Eine der unscheinbarsten Bibliotheken im Linux-Universum hat ein kritisches Loch: libssh2, die SSH-Client-Bibliothek, die in unzähligen Programmen schlummert. Die Lücke trägt die Kennung CVE-2026-55200, einen CVSS-Wert von 9.2 — und sie erlaubt im schlimmsten Fall, fremden Code ohne jede Anmeldung auszuführen.
GEFAHR: Was genau kaputt ist
Der Fehler steckt in der Funktion ssh2_transport_read() in der Datei transport.c. Sie prüft das Feld packet_length in eingehenden SSH-Paketen nicht sauber auf eine Obergrenze. Ein Angreifer kann darüber einen absurd großen Wert einschleusen, einen Überlauf auslösen und so Speicher außerhalb der vorgesehenen Grenzen überschreiben (Out-of-Bounds Heap Write). Das öffnet die Tür zur Remote Code Execution.
WARUM dich das betrifft — auch ohne SSH-Server
libssh2 ist kein Programm, das du bewusst installierst. Es ist eine Bibliothek, die in andere Software eingebacken wird — unter anderem in curl, in Backup-Werkzeuge, in IoT-Firmware und in eine lange Reihe von Netzwerk-Appliances. Genau das macht die Lücke so heikel: Sie sitzt an Stellen, an denen du sie gar nicht vermutest. Betroffen sind alle Versionen bis einschließlich 1.11.1.
So SCHÜTZT du dich
Die gute Nachricht: Sicherheitsforscher Tristan Madani hat die Schwachstelle verantwortungsvoll gemeldet, bevor sie breit ausgenutzt wurde. Der Fix liegt als Commit (7acf3df) im Master-Branch des Projekts. Eine fertige offizielle Release-Version stand zum Zeitpunkt der Veröffentlichung noch aus — die Linux-Distributionen schnüren die Korrektur gerade in ihre Pakete.
Dein erster Schritt: halte deine Systeme aktuell und spiele die Sicherheits-Updates deiner Distribution ein, sobald sie da sind. Prüfe besonders Geräte, die aus dem Internet erreichbar sind und libssh2 oder curl nutzen.