Wer sein eigenes Blog-System selbst hostet, kennt Apache Roller vielleicht nur als das Urgestein unter den Java-basierten Blog-Plattformen. Ausgerechnet dort stecken jetzt zwei kritische Lücken — beide über eine Schnittstelle, die eigentlich längst als Relikt gilt.
DER GEMEINSAME NENNER: Eine 20 Jahre alte Schnittstelle
Beide Lücken sitzen in der XML-RPC-Schnittstelle von Apache Roller — konkret in den Blogger- und MetaWeblog-APIs, mit denen sich früher externe Programme zum Veröffentlichen von Blogartikeln anmelden konnten. Betroffen ist die aktuelle Version 6.1.5.
LÜCKE 1: Fremde Beiträge, dein Login
CVE-2026-82377 trägt die Wertung CVSS 9,9 und ist eine fehlende Berechtigungsprüfung. Die XML-RPC-Handler prüfen zwar, wer sich anmeldet — aber nicht, ob diese Person auch Rechte am betroffenen Blog hat. Ein ganz normaler, angemeldeter Nutzer kann damit fremde Blogeinträge lesen, verändern oder löschen, die eigentlich einem anderen Blog gehören.
Das ist besonders unangenehm auf geteilten Roller-Installationen mit vielen unabhängigen Blogs — etwa bei Vereinen, Hochschulen oder Redaktionsnetzwerken, wo mehrere Personen jeweils nur für ihr eigenes Blog verantwortlich sein sollten.
LÜCKE 2: Rein ohne Passwort — CVSS 9,8
Noch schwerer wiegt CVE-2026-82384, eine Deserialisierung nicht vertrauenswürdiger Daten. Der XML-RPC-Endpunkt akzeptiert bestimmte Erweiterungstypen und wandelt sie schon während der Anfrageverarbeitung in Java-Objekte um — bevor überhaupt eine Anmeldung stattfindet. Ein unauthentifizierter Angreifer kann damit präparierte Daten einschleusen, die beim Verarbeiten Schadcode ausführen. Diese Klasse von Schwachstelle ist in der Java-Welt als Quelle für vollständige Serverübernahmen bekannt.
WIE WAHRSCHEINLICH IST EIN ANGRIFF?
Beide Lücken sind seit dem 28. September 2026 öffentlich dokumentiert, inklusive technischer Details zum Ablauf. Für CVE-2026-82384 kursiert bereits ein öffentlicher Machbarkeitsnachweis, der die Deserialisierung über den XML-RPC-Endpunkt automatisiert durchspielt. Wer sein Roller-Blog erreichbar im offenen Netz betreibt, sollte das nicht auf die lange Bank schieben — Exploit-Code, der öffentlich verfügbar ist, wird erfahrungsgemäß innerhalb weniger Tage in automatisierte Scans eingebaut.
SO SCHÜTZT DU DEIN BLOG — in wenigen Minuten
- Version prüfen: Läuft bei dir Apache Roller 6.1.5 oder älter? Dann bist du betroffen.
- Aktualisieren: Version 6.1.6 deaktiviert die problematischen Erweiterungstypen und weist Anfragen ab, sobald XML-RPC deaktiviert ist.
- Sofortmaßnahme ohne Update: Wer nicht sofort aktualisieren kann, sollte die XML-RPC-Schnittstelle komplett abschalten — die meisten Blogs nutzen sie heute ohnehin nicht mehr aktiv, moderne Schreibprogramme sprechen längst andere Protokolle.
- Nachsehen: Prüfe vorhandene Blogeinträge auf unerwartete Änderungen, falls die Lücke bereits vor dem Update erreichbar war.
FAZIT: Alte Schnittstellen sind kein Museum
Der Fall zeigt ein Muster, das im Self-Hosting-Alltag gerne übersehen wird: Funktionen, die niemand mehr aktiv nutzt, bleiben trotzdem eingeschaltet — und werden irgendwann zum Einfallstor. Wer Apache Roller oder vergleichbare ältere Software betreibt, sollte regelmäßig durchgehen, welche Schnittstellen aus der Frühzeit des Projekts eigentlich noch gebraucht werden. Alles andere gehört abgeschaltet, lange bevor eine CVE-Nummer daraus wird.