Zurück zur Übersicht

Nicht einstufbarKonfidenz: Mittel

EPSS0.3 %

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-27 12:41 UTCMethodik

[NEU] [hoch] Octopus Deploy: Mehrere Schwachstellen

CERT-Bund·27. Oktober 2026, 12:41

Originalartikel lesen bei CERT-Bund

Mehrere kritische Schwachstellen in Octopus Deploy ermöglichen Angreifern die Umgehung von Sicherheitsvorkehrungen, Offenlegung von Informationen, Privilegienerhöhung, Dateimanipulation und Ausführung beliebigen Codes. Betroffen sind Octopus Deploy Server-Versionen unter 2026.3.15973 auf Linux, UNIX und Windows. Nutzer sollten umgehend auf die neueste Version aktualisieren, um diese Risiken zu mindern.

Im erfassten Bestand

▸7. erfasste Meldung zu Octopus innerhalb von 90 Tagen.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVSS: unbekannt
EPSS: 0.3%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@octopus.com

CVE-2026-117466

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@octopus.com

CVE-2026-116870

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@octopus.com

CVE-2026-117341

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@octopus.com

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

Erwähnte Akteure & Werkzeuge

Malware

Abgleich mit dem MITRE-ATT&CK-Katalog

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] Octopus Deploy: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-12887 CVE-2026-117466 CVE-2026-116870 CVE-2026-117341

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (4)

CVE-2026-12887NONE

EPSS 0.3%

In affected versions of Octopus Server, a user with permission to upload a malicious nuget package is able to deploy a script step so the script executes outside of the parent directory.

CVE-2026-117466NONE

EPSS 0.2%

In affected versions of Octopus Server, a user holding the System Manager role could escalate their privileges to full system Administrator.

CVE-2026-116870NONE

EPSS 0.2%

In affected versions of Octopus Server, OIDC token issuer validation was performed inconsistently. This could result in a token issued from a suitably configured non legitimate issuer being accepted as a token belonging to a service account from a legitimate trusted issuer. Exploitation requires a service account with at least one OIDC identity configured. An attacker would also need to know or guess some details of that identity in order to be in a position to attempt exploitation.

CVE-2026-117341NONE

EPSS 0.2%

In affected versions of Octopus Server, creating a user invitation writes the invitation code to the audit event log. When the invitation is linked to a space, a user in that space with appropriate permissions could read the code from the audit event. Successfully exploiting this by redeeming the unclaimed invitation could allow the user to escalate privileges however this is dependant on the permissions assigned for the invited user.