CVE-2026-115506: Überlastung durch XML in libexpat
Diese Woche
Innerhalb von sieben Tagen den Zugang einschränken und das Update einspielen, sobald es erscheint.
Grundlage der Stufe: Über das Netzwerk angreifbar · Keine Ausnutzung belegt · Noch kein Update
- Sofort
- Diese Woche
- Wartung
- Beobachten
Die XML-Bibliothek libexpat bis Version 2.9.0 erkennt bestimmte Angriffsdokumente zu spät. Ein Parser kann dadurch lange ausgelastet sein. Eine reparierte Version ist uns noch nicht bekannt.
8,7 von 10, hoch
7,5 nach CVSS 3.1
Nicht als ausgenutzt gelistet
CISA-Katalog
Noch keine Reparatur bekannt
Unsere Einschätzung
- VerbreitetEinschätzung von ByePast, wie häufig Betriebe mit 10 bis 250 Mitarbeitenden das Produkt einsetzen. Die Stufe oben gilt für jeden, der es einsetzt.
Nach Einschätzung von ByePast gehört die Lücke in diese Woche: Sie ist über das Netzwerk ausnutzbar, ohne Anmeldung und ohne Zutun eines Nutzers. Eine aktive Ausnutzung ist nicht belegt, die CVE steht nicht im Katalog der CISA mit aktiv ausgenutzten Lücken. Betroffen ist die Verfügbarkeit, Daten werden laut Vektor weder gelesen noch verändert. Die Einschätzung kann sich ändern, sobald mehr bekannt wird.
Wer betroffen ist
Alle, die Software betreiben, die libexpat bis einschließlich Version 2.9.0 nutzt und XML aus nicht vertrauenswürdigen Quellen verarbeitet, zum Beispiel über Webdienste oder Schnittstellen.
Mögliche Lösung
- 01Prüfen Sie, welche Server und Programme libexpat nutzen, und lesen Sie deren Versionsnummer aus.
- 02Klären Sie, welche dieser Dienste XML aus dem Internet oder von Fremden annehmen.
- 03Fragen Sie bei Ihrem Softwarelieferanten und in den Hinweisen von libexpat nach einer reparierten Version, und spielen Sie sie ein, sobald sie vorliegt.
- 04Beschränken Sie den Zugriff auf betroffene Dienste, soweit möglich, auf bekannte Absender oder interne Netze.
- 05Beobachten Sie die Prozessorauslastung betroffener Server und achten Sie auf ungewöhnlich lange Verarbeitungszeiten.
Betreut ein externer Dienstleister Ihre Technik, schicken Sie ihm diesen Text unverändert.
Es geht um die Sicherheitslücke CVE-2026-115506 in der XML-Bibliothek libexpat bis einschließlich Version 2.9.0. Ein präpariertes XML-Dokument kann einen Dienst über das Netzwerk lange auslasten, Daten sind nicht betroffen. Bitte kümmern Sie sich diese Woche darum. Prüfen Sie bitte, ob und in welcher Version libexpat bei uns läuft und ob solche Dienste XML von außen annehmen. Der CVE-Eintrag nennt noch keine reparierte Version, Sie sehen sie bitte beim Hersteller nach und spielen sie dann ein. Beschränken Sie bis dahin den Zugriff auf betroffene Dienste, soweit möglich. Bitte geben Sie mir kurz Rückmeldung. Details: https://cve.byepast.de/cve-2026-115506-libexpat
Worum es geht
Ein Angreifer könnte mit einem einzigen, mäßig großen XML-Dokument einen Server für lange Zeit beschäftigen. Pro Verarbeitung kann das nach der Beschreibung des Datensatzes zig Sekunden Rechenzeit kosten. Schickt jemand mehrere solcher Dokumente, kann ein Dienst langsam werden oder nicht mehr antworten.
Betroffen ist libexpat, eine weit verbreitete Bibliothek zum Lesen von XML-Dateien. Eine Bibliothek ist ein Baustein, den andere Programme einbinden. Nach den Angaben gilt die Lücke für libexpat bis einschließlich Version 2.9.0. Daten werden dabei nicht gelesen oder verändert, es geht allein um die Verfügbarkeit.
Wie Sie prüfen, ob Sie betroffen sind
Das Schwierige: libexpat steht selten als eigenes Programm auf der Softwareliste. Meist steckt es in anderer Software, die XML verarbeitet. Gehen Sie deshalb in drei Richtungen vor.
Auf Linux-Servern fragen Sie die Paketverwaltung ab, zum Beispiel mit dpkg -l | grep expat unter Debian und Ubuntu oder rpm -q expat unter Red Hat und Verwandten. Die Versionsnummer steht in der Ausgabe hinter dem Paketnamen. Ist sie 2.9.0 oder niedriger, ist die Bibliothek im Bereich der Lücke.
Bei Programmen unter Windows oder bei Geräten wie Firewalls, Druckern und Netzwerkspeichern bringt der Hersteller oft eine eigene Kopie mit. Dort hilft nur der Blick in die Herstellerhinweise oder eine Rückfrage beim Lieferanten.
Wichtig ist außerdem, ob die Software XML von außen annimmt. Das ist bei Webdiensten und Schnittstellen der Fall, die Dateien oder Anfragen von Fremden verarbeiten. Rein interne Programme sind weniger gefährdet.
Wie die Schwachstelle funktioniert
XML erlaubt es, in einem Dokument Abkürzungen (Entitäten) zu definieren, die sich gegenseitig verwenden. Bei der sogenannten Billion-Laughs-Technik verschachteln sich diese Abkürzungen so, dass aus wenigen Zeilen ein riesiger Text entsteht. Die Bibliothek besitzt dagegen einen Schutz.
Der Fehler liegt in der Funktion accountingDiffTolerated() in der Datei xmlparse.c. Sie bemerkt die Vervielfachung zu spät. Der Angreifer liefert ein Dokument mit einer umfangreichen DTD (der Definition, die den Aufbau festlegt) und verschachtelten Erweiterungen. Bis der Schutz greift, hat der Prozessor schon lange gerechnet. Die zugehörige Schwächenklasse ist CWE-776, die unkontrollierte Entitätserweiterung in XML.
Einordnung der Kennzahlen
Der Datensatz nennt 8,7 nach CVSS 4.0 und 7,5 nach CVSS 3.1. CVSS ist ein Punktesystem von 0 bis 10 für die Schwere einer Lücke. Beide Werte liegen im hohen Bereich. Das liegt daran, dass der Angriff über das Netzwerk geht, einfach ist und keine Anmeldung braucht.
Die Punkte beschreiben aber nur den schlimmsten Fall für die Verfügbarkeit. Ob Ihr Betrieb betroffen ist, hängt davon ab, ob eine Anwendung mit libexpat XML von Fremden annimmt. Die CVE steht nicht im Katalog der CISA mit aktiv ausgenutzten Lücken. Einen Wert zur Ausnutzungswahrscheinlichkeit (EPSS) gibt es bisher nicht.
Eine reparierte Version nennt der Datensatz derzeit nicht. Wir konnten keinen Herstellerhinweis auswerten, der eine nennt. Prüfen Sie daher die Meldungen von libexpat und Ihrem Softwarelieferanten. Bei Inventur oder Update unterstützt Sie ByePast gern.
Hilfe bei Inventur und Updates
Wir prüfen, welche Ihrer Systeme betroffen sind, und spielen Updates ein, vor Ort im Ruhrgebiet und in Neckar-Alb oder per Fernwartung.
Kurzinfo
- CVE-2026-115506
- hoch (CVSS 4.0: 8,7); hoch (CVSS 3.1: 7,5)
- über das Netzwerk, ohne Anmeldung, ohne Zutun eines Nutzers
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- nicht im CISA-Katalog aktiv ausgenutzter Lücken gelistet
- noch kein Wert
- CWE-776
- im Datensatz noch keinem Produkt zugeordnetWer betroffen ist, steht unter „Unsere Einschätzung“
- noch keine reparierte Version gemeldet
- 22.10.2026, zuletzt geändert 22.10.2026
- libexpat through 2.9.0 contains a denial of service vulnerability because billion laughs protection in accountingDiffTolerated() in xmlparse.c detects entity amplification too late. Attackers can supply a moderately sized XML document with a large DTD and nested entity expansions to consume tens of seconds of CPU per parse.
- NVD (National Vulnerability Database), aufbereitet über TridentStack
Quellen und Hinweise
Referenzen
Datenquellen
NVD (National Vulnerability Database).
Auf Grundlage von Daten der National Vulnerability Database (NVD) des NIST, der EPSS-Werte von FIRST.org und des Katalogs aktiv ausgenutzter Lücken der CISA. This product uses the NVD API but is not endorsed or certified by the NVD. CVE-Einträge: Copyright © 1999-2026, The MITRE Corporation, genutzt gemäß den CVE Terms of Use. CVE ist eine Marke der MITRE Corporation.
Hinweis
Dieser Bericht ist die Einschätzung von ByePast zum genannten Datenstand: wie dringend die Lücke für einen Betrieb ohne IT-Abteilung ist und was Sie selbst tun oder an Ihren IT-Dienstleister weitergeben. Die Fakten stammen aus den genannten Datenquellen und den verlinkten Hinweisen des Herstellers, den Text schreibt ein Sprachmodell nach unseren Regeln. Der Bericht ersetzt weder die Sicherheitshinweise des Herstellers noch eine Prüfung Ihrer eigenen Systeme, maßgeblich sind die verlinkten Herstellerangaben. Einen Fehler melden Sie bitte über den Verweis darunter, wir korrigieren ihn.