Ein aktueller Sicherheitsbericht des ClamAV-Entwicklerteams und des Mutterkonzerns Cisco warnt vor massiven Sicherheitslücken in der Virenscanner-Software ClamAV. Insgesamt wurden acht kritische Schwachstellen entdeckt, die es potenziellen Angreifern ermöglichen, die Abwehrsysteme aus der Ferne zu attackieren. In sieben Fällen führen diese Schwachstellen zu einem sogenannten Denial-of-Service-Zustand (DoS). Das bedeutet, dass der Virenscanner durch die Attacke gezielt in einen Fehlerzustand getrieben und zum Absturz gebracht wird. Die Entwickler haben diese Schwachstellen mit dem Bedrohungsgrad „hoch“ eingestuft, da Angreifer diese Abstürze aus der Ferne auslösen können, ohne über Zugangsdaten oder eine vorherige Authentifizierung am System verfügen zu müssen.
Der Angriffsvektor
Der Weg, um diese Abstürze auszulösen, ist erschreckend simpel: Es genügt, dem Scanner gezielt präparierte Dateien zur regulären Überprüfung zu übergeben. In der Praxis geschieht dies häufig über manipulierte Zip-Archive oder speziell angefertigte PDF-Dokumente. Sobald ClamAV versucht, diese bösartigen Dateien zu verarbeiten und für den Scan zu entpacken, kommt es zu internen Fehlern, die den Absturz der Software erzwingen (ein prominentes Beispiel hierfür ist die Lücke CVE-2026-20338).
Neben diesen DoS-Szenarien existiert eine noch gefährlichere Schwachstelle, die spezifisch Windows-Systeme betrifft. Unter der Kennung CVE-2025-8088 wird ein Fehler bei der Verarbeitung von RAR-Archiven beschrieben, der ebenfalls als „hoch“ bewertet ist. Gelingt es einem Angreifer, ein präpariertes RAR-Archiv auf einem Windows-System scannen zu lassen, kann dies zur direkten Ausführung von beliebigem Schadcode führen. Ein betroffener Computer gilt nach einer erfolgreichen Ausnutzung dieser speziellen Lücke in der Regel als vollständig kompromittiert.
Fatale Folgen für IT-Infrastrukturen
Die potenziellen Auswirkungen dieser Fehler sind enorm, da ClamAV in den meisten IT-Infrastrukturen primär auf zentralen Mailservern und an Netzwerk-Gateways eingesetzt wird. Fällt dieser Viren-Schutzschild durch einen DoS-Angriff aus, hat das weitreichende Folgen: Entweder werden wichtige E-Mails und Datenströme komplett blockiert, oder der Datenverkehr fließt ungeprüft in das Unternehmensnetzwerk. Letzteres öffnet Tür und Tor für Folgeangriffe mit Ransomware oder anderer Schadsoftware.
Aktuelle Ausnutzung und Gegenmaßnahmen
Obwohl Cisco bislang noch keine aktiven Angriffe in der Praxis beobachtet hat, ist die Situation extrem angespannt. Für mindestens zwei der identifizierten Schwachstellen (CVE-2026-20337 und CVE-2026-20338) zirkuliert bereits sogenannter Proof-of-Concept-Code im Internet. Dies bedeutet, dass funktionierende Anleitungen und Werkzeuge für Exploits frei verfügbar sind und reale Attacken unmittelbar bevorstehen dürften.
IT-Verantwortliche sind daher dringend aufgerufen, die Sicherheitspatches durch die Installation der neuen Ausgaben 1.4.6 oder 1.5.4 zeitnah einzuspielen. Eine Ausnahme bildet derzeit noch Ciscos eigene Schutzlösung, der Secure Endpoint Connector, der ebenfalls auf die betroffene ClamAV-Engine zurückgreift. Für dieses Programm gibt es noch keine fehlerbereinigte Version, das Update soll den Entwicklern zufolge jedoch noch im Laufe dieses Monats veröffentlicht werden.