CISA-Warnung: OS-Befehlsinjektions-Schwachstelle in ZoneMinder (CVE-2026-76060)

CISA veröffentlichte am 25. August 2026 eine Cybersicherheitswarnung zu einer Schwachstelle mit hohem Schweregrad (CVE-2026-76060) in ZoneMinder, einer Open-Source-Videoüberwachungssoftware. Die Schwachstelle ist eine authentifizierte OS-Befehlsinjektion in der Ereignisexportfunktion, bei der der HTTP-Parameter 'exportFile' unsauber in einen Shell-Befehl übergeben wird, der über PHP's exec() ausgeführt wird. Ein authentifizierter Benutzer mit der Berechtigung 'View Events' kann beliebige Betriebssystembefehle auf dem Server ausführen, was möglicherweise zu einer vollständigen Remote-Codeausführung als Webserver-Benutzer führt. Betroffen sind die Versionen ZoneMinder 1.37.48 und 1.38.3. Der CVSS-Basisscore beträgt 8.8 (Hoch) unter CVSS v3.1 und 8.7 unter v4.0. CISA entdeckte einen öffentlichen Proof-of-Concept, der von 'Scriptkittens' erstellt wurde, und meldete ihn an ZoneMinder. Der Hersteller empfiehlt ein Upgrade auf Version 1.38.3 oder später. Zum jetzigen Zeitpunkt sind CISA keine bekannten öffentlichen Ausnutzungen gemeldet worden. CISA rät Benutzern, die Netzwerkexposition zu minimieren, Firewalls zu verwenden und Hersteller-Patches anzuwenden.