Broadcom hat ein neues Paket an Sicherheitsupdates für das Java-Framework Spring veröffentlicht. Ziel: 91 Spring Sicherheitslücken zu beheben. Für viele Organisationen ist das ein klares Signal, bestehende Deployments zeitnah zu prüfen und die Patches in ihren Software-Builds und Laufumgebungen nachzuziehen.
Spring wird seit Jahren in Unternehmensanwendungen eingesetzt. Der Funktionsumfang reicht von Dependency Injection über Aspect-orientierte Programmierung bis hin zu modularen Bausteinen für Web-, Daten- und Messaging-Architekturen. Gerade diese Breite sorgt jedoch dafür, dass Sicherheitsprobleme in Teilkomponenten schnell mehrere Einsatzfelder betreffen können.
Was wurde an den Spring Sicherheitslücken behoben?
In der aktuellen Mitteilung geht es um 91 veröffentlichte Schwachstellen, die mit Updates geschlossen wurden. Ein einzelner Fehler wurde dabei als kritisch eingestuft.
Zusätzlich wurden über ein Dutzend Schwachstellen als hoch eingestuft. Die möglichen Auswirkungen reichen typischerweise von Web-Angriffen bis hin zu weitreichenden Kompromittierungen: etwa XSS (Cross-Site Scripting), Informationsabfluss, Remote Code Execution, Denial of Service sowie Sicherheitsumgehungen und unbefugter Zugriff.
Der Rest verteilen sich auf mittlere und niedrige Schweregrade. Auch wenn diese nicht immer sofort „Feueralarm“ bedeuten, lohnt sich in der Praxis häufig ein Gesamtpatching, weil Zusammenhänge zwischen Komponenten die tatsächliche Angriffsfläche erhöhen können.
Besonders kritisch: CVE-2026-59270
Eine der wichtigsten Stellen im aktuellen Update ist die Schwachstelle CVE-2026-59270. Sie trägt die höchste Kritikalität und betrifft den in Spring Security eingebetteten UnboundID LDAP-Server.
Laut Bewertung könnte ein Angreifer sich authentifizieren und Einträge in einem in-memory Verzeichnis verändern. Damit wird deutlich, dass es sich nicht nur um einen theoretischen Fehler handelt: Manipulation und Kontrollverlust über betroffene Verzeichnisinhalte sind für viele Angriffsmodelle entscheidend.
Hohe Risiken: typische Angriffsziele
Mehrere der hoch eingestuften Spring Sicherheitslücken können für unterschiedliche Angriffsmuster ausgenutzt werden. Dazu zählen:
- XSS-Angriffe, bei denen Schadcode in Anwendungen eingebettet wird.
- Informationslecks, die sensible Daten offenlegen können.
- Remote Code Execution, also die Möglichkeit, Code aus der Ferne auszuführen.
- DoS-Angriffe, die Systeme oder Dienste überlasten.
- Sicherheitsumgehungen und unbefugter Zugriff.
Für Teams, die Spring-basierte Systeme betreiben, bedeutet das: Nicht nur der „Framework“-Kern ist relevant, sondern auch begleitende Bibliotheken und Integrationen, die im konkreten Projekt genutzt werden.
Welche Komponenten sind betroffen?
Der Security-Dienst Sonatype hat die vorgenommenen Änderungen analysiert. Dabei kam heraus, dass die Patches mehr als 200.000 Softwarekomponenten betreffen können. Das unterstreicht die Reichweite: Ein scheinbar kleiner Dependency-Update-Schritt kann in vielen Projekten zu einer relevanten Änderung im gesamten Build- und Lieferkettenkontext führen.
Zu den betroffenen Projekten zählen unter anderem:
- Spring Security
- Spring AI
- Cloud Config
- Data REST
- Integration
- Reactor Core und Reactor Netty
- AMQP
- Batch
Praktisch heißt das: Wer nur „Spring Framework“ aktualisiert, aber weitere Module unverändert lässt, kann dennoch Sicherheitslücken im Gesamtprodukt offenhalten. Eine saubere Prüfung der gesamten Dependency-Tabelle ist daher entscheidend.
Zwei hervorgehobene Schwachstellen genauer betrachtet
Sonatype nennt in der Analyse zwei besonders auffällige Beispiele, die in der Bewertung eigene Aufmerksamkeit verdienen.
CVE-2026-59285: kritische RCE in Spring für GraphQL
Die Schwachstelle CVE-2026-59285 wird als kritisches Remote Code Execution-Problem beschrieben. Betroffen ist Spring für GraphQL. Sobald ein Angreifer Code aus der Ferne ausführen kann, steigt das Risiko für vollständige Systemkompromittierung und Folgeschäden deutlich.
CVE-2026-59318: Privilege Escalation via Prompt Injection
Ebenfalls hervorgehoben wird CVE-2026-59318 mit mittlerer Bewertung. Es betrifft eine Funktion zur Tool-Calling-Logik in Spring AI. Laut Beschreibung kann es unter bestimmten Umständen zu Privilege Escalation kommen, die über Prompt Injection ermöglicht wird.
Das zeigt: Bei KI-nahem Funktionsumfang verlagert sich das Bedrohungsmodell teilweise. Statt klassischer Speicherfehler stehen hier eher Logik- und Eingabe-/Ausgabe-Schnittstellen im Fokus.
Warum gerade jetzt: mehr Schwachstellen in diesem Jahr
Die Häufung der gemeldeten Spring Sicherheitslücken ist in den aktuellen Zahlen sichtbar. Bislang wurden in diesem Jahr mehr als 200 Schwachstellen gepatcht. Zum Vergleich: 2025 waren es 16, 2024 sogar nur 22.
Als Treiber wird in der Einordnung auch die starke Nutzung von AI im Spring-Umfeld genannt. Unabhängig von der Ursache gilt jedoch: Entscheidend ist, wie schnell Organisationen die Patches bewerten, testen und ausrollen.
Schon ausgenutzt: Erfahrungen aus der Praxis
Spring-Schwachstellen waren in der Vergangenheit für Angreifer interessant und wurden offenbar auch „in freier Wildbahn“ verwendet. In der Vergangenheit ist beispielsweise Spring4Shell bekannt geworden, und darüber hinaus befinden sich weitere ähnliche Schwachstellen im CISA KEV-Katalog.
Dieser Punkt ist für Betreiber besonders relevant: Wenn eine Lücke einmal ausgenutzt wird, steigt der Druck auf ein zeitnahes Update. Selbst ohne eigene Hinweise aus Monitoring kann die allgemeine Angriffsrealität reichen, um Prioritäten zu setzen.
Empfehlung: So gehen Sie jetzt konkret vor
Open-Source-Projekte und Nutzer erhalten die Empfehlung, die neuesten Spring-Updates zu prüfen und anzuwenden. Damit das in der Praxis nicht im Sande verläuft, hilft ein strukturierter Prozess:
- Dependency-Check: Ermitteln Sie, welche Spring-Module (inklusive Security, Reactor, AI, GraphQL und weitere) in Ihren Artefakten tatsächlich vorkommen.
- Patch-Planung: Ordnen Sie die Schweregrade (kritisch/hoch/mittel/niedrig) den betroffenen Services zu.
- Tests priorisieren: Beginnen Sie mit Bereichen, die Authentifizierung, GraphQL-Funktionen oder KI-Tool-Calling nutzen.
- Ausrollung überwachen: Verifizieren Sie nach dem Deployment, dass die Zielversionen in allen Umgebungen aktiv sind.
So reduzieren Sie das Risiko, dass einzelne Komponenten im Schattenbetrieb noch alte, anfällige Versionen enthalten.
Fazit
Mit den bereitgestellten Updates schließt Broadcom 91 Spring Sicherheitslücken. Besonders kritisch ist dabei CVE-2026-59270, während mehrere hoch eingestufte Schwachstellen Angriffsszenarien wie XSS, Informationsabfluss, Remote Code Execution, DoS und Sicherheitsumgehungen ermöglichen können. Zusätzlich zeigen die hervorgehobenen Fälle wie CVE-2026-59285 und CVE-2026-59318, dass sowohl klassische Web-/API-Funktionen als auch KI-nahe Logik betroffen sein können.
Für Betreiber heißt das vor allem eines: Prüfen Sie Ihre Spring-Dependencies gründlich und planen Sie die Aktualisierung zeitnah. In einem Umfeld, in dem Schwachstellen bereits ausgenutzt wurden, ist schnelle Reaktion oft entscheidend.
Quelle: https://www.securityweek.com/91-vulnerabilities-patched-in-spring-application-framework/
