HashiCorp, Veeam und die Django Software Foundation haben Anfang August 2026 Fixes für 11 Schwachstellen veröffentlicht, von denen drei als kritisch eingestuft sind. Am gefährlichsten sind: mandantenübergreifende Token-Impersonation im Terraform MCP Server (CVE-2026-16498, CVSS 10.0), Diebstahl der Zugangsdaten eines verwalteten Agents ohne Authentifizierung in der Veeam Service Provider Console (CVE-2026-58073, CVSS 9.5) sowie Dateischreibzugriff mit möglicher Codeausführung über GeoDjango (CVE-2026-15307). Patches stehen bereit für: Terraform MCP Server 1.1.0+, Veeam VSPC 9.3.0.35057, Django 6.0.8 / 5.2.17. Keine der Schwachstellen ist zum Zeitpunkt der Veröffentlichung im CISA-KEV-Katalog gelistet oder verfügt über einen öffentlichen Exploit, allerdings erfordert die jeweilige Konfigurationsabhängigkeit eine individuelle Bewertung der Anwendbarkeit.
Veeam VSPC: Agent-Impersonation und beliebiges Schreiben von Dateien
Das Veeam-Sicherheitsbulletin vom 4. August beschreibt vier Schwachstellen, die im Build 9.3.0.35057 behoben wurden (veröffentlicht am 29. Juli). Betroffen sind alle Builds der Version 9 bis einschließlich 9.2.1.33875.
Das Kernproblem ist CVE-2026-58073 (CVSS 9.5 nach CVSS 4.0): Ein nicht authentifizierter Angreifer kann einen verwalteten Agent impersonieren und dessen Zugangsdaten erlangen. Trotz des fehlenden Authentifizierungserfordernisses weist der CVSS-Vektor auf eine hohe Angriffskomplexität hin – es handelt sich nicht um einen trivialen One-Click-Exploit. Die zweite kritische Schwachstelle, CVE-2026-58072 (CVSS 9.0), ermöglicht es einem Benutzer mit niedrigen Privilegien, beliebige Dateien auf dem Management-Server zu schreiben, mit potenziellem Übergang zu Remote Code Execution.
Zwei weitere Schwachstellen mit hoher Schwere vervollständigen das Bild:
- CVE-2026-58067 – Denial-of-Service durch Erschöpfung des Speichers ohne Authentifizierung;
- CVE-2026-58071 – kurzzeitige Offenlegung der per Proxy bereitgestellten API eines Geräts mit den Rechten eines Portal Administrator nach Beginn einer Administratorsitzung.
Dies ist bereits der zweite kritische Patch-Zyklus für VSPC innerhalb von drei Monaten. Im Mai behebt Veeam CVE-2026-32998 (CVSS 9.4) – Remote Code Execution über den Mechanismus zur Ausführung von Notification-Skripten. Für Organisationen, die VSPC als Plattform zum Management der Backup-Infrastruktur ihrer Kunden einsetzen, bilden die wiederkehrenden kritischen Schwachstellen ein stabiles Risikomuster, das eine priorisierte Behandlung von Updates erfordert.
Terraform MCP Server: Ein Tenant-Token öffnet allen den Zugang
HashiCorp hat am 28. Juli drei zusammenhängende Schwachstellen offengelegt, die den Transport-Layer des Streamable-HTTP-Servers von Terraform MCP betreffen, der AI-Assistenten über das Model Context Protocol mit Terraform verbindet. Der Fix ist in Version 1.1.0 verfügbar (veröffentlicht am 14. Juli), anschließend in 1.2.0 (4. August). Deployments im stdio-Modus (lokaler Einbenutzermodus) sind nicht betroffen – die Schwachstellen betreffen ausschließlich den mehrbenutzerfähigen HTTP-Modus, den HashiCorp bei der GA-Veröffentlichung im Juni besonders hervorgehoben hatte.
CVE-2026-16498 (CVSS 10.0) ist die schwerwiegendste der drei Schwachstellen. Im stateless-HTTP-Modus vergibt die zugrunde liegende MCP-Bibliothek keine eindeutigen Sitzungs-IDs, während der Credential-Cache des Servers genau diese IDs zur Benutzertrennung nutzte. Das Ergebnis: Der Terraform-Token eines Benutzers konnte auf Anfragen nachfolgender Benutzer angewendet werden – unabhängig davon, welchen Token diese bereitstellten. Dies ist ein klassischer Fall von Mandantenisolation, die verletzt wird, weil auf Ebene der Abstraktion darunter von einem falschen Verhalten ausgegangen wurde.
CVE-2026-16496 (CVSS 8.9) ist ein analoges Isolationsproblem im stateful-Modus, der Standardmodus für zentralisierte Deployments ist. Der Cache nutzte die MCP-Sitzungs-ID als einzigen Lookup-Schlüssel, ohne den gecachten Client an den Token zu binden, der ihn erzeugt hatte. Ein Angreifer, der die Sitzungs-ID eines anderen Benutzers erlangt, konnte Tool-Aufrufe mit dem Client des Opfers ausführen und auf Ressourcen zugreifen, die durch den Token des Opfers freigegeben waren. Diese Schwachstelle wurde von Juan Pablo Martínez Kuhn von Coinspect entdeckt; die beiden anderen fand HashiCorp selbst.
CVE-2026-14869 (CVSS 8.6) – server-side request forgery (SSRF). Die Middleware lehnte die via HTTP-Header übergebene Terraform-Adresse ab, ließ jedoch denselben Wert als Query-Parameter zu. Ein nicht authentifizierter Aufrufer mit Netzwerkzugriff auf den Streamable-HTTP-Listener konnte den Server dazu bringen, einen konfigurierten Bearer-Token an einen vom Angreifer kontrollierten Endpunkt zu senden.
Nuance beim Vergleich von CVSS-Scores
Ein direkter Vergleich der Bewertungen von Veeam und HashiCorp ist nicht korrekt: Veeam verwendet CVSS 4.0, während die CVE-Einträge von HashiCorp auf CVSS 3.1 basieren. Scores von 9.5 und 10.0 auf unterschiedlichen Versionen der Skala sind nicht äquivalente Größen. Außerdem betreffen die beiden Isolationsschwachstellen im Terraform MCP Server unterschiedliche Konfigurationen: CVE-2026-16498 (10.0) betrifft den stateless-Modus, der explizit aktiviert werden muss, während CVE-2026-16496 (8.9) den standardmäßigen stateful-Modus adressiert. Die praktische Priorität ergibt sich aus der Deployment-Konfiguration, nicht aus dem numerischen CVSS-Wert.
Bemerkenswert ist die Abweichung bei den veröffentlichten Bereichen betroffener Versionen: Der übergreifende HashiCorp-Advisory nennt Versionen 0.2.1–1.0.0, während der individuelle CVE-Eintrag bei 0.3.0 beginnt. Beide Quellen stimmen darin überein, dass 1.1.0 die erste fehlerbereinigte Version ist.
Django: erneuter Angriff auf GIS-Code
Das Django-Release vom 4. August (Versionen 6.0.8 und 5.2.17) schließt vier CVEs. Die einzige Schwachstelle mit hoher Schwere ist CVE-2026-15307 in GeoDjango. Spatial Queries akzeptierten String- und Dictionary-Werte und übergaben sie an GDALRaster, wenn sie wie Rasterdaten aussahen. Abhängig vom Raster-Treiber erlaubte dies das Schreiben einer Datei auf die Festplatte oder das Auslösen einer Netzwerkabfrage aus dem Django-Prozess heraus. Das Schreiben einer Datei in ein Verzeichnis, aus dem die Anwendung anschließend Code importiert, führt zu Remote Code Execution beliebigen Codes.
Der dokumentierte Exploit-Pfad erfordert ein Mitarbeiterkonto (staff) mit Rechten zum Anzeigen eines registrierten Modells, das ein Spatial Field enthält. Der Fix verbietet Dictionary-Werte und Strings, die keine gültigen GEOSGeometry-Werte sind, in Spatial Queries – dies ist eine nicht abwärtskompatible Änderung. Direktes Zuweisen zu Modellfeldern akzeptiert diese Typen weiterhin.
Drei Schwachstellen mit geringerer Schweregrad:
- CVE-2026-15920 – Stored XSS im Admin-Interface über unsichere Werte in URLField;
- CVE-2026-15830 – Denial-of-Service durch tief verschachtelte GEOMETRYCOLLECTION-Objekte (das Limit wurde auf 198 Collections gesetzt);
- CVE-2026-15337 – Speichererschöpfung in check_for_language() (Sprachcodes mit mehr als 500 Zeichen werden jetzt abgewiesen).
Nicht unterstützte Django-Zweige 5.1, 5.0 und 4.2 wurden nicht bewertet und können ebenfalls betroffen sein.
Kontext: GIS-Code von Django im Fokus
Das GIS-Modul von Django stand bereits 2026 im Fokus von Angreifern. Im Februar behob das Projekt CVE-2026-1207 – SQL injection in Raster Queries von PostGIS. Laut CrowdSec wurde eine Ausnutzung in the wild beobachtet: Die Detection-Regel wurde am 18. Februar veröffentlicht, erste Angriffe wurden am 26. Februar registriert, anschließend setzte anhaltendes Scanning zur Identifizierung von Django-Anwendungen mit PostGIS-Backend ein. Die neue Schwachstelle CVE-2026-15307 erfordert ein Staff-Konto, was eine direkte Ausnutzung über die Ergebnisse dieses Scannings ausschließt, doch das anhaltende Interesse am GIS-Code von Django bedeutet, dass jede neue Schwachstelle in diesem Modul von Angreifern kurzfristig untersucht werden wird.
Empfehlungen zur Reaktion
- Veeam VSPC: Update auf Build 9.3.0.35057. Alle Builds der Version 9 bis einschließlich 9.2.1.33875 sind verwundbar. Angesichts zweier kritischer Patch-Zyklen binnen drei Monaten sollte VSPC in einen priorisierten Update-Zyklus aufgenommen werden.
- Terraform MCP Server: Update auf Version 1.1.0 oder neuer. Ist ein sofortiges Update nicht möglich, sollte der Netzwerkzugriff auf den Streamable-HTTP-Listener auf vertrauenswürdige Benutzer beschränkt und mit MCP-Sitzungs-IDs wie mit vertraulichen Werten umgegangen werden. Deployments im stdio-Modus sind nicht betroffen.
- Django: Update auf 6.0.8 oder 5.2.17. Prüfen, ob Modelle mit Spatial Fields im Admin-Interface registriert sind, und Staff-Konten mit Leserechten für solche Modelle auditieren. Die fehlende Abwärtskompatibilität des Fixes für CVE-2026-15307 ist bei Tests zu berücksichtigen.
- Organisationen auf nicht unterstützten Django-Zweigen (5.1, 5.0, 4.2) sollten davon ausgehen, dass sie ebenfalls verwundbar sind, und eine Migration auf eine unterstützte Version planen.
Für alle 11 Schwachstellen stehen Fixes zur Verfügung, keine wird zum Zeitpunkt der Veröffentlichung in the wild ausgenutzt, und das Fenster für proaktives Patchen ist offen. Die Update-Priorität wird weniger durch den numerischen CVSS-Wert als durch die konkrete Deployment-Konfiguration bestimmt: Betreiber von VSPC, zentralisierten Terraform-MCP-Server-Installationen im HTTP-Modus und Django-Anwendungen mit GeoDjango sollten die Patches in den kommenden Tagen einspielen, ohne auf öffentliche Exploits zu warten.
