unternehmensumgebungen ausgenutzt, solange keine RCE-Komponente vorliegt.

Das Advisory betrifft Python Pillow auf openSUSE Leap 16.0 (Linux). Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht openSUSE Leap 16.0. Zwar könnte Python Pillow grundsätzlich auch auf den eingesetzten Linux-Systemen installiert sein, jedoch sind keine CVE-Details oder EPSS-Scores verfügbar, da die CVE-IDs (2026-er Jahrgang) noch nicht in öffentlichen Datenbanken gelistet sind. Die RCE-Schwachstelle (CVE-2026-42311) ist zudem nur lokal ausnutzbar, was das Risiko im Unternehmenskontext deutlich reduziert. Ohne Bestätigung, dass Pillow auf den Kundensystemen produktiv eingesetzt wird, und ohne verfügbare Patches für SLES 15 oder Ubuntu 22.04 LTS ist eine direkte Handlungsrelevanz aktuell nicht gegeben.

Der Kunde setzt SLES 15 ein, womit cosign-Pakete potenziell betroffen sind. Die 19 Schwachstellen umfassen Security-Bypass, XSS und DoS – wobei XSS für ein CLI-Signaturwerkzeug wie cosign im Unternehmenskontext typischerweise geringes Schadenspotenzial hat. Keine CVE-Daten mit CVSS/EPSS sind verfügbar (Advisory sehr neu, CVE-IDs mit 2026-Jahrgang noch nicht in NVD indexiert), was die Einschätzung erschwert. Kein KEV-Eintrag bekannt; die Ausnutzbarkeit ohne Privilegien aus der Ferne ist jedoch ein erschwerender Faktor, sofern cosign aktiv genutzt wird.

WebKitGTK ist eine GTK-basierte WebKit-Implementierung für Linux-Desktop-Anwendungen und betrifft primär Fedora-Systeme. Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, auf denen WebKitGTK zwar prinzipiell vorhanden sein kann (z. B. über GNOME-Anwendungen), jedoch typischerweise keine zentrale Rolle in Unternehmensinfrastrukturen spielt. Alle Schwachstellen erfordern Benutzerinteraktion, was die Ausnutzbarkeit im Serverkontext stark einschränkt. CVE-Daten und EPSS-Scores liegen nicht vor (Advisory sehr neu, viele CVEs aus 2026 noch ohne öffentliche Bewertung); CVE-2024-4367 (PDF.js) ist bekannt und wurde historisch aktiv ausgenutzt, ist hier aber im WebKitGTK-Kontext eingebettet.

Die Schwachstellen CVE-2026-14474 und CVE-2026-14476 betreffen SSSD (System Security Services Daemon) unter Linux, konkret openSUSE Leap 16.0. Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht openSUSE Leap 16.0. Zu den CVEs liegen keine CVSS-Vektoren, EPSS-Scores oder KEV-Einträge vor, da das Advisory sehr neu ist und die CVEs noch nicht in öffentlichen Datenbanken indexiert sind. Selbst wenn SSSD auf den eingesetzten Linux-Systemen aktiv ist, ist das bereitgestellte Patch-Paket ausschließlich für openSUSE Leap 16.0 verfügbar – eine direkte Betroffenheit der Kundensysteme ist derzeit nicht belegt.

Das Advisory betrifft das Perl DBI-Modul unter Linux, konkret openSUSE Leap 16.0. Der Kunde setzt SLES 15 und Ubuntu 22.04 LTS ein, nicht openSUSE Leap 16.0. Zwar sind beide CVEs (RCE und DoS) grundsätzlich ernst zu nehmen – Ausnutzung erfordert jedoch übliche Privilegien (authentifizierter Zugriff) und teilweise Benutzerinteraktion, was die reale Angriffsfläche weiter reduziert. Da keine CVE-Daten mit CVSS-Vektor oder EPSS-Score vorliegen und das Patch-Advisory ausschließlich auf openSUSE Leap 16.0 abzielt, besteht für die eingesetzten Systeme des Kunden derzeit kein direkter Handlungsbedarf.

Das Advisory betrifft GitHub CLI (gh) unter Linux, speziell openSUSE Leap 16.0. Der Kundenkontext umfasst SLES 15 und Ubuntu 22.04 LTS, jedoch keine openSUSE-Systeme. GitHub CLI ist zudem ein Entwicklerwerkzeug, das typischerweise nicht auf Produktionsservern installiert ist und im vorliegenden Technologieprofil nicht aufgeführt wird. CVE-2024-52308 ermöglicht zwar Remote Code Execution ohne Privilegien (mit Benutzerinteraktion), CVE-2025-27144 betrifft eine DoS-Schwachstelle in Go JOSE. Ohne Einsatz von GitHub CLI in der Kundenumgebung besteht keine direkte Angriffsfläche.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Die Schwachstellen betreffen IBM Db2 in den Versionszweigen 11.5 und 12.1. Im dokumentierten Technologiestack der Beispiel GmbH ist IBM Db2 nicht vorhanden – als Datenbankprodukt wird ausschließlich PostgreSQL eingesetzt. Obwohl einzelne Schwachstellen (insbesondere CVE-2026-10535 zur Remote-Code-Execution) grundsätzlich als ernst einzustufen wären, entfällt jede Relevanz mangels betroffener Software im Kundensystem. CVE-Details und EPSS-Scores liegen noch nicht vor, da das Advisory sehr neu ist, was die Einschätzung jedoch nicht verändert.

Mattermost Server ist laut den vorliegenden Informationen nicht im Technologieportfolio der Beispiel GmbH im Einsatz. Der Kunde nutzt Microsoft Teams als Kollaborationsplattform, nicht Mattermost. Eine Bewertung der Schwachstellen selbst ist zudem nicht möglich, da weder CVE-Details noch CVSS-Vektoren, EPSS-Scores noch Advisory-Volltext verfügbar sind.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Apache Camel ist ein Open-Source-Integrationsframework, das in der eingesetzten Technologiebasis der Beispiel GmbH nicht aufgeführt ist. Es liegen keine CVE-Details, kein CVSS-Vektor, kein EPSS-Score und kein KEV-Eintrag vor, sodass eine inhaltliche Risikobewertung der Schwachstellen selbst nicht möglich ist. Da Apache Camel im Kundenkontext nicht als eingesetzte Technologie gelistet ist, besteht keine direkte Angriffsfläche. Eine Relevanz wäre nur gegeben, wenn Apache Camel indirekt über Middleware oder Integrationskomponenten im Einsatz ist.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.

Das Advisory betrifft Apache log4j und Log4cxx mit Schwachstellen zur Dateimanipulation. Da keine CVE-Details, kein CVSS-Vektor, kein EPSS-Score und kein KEV-Eintrag vorliegen, ist eine präzise Risikobewertung nicht möglich. Der Name 'log4j' weckt Assoziationen zu Log4Shell (CVE-2021-44228), jedoch handelt es sich hier um einen anderen Schwachstellentyp (Dateimanipulation, nicht RCE). Im Kundenkontext sind Apache HTTP Server und Linux-Systeme (SLES 15, Ubuntu 22.04) potenziell betroffen, sofern log4j oder Log4cxx als Abhängigkeit eingesetzt wird – was bei reinen Webserver-Deployments ohne Java-Anwendungen unwahrscheinlich ist.

Das Advisory betrifft Microsoft Edge, der im Unternehmenskontext auf Windows 10 und Windows 11 Systemen des Kunden eingesetzt werden dürfte. Da weder CVE-Details noch CVSS-Vektoren, EPSS-Scores noch KEV-Einträge vorliegen, ist eine präzise Risikobewertung nicht möglich. Historisch enthält Edge-Advisories mit 'mehrere Schwachstellen' regelmäßig Chromium-basierte Schwachstellen, darunter gelegentlich kritische RCE- oder Sandbox-Escape-Lücken. Die Bewertung 'MITTEL' als Vorsichtsmaßnahme spiegelt die Datenlage wider – eine Neubewertung ist nach Verfügbarkeit der CVE-Details erforderlich.

Für dieses Advisory liegen weder CVE-Details noch CVSS-Vektoren, EPSS-Scores noch KEV-Einträge vor, was eine fundierte Risikobewertung erheblich einschränkt. nghttp2 ist eine HTTP/2-Implementierungsbibliothek, die in verschiedenen Softwareprodukten eingesetzt wird – im vorliegenden Kundenprofil sind Apache HTTP Server und nginx potenzielle Angriffsvektoren, sofern diese mit nghttp2 kompiliert wurden. Die beschriebene Schwachstellenkategorie 'Manipulation von Daten' deutet auf eine Integritätsgefährdung hin, typischerweise ohne direkte Code-Ausführung, was das Risiko tendenziell begrenzt. Ohne konkrete technische Details ist eine präzise Einschätzung nicht möglich; die Bewertung basiert daher auf dem bekannten Schwachstellenmuster bei nghttp2 (z.B. HPACK-Flooding, Header-Manipulation).

Basierend auf dem Kundenprofil betrifft dieses Advisory keine im Einsatz befindlichen Systeme oder Technologien.