Kritische Lücke in OPNsense: Jetzt auf 26.1.11 updaten
Wer eine OPNsense-Firewall betreibt, sollte diese Woche kein anderes To-do höher priorisieren: Mit den Versionen 26.1.11 (Community Edition) und 26.4.1p1 (Business Edition) schließt das Projekt mehrere Sicherheitslücken – darunter eine, die es in sich hat.
Was ist passiert?
Die Schwachstelle CVE-2026-57155 wurde mit einem CVSS-Score von 9,9 von 10 bewertet – also fast das Maximum. Im schlimmsten Fall kann ein Angreifer darüber Code mit Root-Rechten ausführen und die komplette Firewall übernehmen. Und wer die Firewall kontrolliert, kontrolliert das Netz dahinter.
Besonders bitter: Der Fehler steckt in einer eigentlich praktischen Komfortfunktion, den GeoIP-Aliassen. Damit lassen sich Firewall-Regeln nach Herkunftsland schalten – etwa „SSH nur aus Deutschland“. Für diese Funktion lädt OPNsense eine Länderdatenbank von einer konfigurierbaren URL herunter und verarbeitet sie mit Root-Rechten. Genau bei dieser Verarbeitung wurden Inhalte aus der heruntergeladenen Datei nicht ausreichend geprüft, sodass sich darüber Dateien manipulieren und letztlich Code einschleusen ließ.
Ein Proof-of-Concept ist bereits öffentlich verfügbar. Hinweise auf aktive Angriffe gibt es bislang zwar nicht – aber bei einer 9,9er-Lücke mit öffentlichem PoC ist das nur eine Frage der Zeit.
Wer ist betroffen?
- Alle OPNsense-Installationen vor 26.1.11 (Community) bzw. vor 26.4.1p1 (Business)
- Erhöhtes Risiko besteht insbesondere dort, wo GeoIP-Aliasse aktiv genutzt werden
Neben der kritischen Lücke wurden weitere Schwachstellen mit Schweregrad „moderate“ bis „high“ behoben. Details dazu finden sich in den Security Advisories im OPNsense-GitHub-Repository.
Was ist zu tun?
Das Update auf die aktuelle Version sollte zeitnah eingespielt werden – idealerweise noch in dieser Woche. Da bei Firewall-Updates immer ein Neustart und ein gewisses Restrisiko im Spiel sind, gehört ein geplantes Wartungsfenster inklusive Backup dazu.
Wer sich das nicht selbst zutraut oder schlicht keine Zeit dafür hat: Wir übernehmen das gerne. Als IT-Dienstleister aus Köln betreuen wir Firewall-Umgebungen für kleine und mittlere Unternehmen – vom einmaligen Sicherheitsupdate bis zur laufenden Wartung im Managed-Service. Sprecht uns einfach an.
Unsere Einschätzung
Firewalls gehören zu den Systemen, die nach der Einrichtung gerne vergessen werden – „läuft ja“. Genau das macht solche Lücken so gefährlich: Draußen stehen unzählige Installationen monatelang auf altem Stand. Eine kritische Lücke im Gerät, das das gesamte Netzwerk schützen soll, gehört nicht auf die „bei Gelegenheit“-Liste, sondern in dieselbe Woche.
Für unsere Managed-Firewall-Kunden übernehmen wir das Update im Rahmen der regulären Wartung – dort ist nichts weiter zu tun.
Quellen: OPNsense Release Notes 26.1.11 / 26.4.1, Security Advisories im OPNsense-GitHub-Repository, heise Security
