Kritische Root-Lücke in OPNsense: Firewall über GeoIP-Import angreifbar

In der weit verbreiteten Open-Source-Firewall OPNsense steckt eine kritische Schwachstelle, über die Angreifer die volle Kontrolle über das Gerät übernehmen können. Betroffen ist die GeoIP-Alias-Funktion; die Lücke CVE-2026-57155 erreicht einen CVSS-Wert von 9.9 von 10. Ein öffentlicher Proof-of-Concept kursiert bereits, ein Update steht bereit.

Was ist passiert?

Die Schwachstelle CVE-2026-57155 liegt in der GeoIP-Alias-Komponente von OPNsense. Diese lädt Länderdatenbanken von einer frei wählbaren Adresse herunter und verarbeitet sie mit Root-Rechten. Ältere Versionen prüften weder die Download-Adresse noch den Inhalt der Datei ausreichend. Dadurch kann ein Angreifer die Firewall auf einen eigenen Server umleiten, ein manipuliertes GeoIP-Archiv ausliefern und darüber beliebige Dateien auf das System schreiben. Am Ende der Kette steht eine Remote-Code-Ausführung mit Root-Rechten. Der Entdecker Jonas Ampferl hat die Details öffentlich dokumentiert, ein funktionierender Exploit ist bereits im Umlauf.

Wer ist betroffen?

Betroffen sind OPNsense-Installationen vor Version 26.1.11 (Community Edition) beziehungsweise vor 26.4.1p1 (Business Edition). Besonders heikel: Die Lücke lässt sich bereits von einem nicht-administrativen Benutzer ausnutzen, der lediglich das Recht Firewall: Alias: Edit besitzt. OPNsense ist bei kleinen und mittleren Unternehmen als kostengünstige Firewall- und VPN-Lösung stark verbreitet – häufig als zentraler Übergang ins Internet. Wer OPNsense im Einsatz hat, sollte den Patch entsprechend dringend behandeln.

Was jetzt zu tun ist

1. Prüfen Sie die eingesetzte OPNsense-Version unter System → Firmware im Web-Interface.
2. Aktualisieren Sie umgehend auf 26.1.11 (Community Edition) bzw. 26.4.1p1 (Business Edition) oder neuer.
3. Kontrollieren Sie die vergebenen Benutzerrechte und entziehen Sie das Recht Firewall: Alias: Edit allen Konten, die es nicht zwingend benötigen.
4. Beschränken Sie den Zugriff auf das Web-Interface der Firewall auf vertrauenswürdige interne Netze; es gehört niemals ungeschützt ins offene Internet.
5. Prüfen Sie nach dem Update Logs und GeoIP-Alias-Konfigurationen auf ungewöhnliche Quell-URLs oder Einträge.

So hilft Binary System Services

Wir behalten für unsere Kunden kritische Sicherheitswarnungen zu Firewalls, Servern und Business-Software im Blick und spielen Updates wie diesen OPNsense-Patch koordiniert und getestet ein – ohne Unterbrechung Ihres Betriebs. Bei Verdacht auf einen bereits erfolgten Angriff unterstützen wir zudem mit Notfallanalyse und Absicherung. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.