Mittel24 / 100Konfidenz: Mittel

CVSS7.5EPSS2 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Installieren Sie umgehend die bereitgestellten Sicherheitsupdates für ImageMagick auf allen betroffenen Systemen.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 7.5+14
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-45031, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
1 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-53466

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-29 08:46 UTCMethodik

[UPDATE] [hoch] ImageMagick: Mehrere Schwachstellen

CERT-Bund·29. September 2026, 08:46

Originalartikel lesen bei CERT-Bund

ImageMagick weist mehrere kritische Schwachstellen auf, die es einem entfernten Angreifer ermöglichen, Denial-of-Service-Angriffe durchzuführen oder Informationen offenzulegen. Betroffen sind verschiedene Linux-Distributionen (Amazon, Debian, SUSE) sowie Open Source ImageMagick Versionen unter 6.9.13-48 und 7.1.2-23. Nutzer sollten umgehend die bereitgestellten Sicherheitsupdates installieren, um ihre Systeme zu schützen.

SecBoard-Einordnung

Diese Schwachstellen können von entfernten Angreifern ohne Authentifizierung ausgenutzt werden, um die Verfügbarkeit von Systemen zu beeinträchtigen oder sensible Daten preiszugeben, was zu Betriebsunterbrechungen oder Reputationsschäden führen kann.

Realistisch schlimmster Fall: Ein entfernter, nicht authentifizierter Angreifer könnte Systeme, die ImageMagick nutzen, durch Denial-of-Service-Angriffe lahmlegen oder vertrauliche Informationen exfiltrieren.

Key Facts· 12 / 15

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-46522

CVSS: 7.5 · HIGH
EPSS: 1.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-46520

CVSS: 7.5 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-46523

CVSS: 6.2 · MEDIUM
EPSS: 0.3%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-46557

CVSS: 6.2 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-45359

CVSS: 5.7 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Verfügbarkeit
Patch: 14.13.1

CVE-2026-46521

CVSS: 5.5 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-45031

CVSS: 5.3 · MEDIUM
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-45664

CVSS: 5.3 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

CVE-2026-45358

CVSS: 5.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: 14.13.1

CVE-2026-42326

CVSS: 5.1 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Verfügbarkeit
Patch: 14.13.1

CVE-2026-45624

CVSS: 5.1 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Verfügbarkeit
Patch: 14.13.1

CVE-2026-46559

CVSS: 4.0 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 14.13.1

Betroffen

Organisationen, die ImageMagick auf Linux-Distributionen (Amazon, Debian, SUSE, openSUSE), UNIX- oder Windows-Plattformen einsetzen, insbesondere Versionen unter 6.9.13-48 oder 7.1.2-23.

Prüfen

▸Überprüfen Sie alle Systeme auf die Installation von ImageMagick und dessen Version.
▸Stellen Sie sicher, dass ImageMagick-Installationen auf Versionen 6.9.13-48 oder höher bzw. 7.1.2-23 oder höher aktualisiert wurden.

▸ 1 weitere

▸Scannen Sie Ihre Systeme auf bekannte Schwachstellen in ImageMagick, um ungepatchte Instanzen zu identifizieren.

Offene Punkte

▸ anzeigen

▸Die genaue Art der offengelegten Informationen ist nicht spezifiziert.
▸Die spezifischen CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Es ist nicht spezifiziert, welche spezifischen Funktionen von ImageMagick die Schwachstellen enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

MITRE ATT&CK(2)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1499Denial of Servicezugeordnet

„Denial-of-Service-Angriffe durchzuführen“

T1530Data from Local Systemzugeordnet

„Informationen offenzulegen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [hoch] ImageMagick: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-46522 CVE-2026-46520 CVE-2026-46523 CVE-2026-46557 CVE-2026-45359 CVE-2026-46521 CVE-2026-45031 CVE-2026-45664 CVE-2026-45358 CVE-2026-42326 CVE-2026-45624 CVE-2026-46559 CVE-2026-56369 CVE-2026-56363 CVE-2026-53466

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-46522HIGH(7.5)

EPSS 1.8%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2.23 and 6.9.13-48, due to a missing check in the MIFF decoder, a crafted file could cause an infinite loop resulting in CPU exhaustion. Versions 7.1.2.23 and 6.9.13-48 fix the issue.

Details NVD

CVE-2026-46520HIGH(7.5)

EPSS 0.4%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-48 and 7.1.2-23, when reading multiple images with different dimensions an out of bounds heap write can occur. This issue has been patched in versions 6.9.13-48 and 7.1.2-23.

Details NVD

CVE-2026-46523MEDIUM(6.2)

EPSS 0.3%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2.23 and 6.9.13-48, a crafted MSL image can trigger a heap-use-after-free. Versions 7.1.2.23 and 6.9.13-48 fix the issue.

Details NVD

CVE-2026-46557MEDIUM(6.2)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.2-23, due to a missing depth check a stack overflow can occur in the fx operation by passing a crafted argument. This issue has been patched in version 7.1.2-23.

Details NVD

CVE-2026-45359MEDIUM(5.7)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-48 and 7.1.2-22, an invalid connected-components:keep-top value could result in a heap buffer over-read when performing the connected components operation. This issue has been patched in versions 6.9.13-48 and 7.1.2-22.

Details NVD

CVE-2026-46521MEDIUM(5.5)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-48 and 7.1.2-23, when using LZMA compression in the MIFF encoder an out of bounds write can occur due to a missing check. This issue has been patched in versions 6.9.13-48 and 7.1.2-23.

Details NVD

CVE-2026-45031MEDIUM(5.3)

EPSS 0.5%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-47 and 7.1.2-22, due to a missing check in the PSD decoder it would be possible to bypass the list-length resource policy when decoding a PSD image. Other security limits would still apply. This issue has been patched in versions 6.9.13-47 and 7.1.2-22.

Details NVD

CVE-2026-45664MEDIUM(5.3)

EPSS 0.4%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-47 and 7.1.2-22, because of a missing check in the MNG coder it would be possible to read more images than the list limit policy would allow resulting in excessive resource use. This issue has been patched in versions 6.9.13-47 and 7.1.2-22.

Details NVD

CVE-2026-45358MEDIUM(5.3)

EPSS 0.2%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-47 and 7.1.2-22, an off by one in the meta encoder could result in an out of bounds read of a single byte in the meta encoder. This issue has been patched in versions 6.9.13-47 and 7.1.2-22.

Details NVD

CVE-2026-42326MEDIUM(5.1)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-47 and 7.1.2-22, when writing an IPTC output file a malicious input file could cause an out of bounds read of a single byte. This issue has been patched in versions 6.9.13-47 and 7.1.2-22.

Details NVD

CVE-2026-45624MEDIUM(5.1)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-47 and 7.1.2-22, when performing a polynomial distortion an out of bounds over-read of 24 bytes can occur when specifying specific arguments. This issue has been patched in versions 6.9.13-47 and 7.1.2-22.

Details NVD

CVE-2026-46559MEDIUM(4.0)

EPSS 0.1%

ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-48 and 7.1.2-23, an incorrect check in the JP2 will result in an heap buffer over-write of a single byte when specifying certain options. This issue has been patched in versions 6.9.13-48 and 7.1.2-23.

Details NVD