Adminer: Remote Code Execution durch UTF-8-BOM-Umgehung von SQLite-Einschränkungen
Zusammenfassung
Adminer vor 6.1.1 enthält eine Schwachstelle für Remote Code Execution im SQLite-Treiber. Ein authentifizierter Benutzer kann die Einschränkungen für ATTACH und VACUUM INTO umgehen, indem er SQL-Anweisungen mit einer UTF-8-Byte-Order-Mark voranstellt, anschliessend eine Datenbankdatei in einem von PHP ausgelieferten Verzeichnis erstellen und über einen Tabellennamen PHP-Code ausführen. Eine erfolgreiche Ausnutzung führt Code als Benutzer des Webservers aus und setzt einen gültigen Adminer-Login sowie einen beschreibbaren, von PHP ausgelieferten Pfad voraus.
Betroffen
- Adminer vor 6.1.1 (CVE-Eintrag: 0 bis vor 6.1.1; GitHub-Advisory: 6.1.0 und früher)
- Versionen 5.x und 6.0.x: widersprüchliche Angaben, bis zur Klärung als betroffen behandeln
Behoben in
- Adminer 6.1.1 oder neuer (Fix-Commit c33724d35ac9093d2515674832caafa5ab94e9fc)
Umgehung
- Unbekannt. Der Hersteller hat keine Workaround veröffentlicht.
- Übergangsmassnahmen aus den Recherchenotizen (keine Herstellerempfehlung): SQLite-Treiber deaktivieren, falls er nicht benötigt wird, und den Zugriff auf Adminer auf VPN- oder Management-IP-Adressen beschränken.
Ausnutzung
- Öffentlich verfügbarer Proof of Concept im GitHub-Advisory; CISA SSVC listet die Ausnutzung als poc und die Automatisierbarkeit als no.
- Keine Ausnutzung in freier Wildbahn gefunden.
- CISA KEV: laut einem Drittanbieter-Tracker nicht gelistet; nicht direkt geprüft.
Unsere Empfehlung
- Adminer auf Version 6.1.1 oder neuer aktualisieren oder vom Server entfernen.
- Adminer nicht aus dem Internet erreichbar machen; Zugriff auf VPN- oder Management-Netze beschränken.
- SQLite-Treiber deaktivieren, falls er nicht verwendet wird.
- Sicherstellen, dass der Webserver-Benutzer nicht in von PHP ausgelieferte Verzeichnisse schreiben kann.
- Adminer-Logins prüfen und geteilte oder schwache Konten entfernen.
- Webverzeichnisse auf unbekannte PHP-Dateien prüfen und neue Datenbankdateien dort überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r9r5-j5q8-8c59 github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-109347 osv.dev
- Ubuntu security notice CVE-2026-109347 ubuntu.com
- NVD data via Vulners vulners.com
- Adminer 6.2.0 release page github.com
- Nixpkgs tracker issue 573673 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.