Die kostenlose Schutzsoftware ClamAV hat acht schwere Sicherheitslücken. Angreifer können damit zentrale Schutzsysteme lahmlegen. Für IT-Sicherheitsverantwortliche zählt jetzt vor allem eines: die Updates schnell einspielen – denn ClamAV läuft oft auf den Geräten, die ein Firmennetzwerk als Erstes schützen.
Die IT-Sicherheitsbranche steht vor einer neuen Serie von Schwachstellen – diesmal in einem der am weitesten verbreiteten kostenlosen Programme. Acht neu entdeckte Sicherheitslücken in der Virenschutz-Software ClamAV erlauben es Angreifern, das Programm gezielt zum Absturz zu bringen oder in bestimmten Fällen sogar eigenen Schadcode auszuführen [1]. Für viele Nutzer klingt ein „abgestürzter Virenscanner“ nach einem harmlosen Software-Problem. Für Unternehmen, die ClamAV an zentralen Stellen einsetzen, ist es ein echtes Sicherheitsrisiko.
Einfallstor für Angriffe auf die Infrastruktur
ClamAV ist mehr als ein Programm für den einzelnen Arbeitsplatz. Es steckt in zahlreichen E-Mail-Servern, in vermittelnden Zwischenservern (sogenannten Proxy-Servern) und in speziellen Sicherheitsgeräten, den sogenannten Appliances – fertig eingerichteten Geräten mit einer festen Sicherheitsaufgabe. Schickt ein Angreifer eine präparierte Datei – etwa ein manipuliertes Zip-Archiv oder ein PDF-Dokument –, kann er das Schutzsystem überlasten und komplett ausfallen lassen. Fachleute nennen das einen Denial-of-Service, kurz DoS: Ein Dienst wird absichtlich unbrauchbar gemacht [1].
Damit ändert sich die Sichtweise für IT-Sicherheitsverantwortliche (im Fachjargon CISO, Chief Information Security Officer). Es geht nicht mehr nur um die Pflege einer einzelnen Software, sondern um die Sicherheit der gesamten Geräte-Landschaft. Geräte, die auf ClamAV aufbauen, sind der Schutzschild für das Firmennetzwerk. Wird dieser Schild durch eine bösartige E-Mail gezielt ausgeschaltet, liegen die dahinterliegenden Systeme offen für weitere Angriffe. Besonders heikel: Unter Windows kann beim Öffnen von RAR-Archiven sogar Schadcode ausgeführt werden (Kennung CVE-2025-8088). Angreifer könnten so die Kontrolle über die betroffenen Systeme übernehmen [1].
Fertiger Angriffscode erhöht den Handlungsdruck
Die Lage ist auch deshalb dringlich, weil für zwei der Lücken (CVE-2026-20337 und CVE-2026-20338) bereits fertiger Angriffscode kursiert. Fachleute sprechen von einem Proof of Concept (PoC) – einem funktionierenden Beispiel, das zeigt, wie sich eine Lücke ausnutzen lässt. Solcher Code senkt die Hürde für automatisierte Angriffe deutlich [1]. IT-Verantwortliche sollten deshalb rasch prüfen, wo ClamAV in ihrer Technik überhaupt steckt. Überall dort, wo es in Sicherheitsgeräten oder E-Mail-Systemen verbaut ist, sollten die Updates Vorrang haben.
Die Entwickler von ClamAV haben mit den Versionen 1.4.6 und 1.5.4 bereits passende Updates (Patches) bereitgestellt [1]. Schwieriger ist die Lage bei kommerziellen Produkten, die ClamAV in lizenzierter Form nutzen. Ein bekanntes Beispiel ist der Cisco Secure Endpoint Connector. Hier lässt sich die Schutz-Software nicht so einfach aktualisieren, weil sie fest in das Produkt eingebaut ist. Ein offizielles Update für die betroffene Cisco-Lösung wird nach aktuellem Stand noch in diesem Monat erwartet [1].
Einordnung: Die Schwachstelle der Open-Source-Nutzung
Der Fall zeigt erneut ein grundsätzliches Problem: Kostenlose, frei einsehbare Software (Open Source) steckt oft tief in kommerziellen Firmenprodukten. Stützt ein Unternehmen seine Netzwerksicherheit auf Geräte, deren wichtigste Bausteine aus externen und häufig unbezahlt gepflegten Projekten stammen, muss die Update-Planung des Herstellers eng mit der eigenen IT-Sicherheit verzahnt sein.
Die aktuelle Bedrohungslage macht deutlich: Sich blind auf ein Sicherheitsgerät zu verlassen, ohne die darin verbaute Software im Blick zu behalten, reicht nicht mehr aus. IT-Verantwortliche sollten bei der Risikobewertung auch die Herkunft der Software in ihren Geräten prüfen – also die gesamte Lieferkette (Supply Chain) – und feste Zeitfenster für solche Updates von vornherein einplanen.