Security Alert · Schwachstelle

Monitoring-Software Checkmk: drei kritische Lücken ermöglichen Schadcode auf dem Überwachungsserver

Risikostufe

Mittel

Kategorie

Schwachstelle

Betroffene Systeme

Checkmk 2.5.0 vor 2.5.0p19 und 2.4.0 vor 2.4.0p40 (je nach Lücke Community, Pro, Ultimate, Cloud und Ultimate MT)
Checkmk 2.3.0 (End of Life, kein Update mehr)

Abhilfe verfügbar

Auf Checkmk 2.5.0p19 oder 2.4.0p40 aktualisieren; Installationen mit 2.3.0 auf eine unterstützte Version umstellen

Quelle

Checkmk Werk #22624, Checkmk Werk #17994, Checkmk Werk #22120, CERT-Bund

Was ist passiert?

Der Hersteller Checkmk hat drei kritische Lücken in seiner Monitoring-Software geschlossen. Alle drei bewertet er mit CVSS 9.4. Angreifer können darüber Dateien an beliebige Stellen schreiben und so Programmcode auf dem Checkmk-Server ausführen. Behoben sind die Fehler in Checkmk 2.5.0p19 und 2.4.0p40. Die Version 2.3.0 ist ebenfalls betroffen, hat aber ihr Lebensende erreicht und bekommt kein Update mehr. CERT-Bund stuft den Fall in seiner Warnung WID-SEC-2026-4453 als hoch ein.

Die drei Lücken im Einzelnen: Bei CVE-2026-120495 (Werk #22624) wurden Pfade aus Agentendaten für Robotmk-Testprotokolle nicht ausreichend geprüft. Bei CVE-2026-121374 (Werk #17994) konnte ein Benutzer, der Regeln bearbeiten darf, über eine Kubernetes-Regel Dateien schreiben und Code ausführen; laut Checkmk sind alle Instanzen betroffen, auch ohne Kubernetes-Überwachung. Bei CVE-2026-118965 (Werk #22120) konnte eine bösartige Remote-Site Dateien auf der zentralen Instanz schreiben.

Wer ist betroffen?

Unternehmen und IT-Dienstleister, die Checkmk 2.5.0, 2.4.0 oder 2.3.0 einsetzen. Zwei der Lücken betreffen alle Editionen einschließlich Community, die Robotmk-Lücke die Editionen Pro, Ultimate, Cloud und Ultimate MT. Angreifer brauchen allerdings bereits Zugang: als Monitoring-Benutzer mit Rechten zum Bearbeiten von Regeln, über einen kompromittierten überwachten Rechner (in der Regel mit Root-Rechten) oder über eine angebundene Remote-Site.

Wie hoch ist das Risiko?

Mittel. Das ist die redaktionelle Einschätzung von Blured; CERT-Bund stuft den Fall als hoch ein. Ein übernommener Monitoring-Server ist ein lohnendes Ziel, weil er viele Systeme kennt und oft weitreichende Zugänge hat. Für alle drei Lücken brauchen Angreifer aber bereits einen Zugang, und Ausnutzungen sind bisher nicht bekannt.

So schützen Sie sich

1. Checkmk zügig auf 2.5.0p19 oder 2.4.0p40 aktualisieren. Installationen mit 2.3.0 erhalten kein Update mehr und sollten auf eine unterstützte Version umgestellt werden.
2. Rechte im Monitoring sparsam vergeben: Nur wer es wirklich braucht, darf Regeln bearbeiten. Laut Checkmk reicht für eine der Lücken schon ein normaler Monitoring-Benutzer mit Rechten auf einen Ordner.
3. Nur vertrauenswürdige Remote-Sites an die zentrale Instanz anbinden und überwachte Rechner gegen unbefugte Änderungen an Agenten-Plug-ins und Spool-Dateien schützen.
4. Bis zum Update prüfen, ob die automatische Service-Erkennung neue Robotmk-Dienste ungeprüft übernimmt; eine der Lücken ist nur dann oder nach manueller Bestätigung durch einen Admin ausnutzbar.

Quellen

• Checkmk Werk #22624: Code execution through Robotmk HTML log test service (CVE-2026-120495), 02.11.2026
• Checkmk Werk #17994: Kubernetes: Arbitrary file write and code execution via excluded node roles (CVE-2026-121374), 03.11.2026
• Checkmk Werk #22120: Code execution through compromised remote site (CVE-2026-118965), 29.10.2026
• CERT-Bund: WID-SEC-2026-4453 Checkmk: Mehrere Schwachstellen ermöglichen Codeausführung (CSAF), 12.11.2026

Mehr zum Thema

• IT-Sicherheit
• Cloud & Server
• Alle Security Alerts

Stand: 13.11.2026