MariaDB-Lücke: Zugriff auf fremde Datenbanken

Diese Mitteilung ist als wichtig eingestuft.

Eine Sicherheitslücke in MariaDB erlaubt Nutzern mit Datenbankzugang den Zugriff auf fremde Tabellen. Betroffene Server brauchen umgehend das Update.

Das MariaDB-Projekt hat am 7. September 2026 eine Sicherheitslücke in der Datenbanksoftware MariaDB bekannt gegeben. In MariaDB speichern zum Beispiel WordPress, Online-Shops und viele andere Webanwendungen ihre Inhalte. Über die Lücke kann ein Nutzer mit einem gültigen Datenbankzugang Tabellen lesen oder verändern, auf die er keinen Zugriff haben darf.

Seit dem 5. November 2026 ist die Lücke unter der Kennung CVE-2026-102523 im internationalen CVE-Verzeichnis veröffentlicht. Seit dem 6. November 2026 warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) davor. Korrigierte Versionen sind seit dem 24. August 2026 verfügbar, für die Reihe 13.0 seit dem 15. September 2026.

Unsere eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS sind auf dem aktuellen Stand. Bei selbst verwalteten Servern und VDS liegen die Updates in der Verantwortung der Kunden.

Wir empfehlen dringend zu prüfen, ob auf selbst verwalteten Servern oder VDS eine betroffene oder nicht mehr gepflegte MariaDB-Version läuft, und dann umgehend zu handeln (siehe unten).

Welche Datenbankserver sind betroffen?

Das MariaDB-Projekt führt als betroffen die Reihen 10.11, 11.4, 11.8, 12.3 und 13.0 auf, solange sie noch nicht auf die korrigierte Version aktualisiert sind (Tabelle unten). Ältere Reihen wie 10.5 und 10.6 führt das MariaDB-Projekt für diese Lücke nicht als betroffen auf.

Die Lücke gilt als gefährlich, weil ein Angreifer keine Administratorrechte braucht. Nach Einschätzung von Red Hat reicht ein gewöhnlicher Datenbankzugang mit dem Recht, Tabellen zu ändern. Ohne gültige Zugangsdaten lässt sich die Lücke dagegen nicht ausnutzen.

Das MariaDB-Projekt bewertet die Lücke mit CVSS 8,0 Punkten (Einstufung „hoch“). Red Hat mit 8,8 Punkten.

Teilen sich mehrere Kunden oder Anwendungen einen Datenbankserver, kann so jeder von ihnen die Daten der anderen lesen oder verändern.

Wie schätzt das BSI die Lage ein?

Das BSI stuft die Lücke in seinem Sicherheitshinweis WID-SEC-2026-4367 vom 6. November 2026 mit dem Risiko „hoch“ ein. Nach Einschätzung des BSI kann ein angemeldeter Angreifer über das Netzwerk Sicherheitsvorkehrungen umgehen und Dateien manipulieren oder Informationen offenlegen. Die US-Sicherheitsbehörde CISA führt die Lücke bisher nicht in ihrer Liste der nachweislich ausgenutzten Schwachstellen.

Was bedeutet die Lücke für die Systeme bei uns?

Unsere eigenen Systeme, das gesamte Webhosting sowie alle Managed-Server und Managed-VDS sind auf dem aktuellen Stand. Eine Ausnutzung der Lücke haben wir auf unseren Systemen bisher nicht festgestellt.

Für Websites und Anwendungen auf diesen Systemen ist nach heutigem Stand nichts weiter zu tun. Das gilt auch für alle Webhosting-Pakete ohne eigenen Server.

Server und VDS ohne Managed Service liegen in der Verantwortung der Kunden. Dort sollte die MariaDB-Version selbst geprüft oder der Administrator damit beauftragt werden.

Welche MariaDB-Version ist sicher?

Sicher sind diese Versionen oder neuer:

MariaDB 10.11.19
MariaDB 11.4.13
MariaDB 11.8.9
MariaDB 12.3.3
MariaDB 13.0.2

Diese Versionen sind seit dem 24. August 2026 verfügbar, MariaDB 13.0.2 seit dem 15. September 2026. Laut den Versionshinweisen des MariaDB-Projekts schließen die Versionen 10.11.19, 11.4.13, 11.8.9 und 12.3.3 neben dieser Lücke weitere Sicherheitslücken.

Die eingesetzte MariaDB-Version zeigt die Verwaltungsoberfläche des Servers, zum Beispiel Plesk. Auch der Administrator oder die betreuende Agentur kann sie nennen. Die Tabelle zeigt, was je nach Version zu tun ist:

MariaDB-Version	Was zu tun ist
10.11.1 bis 10.11.18	Update auf 10.11.19 einspielen
11.4.1 bis 11.4.12	Update auf 11.4.13 einspielen
11.8.1 bis 11.8.8	Update auf 11.8.9 einspielen
12.3.1 bis 12.3.2	Update auf 12.3.3 einspielen
13.0.1	Update auf 13.0.2 einspielen
andere Reihen, zum Beispiel 10.8, 11.2 oder 12.1	nicht mehr gepflegt, auf eine gepflegte Reihe wechseln (Liste oben)
10.6 und älter	für diese Lücke nicht als betroffen aufgeführt, aber nicht mehr gepflegt: auf eine gepflegte Reihe wechseln (Liste oben)

MariaDB 10.6 und ältere Reihen werden vom MariaDB-Projekt nicht mehr gepflegt. Für 10.6 endete die Pflege am 6. Juli 2026, für 10.5 am 24. Juni 2025. Auch Zwischenreihen wie 10.8, 11.2 oder 12.1 stehen nicht mehr in der Übersicht der gepflegten Versionen des MariaDB-Projekts.

Viele Linux-Distributionen liefern MariaDB als eigenes Paket aus und stellen Sicherheitskorrekturen über ihre eigenen Updates bereit. Wann eine Distribution eine Korrektur liefert, steht in ihren Sicherheitshinweisen. Ob eine solche Korrektur vollständig schützt, können wir nicht beurteilen. Der sichere Weg ist der Wechsel auf eine gepflegte Reihe.

Wir empfehlen allen Kunden mit selbst verwalteten Servern und VDS, MariaDB auf eine vom MariaDB-Projekt gepflegte Reihe umzustellen, und raten, dies umgehend zu prüfen.

Was ist bei selbst verwalteten Servern und VDS zu tun?

MariaDB umgehend auf eine der sicheren Versionen aktualisieren und anschließend den Datenbankdienst neu starten.

Die Version in der Verwaltungsoberfläche des Servers prüfen oder nach der Anmeldung an der Datenbank mit dem Befehl SELECT VERSION(); abfragen.
Stammt MariaDB aus den Paketen der Linux-Distribution, das Sicherheitsupdate der Distribution einspielen, sobald es verfügbar ist.
Nach dem Update den Datenbankdienst neu starten, damit die neue Version aktiv wird. Ohne Neustart bleibt die alte, unsichere Version aktiv!
Ist das Update nicht sofort möglich, nennt das MariaDB-Projekt eine Übergangslösung: MariaDB mit der Option --skip-plugin-partition starten. Die Option schaltet die Partitionierung ab, also das Aufteilen einer Tabelle in mehrere Teile. Vorher prüfen, ob eine Anwendung partitionierte Tabellen nutzt, im Zweifel den Administrator fragen.

Wer Sicherheitsupdates wie dieses nicht selbst einspielen möchte, kann für Server und VDS unseren Managed Service hinzubuchen. Dann übernehmen wir die Updates. Anfragen dazu nimmt unser Kundenservice über das Kontaktformular entgegen.

Ist unklar, welche MariaDB-Version läuft, oder gibt es Fragen? Unser Kundenservice hilft gerne weiter.

Quellen

Stand: 6. November 2026