Er läuft in Geräten, die du kaum bewusst wahrnimmst: GoAhead ist ein eingebetteter Webserver für die Verwaltungsseiten von Routern, Druckern, Gateways und Industriesteuerungen. Hersteller EmbedThis spricht laut The Hacker News von Hunderten Millionen Geräten. Jetzt sind mehrere Lücken öffentlich.
WER HAT’S ENTDECKT, WAS IST DER STAND?
Sébastien Féry von FoxIO veröffentlichte am 26. Oktober 2026 eine Analyse. Die Version GoAhead 6.1.1 ging am 2. August an Gerätehersteller und wurde am 12. Oktober öffentlich gemacht. Sie schließt insgesamt 11 Hinweise, drei davon kritisch.
DIE DREI TLS-FEHLER
- OpenSSL-Variante, CVE-2026-115881 (CVSS 9,1, Herstellerwert): Die Sperrliste wird geladen, aber nie durchgesetzt. Widerrufene Client-Zertifikate werden akzeptiert. Betroffen: 3.4.5 bis 6.1.0.
- LibreSSL-Variante, CVE-2026-115884 (CVSS 7,4): Eine Zertifikatskette, länger als das 10er-Limit, wird durchgelassen, wenn Client-Zertifikate verlangt werden, die Aussteller-Prüfung aber aus ist. Nur ältere LibreSSL-Versionen (3.2.x, 3.3.2–3.3.6).
- Mbed TLS, keine CVE (CVSS 5,9): Ein Längenfehler sendet einen 1-Byte-Diffie-Hellman-Wert statt der vollen 2048 Bit. Ein passiver Beobachter könnte die Sitzung entschlüsseln. Betroffen: 4.0.2 bis 6.1.0.
Jede Lücke hat enge Voraussetzungen. Bei OpenSSL muss zum Beispiel ein Angreifer ein von einer vertrauten Stelle signiertes, aber widerrufenes Zertifikat besitzen. Die Mbed-TLS-Sitzung kommt nur zustande, wenn der Client den fehlerhaften Wert akzeptiert. OpenSSL, aktuelles Go, aktuelles Java und gängige Browser tun das nicht. TLS 1.3 und ECDHE sind nicht betroffen.
DER LOGIN-BYPASS
Der heikelste Punkt hat keine CVE-Nummer: Bei HTTP-Basic- oder Formular-Login kann sich ein Angreifer, der einen gültigen Benutzernamen kennt, mit beliebigem Passwort anmelden. Voraussetzung: Das Passwort des Nutzers liegt im Blowfish-Format vor, das GoAhead in Version 6.1.0 eingeführt hat. Laut EmbedThis ist Formular-Login bei den eingebauten Admin-Seiten Standard.
WIRD ES SCHON ANGEGRIFFEN?
Stand 27. Oktober meldete keine Quelle Angriffe. Die CVE-Nummern waren noch nicht in den öffentlichen Datenbanken, EmbedThis hatte sie beantragt. Die Schweregrade sind Herstellerwerte. FoxIO hat Proof-of-Concept-Code veröffentlicht und bietet kostenlose JA4Scan-Fingerprints an. Ein Fingerprint zeigt nur das Build, nicht ob ein Server verwundbar ist.
DAS EIGENTLICHE PROBLEM: DU KANNST NICHT SELBST PATCHEN
Als GoAhead-Nutzer nennt EmbedThis unter anderem HP, Oracle, Siemens, Canon, Rockwell, D-Link und Comcast. Bei keinem ist gezeigt, dass er einen betroffenen Backend oder eine betroffene Einstellung nutzt. Backend und Einstellungen werden beim Kompilieren gewählt, von außen ist das schwer zu erkennen. Der Fix erreicht Besitzer erst, wenn Hersteller neue Firmware bauen. Ob schon jemand 6.1.1 ausgeliefert hat, ist unbekannt.
WAS DU TUN KANNST
- Firmware-Updates deiner Router, Drucker und Gateways regelmäßig prüfen.
- Verwaltungsoberflächen nicht aus dem Internet erreichbar machen, Zugriff auf ein Management-VLAN beschränken.
- Hersteller (mit GoAhead im Build): auf 6.1.1 gehen, danach Sitzungen beenden, neu starten und Blowfish-Passwörter ändern.