Esri ArcGIS Server: SQL-Injection erlaubt Ausführung von Datenbankfunktionen
Zusammenfassung
Esri ArcGIS Server enthält eine kritische SQL-Injection-Schwachstelle (CWE-89, CVSS 3.1 9.8). Ein Angreifer mit Zugriff auf den Dienst kann datenbankspezifische Funktionen ausführen, die nicht erlaubt sein sollten. Das Risiko ist deutlich höher bei Diensten mit öffentlichem Zugriff, bei denen unter Umständen keine Anmeldung nötig ist. Esri hat für unterstützte Versionen einen Patch veröffentlicht.
Betroffen
- Esri ArcGIS Server 12.1 und früher unter Windows und Linux (Beschreibung von Esri)
- Abweichende Angaben zum Bereich: Die CVE.org/CNA-Daten nennen 11.1 bis unter 12.1, VulDB nennt bis 12.0. Bis Esri dies klärt, alle Versionen bis und mit 12.1 als betroffen behandeln.
- Standardkonfiguration: Laut CNA nicht betroffen.
Behoben in
- ArcGIS Server Security 2026 Update 3 Patch, veröffentlicht am 13. Oktober 2026 (Esri-Sicherheitsbulletin vom Oktober 2026)
- Patchberechtigte Versionen: 12.1, 12.0, 11.5, 11.3 und 11.1
- Reife oder ausgemusterte Versionen sind nicht patchberechtigt; diese müssen aktualisiert werden.
- Genaue Build-Nummern der Korrektur: Unbekannt. Vor der Installation bei Esri bestätigen lassen.
Umgehung
- Keine bekannte Workaround-Lösung des Herstellers.
- Bis zur Korrektur den anonymen Zugriff auf betroffene Dienste unterbinden.
- Zugriff auf die Web-Endpunkte von ArcGIS Server einschränken (VPN oder Allow-List).
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn.
- Nicht in CISA KEV gelistet.
- CISA-SSVC-Daten: Ausnutzung keine, Automatisierbarkeit uneinheitlich erfasst, technische Auswirkung total.
- Ein nicht verifizierter Social-Media-Beitrag behauptet einen öffentlichen Exploit. Dies ist nicht bestätigt.
Unsere Empfehlung
- Mit dem Security 2026 Update 3 Patch aktualisieren; Instanzen mit Internetzugriff oder öffentlichem Zugriff zuerst behandeln.
- Genaue Build-Nummern der Korrektur vor der Installation bei Esri bestätigen.
- Alle ArcGIS-Server-Instanzen inventarisieren, auch jene von Partnern oder kommunalen GIS-Teams.
- Reife oder ausgemusterte Versionen aktualisieren.
- Bis zur Korrektur anonymen Zugriff deaktivieren und die Netzwerkexposition einschränken.
- Datenbank- und Webprotokolle auf ungewöhnliche Abfragefehler überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Esri October 2026 ArcGIS Security Bulletin www.esri.com
- OpenCVE CVE-2026-10757 app.opencve.io
- Tenable CVE-2026-10757 www.tenable.com
- VulDB 426582 vuldb.com
- Feedly CVE-2026-10757 feedly.com
- GitHub Advisory GHSA-34qg-vwfc-f4rm github.com
- Malware.news advisory AV26-1088 (Canadian Centre for Cyber Security) malware.news
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.