Sicherheitslücke · hoch
Schwachstellen in ffmpeg ermöglichen Codeausführung und DoS
Tier A · Heute patchen – Vor dem Feierabend
Wer betroffen ist: Systeme mit ffmpeg, besonders bei der Verarbeitung fremder Mediendateien
Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login UND volle Übernahme
Reichweite
Angriff
Schaden
Fix
Verbreitetes Werkzeug · Aus der Ferne, ohne Login · Volle Übernahme
Was zu tun ist
- Eingesetzte ffmpeg-Versionen prüfen und Sicherheitsupdates der Distribution oder des Projekts einspielen
Kurz gesagt
- Das BSI warnt vor mehreren Schwachstellen in ffmpeg, die beliebigen Programmcode ausführbar machen oder einen Denial-of-Service-Zustand auslösen können.
- Laut einer Warnmeldung kann ein entfernter, anonymer Angreifer die Lücken ausnutzen, um Code auszuführen, Daten zu manipulieren oder vertrauliche Informationen offenzulegen.
- Die BSI-Warnmeldungen wurden am 13.11.2026 aktualisiert; eine Einstufung als mittel und als hoch liegt vor.
Warum es wichtig ist
Wer ffmpeg zur Verarbeitung von Medien einsetzt, etwa auf Servern, in Build-Pipelines oder in Anwendungen, kann durch manipulierte Mediendateien angreifbar sein. Entwicklerinnen und Entwickler im deutschsprachigen Raum sollten ihre ffmpeg-Installationen prüfen.
Die Checkliste hinter dem Tier
Checkliste · 4 von 10 mit Ja
| Ja | Trifft Tech-Teams | Einschätzung: ffmpeg ist ein Entwicklerwerkzeug und eine Bibliothek, die Server und Medien-Pipelines betreiben. |
| Nein | Kerninfrastruktur | Einschätzung: ffmpeg ist ein einzelnes Produkt, kein Kernbestandteil wie OpenSSH oder glibc. |
| Ja | Verbreitetes Werkzeug | Einschätzung: ffmpeg ist weit verbreitet und wird von vielen Teams in Build- und Medienprozessen genutzt. |
| Nein | Wird ausgenutzt | BSI WID: Beschreibt nur die Ausnutzbarkeit, meldet aber keine beobachteten Angriffe. |
| Nein | Exploit öffentlich | BSI WID: Nennt keinen veröffentlichten Exploit oder Proof of Concept. |
| Ja | Aus der Ferne, ohne Login | BSI WID (WID-SEC-2026-2491): Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen ausnutzen. |
| Ja | Volle Übernahme | BSI WID (WID-SEC-2026-2510): Angreifer können beliebigen Programmcode ausführen. |
| Nein | Geheimnisse offengelegt | BSI WID (WID-SEC-2026-2491): Offenlegung vertraulicher Informationen wird nur als möglich beschrieben, nicht als eingetreten. |
| Nein | Lieferkette | BSI WID: Die Lücken betreffen Codeausführung, nicht kompromittierte Pakete oder Update-Kanäle. |
| Nein | Noch kein Fix | BSI WID: Die Meldungen nennen keine Angaben zu verfügbaren Korrekturen. |
Zeitleiste
BSI aktualisiert Warnmeldungen zu mehreren ffmpeg-Schwachstellen
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] ffmpeg: Mehrere Schwachstellen
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [mittel] ffmpeg: Mehrere Schwachstellen ermöglichen Codeausführung und DoS
Alle Berichte · 2 Quellen
- vor 47 Min. ↗
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] ffmpeg: Mehrere Schwachstellen - vor 47 Min. ↗
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [mittel] ffmpeg: Mehrere Schwachstellen ermöglichen Codeausführung und DoS
Zuerst gesehen · 2 Quellen · Zur ganzen Meldung · Wie Tiers entschieden werden