Security Advisory
CVE-2026-9256 – Kritische Schwachstelle in Nginx
Betroffen: Skillplan Secure Access (SPSA) · Patch verfügbar
|
CVE-Identifier CVE-2026-9256 |
Schweregrad Kritisch |
Betroffene Komponente Nginx (SPSA-Stack) |
Patch-Status Verfügbar |
Veröffentlicht 27. Mai 2026 |
Zusammenfassung
In der Nginx-Komponente, welche als integraler Bestandteil des SPSA-Stacks (Skillplan Secure Access) eingesetzt wird, wurde eine kritische Sicherheitslücke identifiziert und unter der Kennung CVE-2026-9256 veröffentlicht.
Die Schwachstelle betrifft ausschliesslich Nginx – die SPSA-Applikation selbst sowie deren Konfiguration und Nutzerdaten sind nicht direkt von der Lücke betroffen. Da Nginx jedoch als Reverse Proxy und zentrales HTTP-Gateway innerhalb des SPSA-Container-Stacks operiert, ist eine zeitnahe Aktualisierung aller produktiven SPSA-Instanzen zwingend erforderlich.
Hinweis zur Betroffenheit
Alle SPSA-Deployments, die Nginx als Bestandteil des Docker-Compose-Stacks betreiben, sind von dieser Schwachstelle betroffen. Dies umfasst alle Standard- und kundenspezifischen SPSA-Installationen, unabhängig von der eingesetzten SPSA-Version.
Technischer Hintergrund
Nginx übernimmt in der SPSA-Architektur die Rolle eines vorgelagerten Reverse Proxys. Er terminiert eingehende HTTPS-Verbindungen, leitet Anfragen an die Guacamole-Backend-Dienste weiter und stellt den authentifizierten Webzugang zur SPSA-Oberfläche bereit.
CVE-2026-9256 beschreibt eine Schwachstelle im HTTP-Request-Processing von Nginx, die unter bestimmten Umständen von nicht authentifizierten Angreifern ausgenutzt werden kann. Details zur technischen Natur des Angriffsvektors werden nach Ablauf der koordinierten Offenlegungsfrist vollständig publiziert.
Angriffsvektor
Netzwerkbasiert (Network) – eine Ausnutzung ist ohne lokalen Zugang zum System möglich, sofern der Nginx-Port erreichbar ist. Für SPSA-Instanzen mit direkter Internetexposition besteht erhöhter Handlungsbedarf.
Verfügbarer Patch
Skillplan GmbH stellt ab sofort aktualisierte Docker-Images für den SPSA-Stack bereit. Die gepatchten Images enthalten die korrigierte Nginx-Version und schliessen CVE-2026-9256 vollständig.
Das Update wird über die regulären SPSA-Container-Repositories ausgeliefert und erfordert keine Änderungen an der Konfiguration oder an bestehenden Nutzerdaten. Eine vollständige Neuinstallation ist nicht notwendig.
Patch verfügbar
Das korrigierte SPSA-Container-Image ist ab sofort über die Standard-Repositories abrufbar. Die Aktualisierung erfolgt durch das Einspielen der neuen Images im Rahmen des regulären SPSA-Update-Verfahrens. Detaillierte Anweisungen erhalten betroffene Kunden direkt per E-Mail.
Empfohlene Massnahme
Wir empfehlen allen SPSA-Betreibern, das Sicherheitsupdate schnellstmöglich einzuspielen. Während des Update-Vorgangs kommt es zu einer kurzen, geplanten Unterbrechung der SPSA-Dienste. Wir empfehlen, den Eingriff ausserhalb der produktiven Nutzungszeiten durchzuführen.
Sollten Sie Fragen zur Betroffenheit Ihrer spezifischen Installation haben oder Unterstützung bei der Durchführung des Updates benötigen, steht Ihnen unser Support-Team zur Verfügung.
|
✉
|
Support & technische Rückfragen |
Skillplan GmbH · Security Advisory · 27. Mai 2026 · Dieses Dokument wird bei neuen Erkenntnissen aktualisiert.