MariaDB ist die Datenbank hinter einem Großteil des Self-Hosting-Universums — ob WordPress, Nextcloud oder selbstgebaute Webanwendungen laufen oft genau darauf. Am 16. Oktober 2026 hat das Projekt gleich drei voneinander unabhängige Sicherheitslücken offengelegt, jede einzeln mit der CVSS-Höchstnote 9,9 bewertet.
DREI LÜCKEN, DREI URSACHEN, EINE WERTUNG
Ungewöhnlich ist nicht nur die Schwere, sondern dass alle drei CVEs technisch völlig unterschiedliche Ursachen haben — es handelt sich nicht um Varianten eines einzigen Bugs. Der gemeinsame Nenner im CVSS-Vektor: Angriff über das Netzwerk, niedrige Komplexität, kein Nutzer-Interaktion nötig — allerdings braucht ein Angreifer in allen drei Fällen bereits einen Datenbank-Account mit geringen Rechten (PR:L). Relevant ist das vor allem für Shared-Hosting-Umgebungen, Multi-Tenant-Setups oder wenn eine Anwendung eine SQL-Injection erlaubt, die einem Angreifer genau diesen Fuß in der Tür verschafft.
CVE-2026-92262 — der #mysql50#-Trick
Die am weitesten verbreitete der drei Lücken betrifft ein jahrealtes Kompatibilitätsfeature: Das Präfix #mysql50# erlaubt es historisch, Tabellennamen aus alten MySQL-5.0-Zeiten unverändert weiterzuverwenden. Genau dieses Präfix lässt sich missbrauchen, um die normale Dateisystem-Kodierung von Tabellennamen zu umgehen. Die Folge laut CVE-Beschreibung: Dateizugriffe außerhalb des vorgesehenen Bereichs, Abstürze, Datenkorruption — bis hin zur Codeausführung. Betroffen sind praktisch alle Branches von 10.6.1 bis 13.0.1.
CVE-2026-85748 — Use-after-free bei SYS_REFCURSOR
Diese Lücke betrifft nur die neueren Branches 12.3.1–12.3.3 und 13.0.1–13.0.2. Öffnet ein Angreifer mit niedrigen Rechten eine große Zahl von SYS_REFCURSOR-Objekten und greift anschließend auf eines davon zu, kann die interne Cursor-Array-Reallokation veraltete Referenzen hinterlassen. Das dadurch ausgelöste Use-after-free lässt sich laut Projektbeschreibung in Kombination mit einer weiteren Schwachstelle bis zur Codeausführung eskalieren.
CVE-2026-85746 — Pufferüberlauf bei verschachtelten Geometrien
Die dritte Lücke sitzt in der Funktion ST_AsText, die geometrische Objekte in Textform umwandelt. Bei tief verschachtelten GeometryCollections prüft die rekursive WKT-Serialisierung die Puffergrenzen nicht korrekt und schreibt über den zugewiesenen Speicherbereich hinaus — ein klassischer Out-of-Bounds-Write, der ebenfalls Codeausführung ermöglichen kann. Auch hier reicht die betroffene Versionsspanne von 10.6.1 bis 13.0.1.
WER IST BETROFFEN — UND WER WIRKLICH IN GEFAHR
Die schiere Versionsspanne bedeutet: Fast jede MariaDB-Installation, die in den letzten Jahren nicht konsequent aktuell gehalten wurde, fällt in den verwundbaren Bereich. Für reine Heimserver mit einer einzigen Anwendung und ohne fremde Datenbank-Accounts ist das Risiko durch die nötigen Mindestrechte begrenzt. Wer dagegen mehrere Anwendungen oder Nutzer auf einer MariaDB-Instanz teilt — etwa auf einem Hosting-Server mit mehreren Kunden oder Projekten — sollte die Lücken ernst nehmen, da bereits ein kompromittierter Low-Privilege-Account für den nächsten Schritt reicht.
WAS JETZT ZU TUN IST
Die Fixes sind bereits veröffentlicht: 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 und 13.0.2 schließen je nach Branch alle relevanten Lücken. Wer MariaDB über die Paketverwaltung der Distribution bezieht, sollte prüfen, ob das Update bereits in den Repositories angekommen ist — bei LTS-Distributionen kann das etwas dauern. Bis zum Patch hilft als Zwischenlösung, den Kreis der Accounts mit Datenbankzugriff so klein wie möglich zu halten und keine ungeprüften SQL-Eingaben an die Datenbank durchzureichen.