ChromaDB: CVE-2026-45829 mit CVSS 10.0

ACHTUNG, KI-Bastler! Wer selbst mit RAG, Embeddings und eigenen Chatbots experimentiert, kennt ChromaDB — die beliebte Vektor-Datenbank. Jetzt die Hiobsbotschaft: Mit CVE-2026-45829 wurde eine Lücke mit dem absoluten Höchstwert CVSS 10.0 gemeldet. Und das Schlimmste: Ein Patch ist bislang nicht bestätigt.

GEFAHR: Maximalnote 10.0 — und kein sicherer Fix

Eine 10.0 vergeben Sicherheitsforscher nur, wenn es richtig übel ist: maximale Auswirkung, einfache Ausnutzung, kein nötiges Login. Bei ChromaDB droht im schlimmsten Fall der komplette Zugriff auf das System, auf dem die Datenbank läuft. Da ein bestätigter Patch fehlt, kannst du das Problem aktuell nicht einfach wegupdaten — du musst dein Setup abschotten.

Warum dich das besonders trifft

Vektor-Datenbanken sind das Gedächtnis moderner KI-Apps. In ChromaDB landen schnell sensible Inhalte: interne Dokumente, Kundendaten, Code-Schnipsel, ganze Wissensbasen. Wer den ChromaDB-Server zum bequemen Zugriff einfach ins Internet stellt, öffnet im Ernstfall die Tür zu genau diesen Daten — und womöglich zum darunterliegenden Server.

So sicherst du dich SOFORT

Nicht ins Netz hängen: Der ChromaDB-API-Server gehört nicht offen ins Internet. Binde ihn an localhost oder ein internes Netz.
Firewall & VPN: Zugriff nur über Reverse-Proxy mit Authentifizierung oder über ein VPN wie WireGuard/Tailscale.
Netzwerk-Isolation: In Docker den Port nicht mit 0.0.0.0 veröffentlichen, sondern gezielt nur intern.
Patch-Watch: Beobachte die offiziellen ChromaDB-Kanäle und spiele den Fix ein, sobald er bestätigt ist.

EXTRA-TIPP: Prüfe, ob du schon exponiert bist

Frag dich ehrlich: Ist mein ChromaDB-Port von außen erreichbar? Ein kurzer Test von einem fremden Netz aus (oder ein Blick in die Portfreigaben deines Routers/Hosters) bringt Klarheit. Findest du den Dienst offen, schließe ihn sofort.

FAZIT: KI-Tools brauchen Security-Disziplin

Die KI-Welt bewegt sich schnell — die Sicherheit hinkt oft hinterher. CVE-2026-45829 ist die Erinnerung, dass auch coole Self-Hosting-Tools Härtung brauchen. Solange kein Patch bestätigt ist, gilt: abschotten statt aussperren-vergessen.

Häufige Fragen

Was genau ist ChromaDB?

ChromaDB ist eine quelloffene Vektor-Datenbank. Sie speichert sogenannte Embeddings und ist beliebt für RAG-Anwendungen, eigene Chatbots und semantische Suche. Viele Homelabber und Entwickler hosten sie selbst neben ihren KI-Projekten.

Gibt es schon einen Patch?

Zum Zeitpunkt der Meldung war kein Fix bestätigt. Deshalb liegt der Fokus auf Schadensbegrenzung: den API-Server nicht offen ins Internet stellen, Zugriff über Firewall, Reverse-Proxy mit Auth oder VPN absichern und die offiziellen Kanäle auf den Patch beobachten.

Wie schütze ich meine Daten jetzt?

Stelle sicher, dass der ChromaDB-Port nicht von außen erreichbar ist. Binde den Dienst an localhost oder ein internes Netz, nutze in Docker keine 0.0.0.0-Veröffentlichung und erlaube Zugriff nur authentifiziert oder über ein VPN wie WireGuard oder Tailscale.

Wie schlimm ist CVSS 10.0 wirklich?

10.0 ist der Höchstwert auf der CVSS-Skala und steht für maximale Schwere: einfache Ausnutzung, keine nötige Anmeldung und gravierende Auswirkungen bis hin zur vollständigen Systemübernahme. Solche Lücken sollte man immer mit höchster Dringlichkeit behandeln.

Quellen: NVD CVE-2026-45829 · Threat-Modeling.com

KI-GAU! Deine selbstgehostete Vektor-Datenbank ChromaDB steht JETZT sperrangelweit offen