--- adresse: "https://qvestcon.com/dora-update-markus-junge/dora-informationsregister-versicherung_0a50efee/" titel: "BSI warnt: Kritische Schwachstellen in…" beschreibung: "Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat über sein CERT-Bund (Computer Emergency Response…" sprache: "de-DE" stand: "2026-10-02" --- Qvestcon News # BSI warnt: Kritische Schwach­stel­len in Foreman Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­tech­nik (BSI) hat über sein CERT-Bund (Computer Emergency Response Team des Bundes) am 2. Oktober 2026 die Warnung WID-SEC-2026-3712 zu Foreman ver­öf­fent­licht und das Risiko als kritisch eingestuft. Foreman ist ein Open-Source-Werkzeug, das den Lebenszyklus von Servern automatisiert, von der Bereit­stel­lung über das Kon­fi­gu­ra­ti­ons­ma­nage­ment bis zur Überwachung. Laut Warnung kann ein Angreifer die Schwach­stel­len aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, Sicher­heits­maß­nah­men zu umgehen, Daten zu manipulieren und vertrauliche Informationen offenzulegen. Die Warnung nennt sieben CVE-Kennungen (Common Vul­nerabi­li­ties and Exposures, einheitliche Schwach­stel­len­num­mern): CVE-2026-96658, CVE-2026-96659, CVE-2026-12423, CVE-2026-12540, CVE-2026-12541, CVE-2026-12542 und CVE-2026-12544. Am 5. Oktober 2026 nahm das BSI Updates von Red Hat auf (Red Hat Security Advisory RHSA-2026:74505 vom 2. Oktober 2026). Die Warnung führt zusätzlich Red Hat Enterprise Linux als Produktbezug auf. Einordnung von Qvestcon, so können Banken und Versicherer vorgehen: 1. Bestand klären. Wo läuft Foreman, auch bei Dienst­leis­tern sowie in Test- und Ent­wick­lungs­um­ge­bun­gen? Ist es im IKT-Register bezie­hungs­weise Infor­ma­ti­ons­re­gis­ter geführt und hat einen benannten Ver­ant­wort­li­chen? 2. Patchstand prüfen. Die installierte Version wird mit dem Red-Hat-Hinweis RHSA-2026:74505 und den Her­stel­ler­an­ga­ben abgeglichen. Die Entscheidung über Ein­spiel­zeit­punkt oder Über­gangs­maß­nahme wird dokumentiert. 3. Erreich­bar­keit begrenzen. Da die Warnung die Schwach­stel­len als aus der Ferne ausnutzbar beschreibt, kann es sinnvoll sein, den Ver­wal­tungs­zu­gang nur aus dem Ver­wal­tungs­netz zu erlauben. 4. Nach dem Update kontrollieren. Prüfen Sie, ob Kon­fi­gu­ra­tio­nen, Benutzer und Berech­ti­gun­gen unverändert sind. 5. Umsetzung nachweisen. Erkennbar ist sie an einer aktuellen Bestandsliste, einem Patchnachweis je System und einem abge­schlos­se­nen Ticket. Ein Werkzeug, das Server bereitstellt und konfiguriert, besitzt weitreichende Rechte. Ein Missbrauch kann deshalb auf viele Systeme zugleich wirken. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, solche Ver­wal­tungs­werk­zeuge im Register ausdrücklich zu führen und dort mit Ver­ant­wort­li­chem, Patchfrist und Nachweis zu hinterlegen. Markus Junge und Qvestcon unterstützen mit einem prü­fungs­fes­ten Prozessmodell für Konzerne aus Ver­si­che­run­gen und Banken: mul­ti­man­dan­ten­fä­hig, mit VAG-konformer Spar­ten­tren­nung, aus 25 Jahren praktischer Betriebs­er­fah­rung. [Cyber](https://qvestcon.com/news/cyber/)02.10.2026 Das Bundesamt für Sicherheit in der Infor­ma­ti­ons­tech­nik (BSI) hat über sein CERT-Bund (Computer Emergency Response Team des Bundes) am 2. Oktober 2026 die Warnung WID-SEC-2026-3712 zu Foreman ver­öf­fent­licht und das Risiko als kritisch eingestuft. Foreman ist ein Open-Source-Werkzeug, das den Lebenszyklus von Servern automatisiert, von der Bereit­stel­lung über das Kon­fi­gu­ra­ti­ons­ma­nage­ment bis zur Überwachung. Laut Warnung kann ein Angreifer die Schwach­stel­len aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, Sicher­heits­maß­nah­men zu umgehen, Daten zu manipulieren und vertrauliche Informationen offenzulegen. Die Warnung nennt sieben CVE-Kennungen (Common Vul­nerabi­li­ties and Exposures, einheitliche Schwach­stel­len­num­mern): CVE-2026-96658, CVE-2026-96659, CVE-2026-12423, CVE-2026-12540, CVE-2026-12541, CVE-2026-12542 und CVE-2026-12544. Am 5. Oktober 2026 nahm das BSI Updates von Red Hat auf (Red Hat Security Advisory RHSA-2026:74505 vom 2. Oktober 2026). Die Warnung führt zusätzlich Red Hat Enterprise Linux als Produktbezug auf. Einordnung von Qvestcon, so können Banken und Versicherer vorgehen: 1. Bestand klären. Wo läuft Foreman, auch bei Dienst­leis­tern sowie in Test- und Ent­wick­lungs­um­ge­bun­gen? Ist es im IKT-Register bezie­hungs­weise Infor­ma­ti­ons­re­gis­ter geführt und hat einen benannten Ver­ant­wort­li­chen? 2. Patchstand prüfen. Die installierte Version wird mit dem Red-Hat-Hinweis RHSA-2026:74505 und den Her­stel­ler­an­ga­ben abgeglichen. Die Entscheidung über Ein­spiel­zeit­punkt oder Über­gangs­maß­nahme wird dokumentiert. 3. Erreich­bar­keit begrenzen. Da die Warnung die Schwach­stel­len als aus der Ferne ausnutzbar beschreibt, kann es sinnvoll sein, den Ver­wal­tungs­zu­gang nur aus dem Ver­wal­tungs­netz zu erlauben. 4. Nach dem Update kontrollieren. Prüfen Sie, ob Kon­fi­gu­ra­tio­nen, Benutzer und Berech­ti­gun­gen unverändert sind. 5. Umsetzung nachweisen. Erkennbar ist sie an einer aktuellen Bestandsliste, einem Patchnachweis je System und einem abge­schlos­se­nen Ticket. Ein Werkzeug, das Server bereitstellt und konfiguriert, besitzt weitreichende Rechte. Ein Missbrauch kann deshalb auf viele Systeme zugleich wirken. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, solche Ver­wal­tungs­werk­zeuge im Register ausdrücklich zu führen und dort mit Ver­ant­wort­li­chem, Patchfrist und Nachweis zu hinterlegen. Markus Junge und Qvestcon unterstützen mit einem prü­fungs­fes­ten Prozessmodell für Konzerne aus Ver­si­che­run­gen und Banken: mul­ti­man­dan­ten­fä­hig, mit VAG-konformer Spar­ten­tren­nung, aus 25 Jahren praktischer Betriebs­er­fah­rung. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/n-q/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/n-q/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/k-m/#markusjunge) - [#Foreman](https://qvestcon.com/stichwoerter/f-h/#foreman) - [#BSI](https://qvestcon.com/stichwoerter/b/#bsi) [Ori­gi­nal­quelle: BSI CERT-Bund →](https://wid.cert-bund.de/content/public/content/batch/84d28af1-e222-492d-879f-bdd116f0116d) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20BSI%20warnt%3A%20Kritische%20Schwachstellen%20in%20Foreman#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)