# Kritische MariaDB-Sicherheitslücken: Was Sie jetzt tun sollten

> Kritische MariaDB-Lücken mit CVSS 9,9 setzen Datenbankrechte voraus. Welche Fixstände genannt sind und was Sie jetzt mit Ihrem Hoster klären sollten.

- Quelle: https://bezahlbare-webseite.de/ratgeber/mariadb-kritische-sicherheitsluecken-was-tun/
- Datum: 2026-10-30
- Sprache: de
- Thema: Technik & Sicherheit

Der Recherchestand vom 30. Oktober 2026 dokumentiert mehrere Sicherheitslücken im MariaDB-Datenbankserver. Zwei davon, CVE-2026-92262 und CVE-2026-85746, erreichen nach der CNA-Bewertung gemäß CVSS 3.1 jeweils 9,9 von 10 Punkten. Ein Update sollte deshalb hohe Priorität haben. Für beide Hauptlücken benötigt ein Angreifer bereits ein Datenbankkonto mit geringen Rechten und entsprechenden SQL-Zugriff. Ein anonymer Aufruf Ihrer Website erfüllt diese Voraussetzung nicht automatisch. Lassen Sie klären, welcher MariaDB-Patchstand tatsächlich läuft und wer auf die Datenbank zugreifen darf.

## Was ist bei MariaDB passiert?

CVE-2026-92262 betrifft Tabellennamen: Das historische Präfix „#mysql50#“ umgeht deren reguläre Umsetzung in Dateinamen. Der CNA-Datensatz nennt Abstürze, beschädigte Daten, Datenabfluss und mögliche entfernte Codeausführung. Die CNA bewertet die Lücke nach CVSS 3.1 mit 9,9.

Bei CVE-2026-85746 kann die GIS-Funktion „ST_AsText“ durch tief verschachtelte GeometryCollections über ihren Ausgabepuffer hinaus schreiben. Auch hier beträgt die CNA-Bewertung nach CVSS 3.1 9,9. Mögliche Codeausführung beschreibt der Datensatz ausschließlich zusammen mit einer weiteren Schwachstelle. Eine zuverlässige, eigenständige Ferncodeausführung ist damit nicht nachgewiesen.

CVE-2026-85748 betrifft laut Datensatz nur die angegebenen Bereiche der Zweige 12.3 und 13.0. Ursache ist ein Use-after-free-Fehler bei vielen „SYS_REFCURSOR“-Objekten. Die CNA bewertet auch diese Lücke nach CVSS 3.1 mit 9,9. Die beschriebene mögliche Codeausführung erfordert ebenfalls eine weitere Schwachstelle. Ältere Zweige dürfen dieser CVE nicht pauschal zugeordnet werden.

## Wie gefährlich sind die Lücken wirklich?

9,9 ist eine kritische Bewertung. CVSS beschreibt die technische Schwere unter den angegebenen Voraussetzungen; eine Angriffswahrscheinlichkeit für Ihre Website lässt sich daraus nicht ablesen. Die drei Bewertungsvektoren nennen Netzwerkzugriff, geringe Komplexität, keine erforderliche Benutzerinteraktion und hohe mögliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Zugleich steht bei allen drei Lücken „PR:L“ für bereits vorhandene geringe Rechte. Datenbankadministratorrechte sind somit keine zwingende Voraussetzung. Welche einzelnen Rechte bei CVE-2026-92262 nötig sind, präzisiert die vorliegende Beschreibung weniger genau. Prüfen lassen sollten Sie deshalb auch Konten mit eingeschränkten Rechten.

Aktive Ausnutzung ist im vorliegenden Material nicht belegt. Für die geprüften CVE-Nummern enthält die gespeicherte CISA-KEV-Prüfung zum Katalogstand 29.10.2026 keine Treffer. Ein fehlender Eintrag in diesem Katalog bekannter ausgenutzter Schwachstellen schließt Angriffe nicht aus. Die Update-Empfehlung beruht auf der kritischen Schwere und den dokumentierten Angriffsvoraussetzungen.

## Welche MariaDB-Versionen sind sicher?

Die folgenden Fixstände sind laut CNA für CVE-2026-92262 und CVE-2026-85746 korrigiert. Das ist keine allgemeine Sicherheitsgarantie und keine Aussage zur Supportdauer eines Zweigs.

- MariaDB 10.6: Fixstand 10.6.28
- MariaDB 10.11: Fixstand 10.11.19
- MariaDB 11.4: Fixstand 11.4.13
- MariaDB 11.8: Fixstand 11.8.9
- MariaDB 12.3: Fixstand 12.3.3
- MariaDB 13.0: Fixstand 13.0.2

Ein Wechsel auf MariaDB 12 oder 13 ist wegen dieser Hauptlücken allein nicht erforderlich. Lassen Sie den passenden Fixstand und den Support Ihres Zweigs prüfen. Für nicht aufgeführte Zweige und konkrete Distributionspakete gibt die Recherche keine Entwarnung. Beruft sich Ihr Anbieter auf einen Backport, also eine in seinen Paketstand übernommene Korrektur, verlangen Sie einen Nachweis für beide Haupt-CVEs. CVE-2026-85748 betrifft ausdrücklich 12.3.1 bis vor 12.3.3 sowie 13.0.1 bis vor 13.0.2; die zugehörigen Fixstände sind 12.3.3 und 13.0.2.

## Wie prüfe ich, ob meine Website betroffen ist?

Die folgenden Hinweise sind redaktionelle Empfehlungen aus den dokumentierten Voraussetzungen und Fixständen. Ermitteln Sie zuerst, ob Ihre Website MariaDB verwendet. Lassen Sie die laufende Serverversion und den vollständigen Paketstand einschließlich Paketquelle feststellen. Falls Ihnen ein SQL-Zugang zur Verfügung steht, liefert die lesende Abfrage „SELECT VERSION();“ die laufende Serverversion. Einen korrigierten Anbieterstand sollten Sie zusätzlich bestätigen lassen.

Bei Shared Hosting empfehlen wir, zuerst den Anbieter nach der Zuständigkeit für die Datenbank zu fragen. Auch wenn Sie Plesk oder cPanel verwenden, sollten Sie klären, wer das Serverupdate übernimmt. Aus dem Namen einer Verwaltungsoberfläche lässt sich der Patchstand nicht ableiten.

Für WordPress empfehlen wir dieselbe Prüfung des Datenbankstands. Als mögliche zusätzliche Zugriffswege wären kompromittierte Datenbank-Zugangsdaten oder eine Schwachstelle der Webanwendung gesondert nachzuweisen; eine solche Angriffskette ist hier nicht belegt. Lassen Sie außerdem prüfen, welche Konten SQL ausführen dürfen. Fehlende Administratorrechte reichen als Entwarnung nicht aus.

## Was muss ich meinem Hoster schreiben?

Als redaktionellen Vorschlag können Sie diese Anfrage verwenden. Bewahren Sie die Antwort auf, damit der bestätigte Stand nachvollziehbar bleibt:

„Guten Tag, welche MariaDB-Version läuft für meine Website? Bitte nennen Sie auch die vollständige Paket- beziehungsweise Build-Kennung und die Paketquelle. Sind CVE-2026-92262 und CVE-2026-85746 darin behoben? Falls Sie einen Backport einsetzen, senden Sie mir bitte einen passenden Nachweis. Bei einem betroffenen Stand der Zweige 12.3 oder 13.0 bitte ich zusätzlich um Auskunft zu CVE-2026-85748. Welche Konten und Netze dürfen auf die Datenbank zugreifen? Falls noch ein Update nötig ist: Wer übernimmt es und wann? Bitte stimmen Sie die Datensicherung und Kompatibilitätsprüfung vorab sowie die Kontrolle der laufenden Version und der Website-Funktionen danach mit mir ab.“

Eine Antwort wie „Die Website läuft“ beantwortet die Frage nach den CVEs nicht. Bitten Sie bei unklaren Angaben um eine konkrete Bestätigung. Als Funktionstest empfehlen wir, die tatsächlich genutzten Abläufe Ihrer Website zu prüfen, beispielsweise eine Bestellung im Shop oder eine Anmeldung im Kundenbereich.

## Was tun, wenn das Update nicht sofort geht?

Lassen Sie als vorübergehende Maßnahme Datenbankzugänge auf benötigte Konten und Netze begrenzen. Prüfen Sie mit der zuständigen Fachperson, welche Zugänge entbehrlich sind und welche Rechte die Anwendungen brauchen. Das kann die Angriffsfläche reduzieren. Die vorliegenden Haupt-Advisories belegen damit keinen vollständigen Ersatz für das Update; auch geringe Datenbankrechte gehören zu den Angriffsvoraussetzungen.

Vereinbaren Sie einen konkreten Update-Termin. Unsere Empfehlung ist, vorher eine aktuelle Datensicherung und die Kompatibilität mit Ihren Anwendungen zu prüfen. Ein allgemeiner Hinweis auf zusätzliche Schutzmaßnahmen genügt als Nachweis der CVE-Behebung nicht. Lassen Sie sich den korrigierten Paketstand ausdrücklich bestätigen.

Kontrollieren Sie nach der Aktualisierung die tatsächlich laufende Serverversion und die Funktion Ihrer Anwendungen. Delegieren Sie diese Prüfung bei betreutem Hosting an den zuständigen Anbieter. Wenn der Patchstand weiterhin unklar bleibt, fragen Sie gezielt nach dem fehlenden Nachweis. Dokumentieren Sie die bestätigte Version und das Ergebnis des Funktionstests für Ihre Unterlagen.

## Häufige Fragen zum MariaDB-Sicherheitsupdate

### Reichen aktuelle WordPress-Plugins?

Als redaktionelle Empfehlung gilt: Lassen Sie den MariaDB-Patchstand unabhängig von Plugin-Updates prüfen. Die genannten Fixstände beziehen sich auf den Datenbankserver. Aktuelle Plugins sind kein Nachweis, dass diese Korrekturen dort installiert sind.

### Schützt Cloudflare?

Die Recherche enthält keinen Beleg für eine Schutzwirkung von Cloudflare gegen diese Lücken. Wir empfehlen daher auch bei dessen Einsatz, den MariaDB-Patchstand bestätigen zu lassen und das erforderliche Datenbankupdate zu priorisieren.

### Betrifft das statische Websites?

Aus dem betroffenen Produkt lässt sich ableiten: Eine rein statische Website, die auch über ergänzende Dienste kein MariaDB nutzt, hat hier keinen eigenen MariaDB-Patchbedarf. Bei zusätzlichen Datenbankfunktionen empfehlen wir, deren Datenbanksystem und Patchstand beim Anbieter zu erfragen.

### Ist jede WordPress-Website automatisch betroffen?

Nein. Prüfen Sie, ob ein betroffener MariaDB-Stand verwendet wird. Für einen Angriff sind zudem geringe Datenbankrechte und entsprechender SQL-Zugriff erforderlich; ein anonymer Webseitenaufruf genügt nicht automatisch. Das ist eine Ableitung aus den dokumentierten Voraussetzungen.

### Wurde meine Website bereits gehackt?

Die CVE-Meldung beantwortet das nicht. Aktive Ausnutzung ist im Material nicht belegt; die gespeicherte KEV-Prüfung zum 29.10.2026 enthält für die geprüften IDs keine Treffer. Das belegt keine Unversehrtheit Ihrer Website. Bei konkreten Auffälligkeiten empfehlen wir eine fachliche Prüfung.

### Muss ich auf MariaDB 12 oder 13 aktualisieren?

Wegen der beiden Hauptlücken allein ist das nicht erforderlich. Es sind Fixstände für mehrere ältere Zweige dokumentiert. Lassen Sie den passenden korrigierten Stand auswählen und den Support Ihres Zweigs gesondert klären. Ein Anbieterpatch braucht einen konkreten Behebungsnachweis.

---
Veröffentlicht von bezahlbare-webseite.de — Website im Abo ab 79 €/Monat. https://bezahlbare-webseite.de/