Kritische Schwachstellen in Qualcomm-Produkten entdeckt

Hintergrund

Die ACN / CSIRT Italia hat vier kritische Schwachstellen entdeckt und gemeldet, identifiziert mit dem Alert AL06/260707/CSIRT-ITA, die verschiedene Qualcomm-Produkte betreffen. Die Schwachstellen betreffen spezifisch die Wi-Fi-Chipsets (WLAN Host), die Qualcomm Compute Chipsets (Windows Compute), die High-Level Operating System (HLOS) Komponente und die Digital Signal Processors (DSP) von Qualcomm. Die Arten der Schwachstellen umfassen Denial of Service, Elevation of Privilege, Information Disclosure und Remote Code Execution. Vier spezifische CVEs wurden identifiziert: CVE-2026-25268, CVE-2026-21383, CVE-2026-21379 und CVE-2026-25271. Die systemische Auswirkung dieser Schwachstellen wird als Hoch (65.12) eingestuft. Das am 07.07.2026 veröffentlichte Sicherheitsbulletin des Herstellers enthält Details zu den betroffenen Produkten und Versionen sowie genaue Anweisungen für die erforderlichen Sicherheitsupdates. — Quelle: ACN / CSIRT Italia

Warum es wichtig ist

Schwachstellen vom Typ Remote Code Execution und Information Disclosure stellen ein erhebliches Risiko für die Integrität, Vertraulichkeit und Verfügbarkeit personenbezogener Daten und Informationssysteme dar, zentrale Elemente für die Einhaltung der DSGVO und der NIS2-Richtlinie. Ein erfolgreicher Angriff könnte zu Datenpannen (Data Breach), Unterbrechungen wesentlicher Dienste oder unbefugtem Systemzugriff führen, mit potenziellen rechtlichen, reputativen und finanziellen Folgen für die Organisation. Die NIS2-Richtlinie verlangt von Organisationen, geeignete technische und organisatorische Maßnahmen zur Bewältigung von Risiken für die Sicherheit von Netzwerken und Informationssystemen zu implementieren. Die Nichtanwendung von Sicherheitspatches für kritische Schwachstellen, insbesondere in weit verbreiteten Hardwarekomponenten wie Chipsets, könnte als Verstoß gegen diese Anforderungen sowie als Mangel in Bezug auf die von ISO 27001 vorgesehenen Schwachstellenmanagementkontrollen betrachtet werden. — Quelle: ACN / CSIRT Italia

Was zu tun ist

• Konsultieren Sie das offizielle Sicherheitsbulletin von Qualcomm, um die in Ihrer Infrastruktur vorhandenen betroffenen Produkte und Versionen zu identifizieren.
• Wenden Sie die von Qualcomm veröffentlichten Sicherheitsupdates umgehend an, um die Schwachstellen zu mindern.
• Stellen Sie sicher, dass die internen Prozesse für das Patch- und Schwachstellenmanagement effektiv und ständig aktualisiert werden.
• Überwachen Sie Ihre Infrastruktur, um potenzielle Ausnutzungsversuche der bekannten Schwachstellen zu erkennen.

Was zu vermeiden ist

• Wenden Sie die vom Hersteller empfohlenen Sicherheitsupdates nicht an.
• Ignorieren Sie die Schwere der Schwachstellen, insbesondere jener, die Remote Code Execution und Information Disclosure ermöglichen.
• Verwenden Sie anfällige Qualcomm-Produkte, ohne deren Version und die Anwendbarkeit von Patches überprüft zu haben.

Praktische Auswirkungen

Organisationen, die Geräte auf Basis von Qualcomm-Chipsets (wie Smartphones, Tablets, IoT-Geräte oder Netzwerkgeräte) verwenden, müssen diese Schwachstellen als erhebliches Betriebsrisiko betrachten. Die Kompromittierung solcher Komponenten kann die gesamte Infrastruktur Risiken wie Datenverlust, Unterbrechung kritischer Dienste oder unbefugtem Zugriff aussetzen. Es ist unerlässlich, proaktiv zu handeln, um die Sicherheit und die Einhaltung gesetzlicher Vorschriften zu gewährleisten. — Quelle: ACN / CSIRT Italia

Empfohlene Maßnahmen

• Identifizieren Sie alle Geräte im Unternehmensinventar, die Qualcomm-Chipsets enthalten.
• Planen und implementieren Sie dringend die Anwendung von Sicherheitspatches auf den betroffenen Geräten.
• Bewerten Sie die potenziellen Auswirkungen dieser Schwachstellen auf Ihre Geschäftsprozesse und -daten.
• Aktualisieren Sie Risikoregister und Schwachstellenmanagementverfahren basierend auf dieser neuen Bedrohung.

Zu vermeidende Fehler

• Verschieben Sie die Anwendung von Patches aus nicht-kritischen Betriebs- oder Testgründen.
• Gehen Sie nicht davon aus, dass nur bestimmte Geräte gefährdet sind, ohne eine vollständige Bestandsprüfung durchzuführen.
• Kommunizieren Sie das Vorhandensein dieser Schwachstellen nicht an die relevanten internen Verantwortlichen, einschließlich DPOs und IT-Managern.

Fragen zur Selbsteinschätzung

• Haben wir ein aktuelles Inventar aller verwendeten Hardwaregeräte, einschließlich interner Komponenten wie Chipsets?
• Sehen unsere Patch-Management-Prozesse die rechtzeitige Anwendung von Sicherheitsupdates für kritische Schwachstellen vor?
• Haben wir die Fähigkeit, Versuche zur Ausnutzung dieser Schwachstellen auf unseren Systemen zu überwachen und zu erkennen?
• Ist unser Incident-Response-Plan ausreichend, um eine potenzielle Kompromittierung aufgrund dieser Schwachstellen zu bewältigen?

Verweise

Nationales Recht: Direttiva NIS2 · ISO/IEC 27001 · GDPR