BSI-Warnung: Mehrere Schwachstellen in Composer

Tier A · Heute patchen – Vor dem Feierabend

Wer betroffen ist: Composer-Installationen; betroffene Versionen laut BSI-Advisory

Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login UND volle Übernahme

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Aus der Ferne, ohne Login · Volle Übernahme

Was zu tun ist

Im BSI-Advisory WID-SEC-2026-4444 die betroffenen Versionen und verfügbaren Updates prüfen

Kurz gesagt

Das BSI warnt vor mehreren Schwachstellen in Composer mit der Einstufung „hoch“.
Ein entfernter, anonymer Angreifer kann sie ausnutzen.
Die Lücken ermöglichen Informationsoffenlegung, Datenmanipulation oder die Ausführung beliebigen Codes.

Warum es wichtig ist

Composer ist der Paketmanager für PHP. Wer ihn in Entwicklungs- oder Build-Umgebungen einsetzt, sollte prüfen, ob die eigene Installation betroffen ist, da beliebige Codeausführung möglich ist.

Die Checkliste hinter dem Tier

Checkliste · 4 von 10 mit Ja

Ja	Trifft Tech-Teams	Composer ist ein PHP-Abhängigkeitsmanager und damit ein Entwicklerwerkzeug.
Nein	Kerninfrastruktur	Einzelnes Entwicklerwerkzeug, nicht Kerninfrastruktur wie npm/PyPI als Ganzes oder OpenSSH.
Ja	Verbreitetes Werkzeug	Composer ist das verbreitete Standard-Werkzeug im PHP-Ökosystem.
Nein	Wird ausgenutzt	BSI WID: Nur Schwachstellen gemeldet, keine beobachteten Angriffe erwähnt.
Nein	Exploit öffentlich	BSI WID: Keine Angaben zu veröffentlichtem Exploit-Code oder PoC.
Ja	Aus der Ferne, ohne Login	BSI WID: Ein entfernter, anonymer Angreifer kann die Schwachstellen ausnutzen.
Ja	Volle Übernahme	BSI WID: Angreifer können beliebigen Code ausführen.
Nein	Geheimnisse offengelegt	BSI WID: Nur mögliche Informationsoffenlegung genannt, kein Diebstahl von Geheimnissen berichtet.
Nein	Lieferkette	BSI WID: Keine kompromittierten Pakete, Updates oder Build-Pipelines genannt.
Nein	Noch kein Fix	BSI WID: Keine Angaben zu einer korrigierten Version in der Warnung.

Zeitleiste

10. Nov.
BSI veröffentlicht Warnung zu mehreren Schwachstellen in Composer (WID-SEC-2026-4444)
10. Nov. · 13:12
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [hoch] Composer: Mehrere Schwachstellen

Quelle

[NEU] [hoch] Composer: Mehrere Schwachstellen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 3 Std.

Zuerst gesehen vor 3 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden