Das BSI CERT-Bund meldet seit 2026-10-06 eine Schwachstelle in der Prozess-Engine Camunda (CVE-2026-77226). Ein entfernter, anonymer Angreifer kann Administratorrechte erlangen. Die Einstufung lautet „hoch“. Beispielcode zur Ausnutzung (Proof of Concept) ist im Internet verfügbar. Betroffen sind Camunda-Versionen vor 7.24.16. Der Hersteller hat am 2026-10-09 die Sicherheitsmitteilung Nr. 171 veröffentlicht. Camunda ist ein quelloffenes Workflow-System, das Geschäftsprozesse nach dem Standard BPMN 2.0 ausführt. Solche Systeme können in Banken und Versicherern Teil von Geschäftsprozessen sein, zum Beispiel für Antrags-, Schaden- oder Freigabeprozesse. Für CISO und COO heißt das: Bestand an Camunda-Instanzen feststellen, Versionsstand mit 7.24.16 abgleichen und die Aktualisierung über das Patchmanagement steuern. Danach sollte dokumentiert sein, welche Instanzen betroffen waren und wann sie aktualisiert wurden. Das ist eine Einordnung von Qvestcon, keine Aussage der Quelle.
Qvestcon News
Camunda: Schwachstelle gibt Angreifern Administratorrechte
Das BSI CERT-Bund meldet seit 2026-10-06 eine Schwachstelle in der Prozess-Engine Camunda (CVE-2026-77226). Ein entfernter, anonymer Angreifer kann Administratorrechte erlangen. Die Einstufung lautet „hoch“. Beispielcode zur Ausnutzung (Proof of Concept) ist im Internet verfügbar. Betroffen sind Camunda-Versionen vor 7.24.16. Der Hersteller hat am 2026-10-09 die Sicherheitsmitteilung Nr. 171 veröffentlicht. Camunda ist ein quelloffenes Workflow-System, das Geschäftsprozesse nach dem Standard BPMN 2.0 ausführt. Solche Systeme können in Banken und Versicherern Teil von Geschäftsprozessen sein, zum Beispiel für Antrags-, Schaden- oder Freigabeprozesse. Für CISO und COO heißt das: Bestand an Camunda-Instanzen feststellen, Versionsstand mit 7.24.16 abgleichen und die Aktualisierung über das Patchmanagement steuern. Danach sollte dokumentiert sein, welche Instanzen betroffen waren und wann sie aktualisiert wurden. Das ist eine Einordnung von Qvestcon, keine Aussage der Quelle.
Diese Einordnung bezieht sich auf die verlinkte Originalquelle. Sie ist keine Rechtsberatung im Einzelfall.