Die Automatisierungs-Plattform Kestra ist von einer maximal bewerteten Sicherheitslücke betroffen: CVE-2026-49869 erreicht den CVSS-Höchstwert 10.0 und erlaubt unauthentifizierten Angreifern die Ausführung beliebiger Befehle als Root. Die US-Behörde CISA nahm den Fehler am 2. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf.
Ein Suffix-Vergleich hebelt die Anmeldung aus
Ursache ist laut dem Hersteller-Advisory GHSA-5vc5-wxxq-3fjx ein Denkfehler im „AuthenticationFilter“. Dieser sollte lediglich den öffentlichen Endpunkt /configs von der Basic-Authentifizierung ausnehmen – prüft die Anfrage aber mit endsWith("/configs") statt mit einem exakten Pfadvergleich. Dadurch umgeht jeder API-Pfad, dessen letztes Segment auf „/configs“ endet, die Anmeldung vollständig.
Weil Kestra Skript-Plugins standardmäßig aktiviert, führt die Umgehung direkt zur unauthentifizierten Codeausführung als Root im Worker-Container. Angreifer können eigene Workflows anlegen und starten, interne Dienste per SSRF ansprechen, Cloud-Metadaten unter 169.254.169.254 abgreifen und Audit-Logs löschen.
Betroffene Versionen und Patches
- Verwundbar: alle Kestra-Ausgaben bis einschließlich 1.3.20
- Behoben in: 1.0.45 sowie 1.3.21
- Betroffen sind die Editionen der Reihe io.kestra
Nach Angaben von The Hacker News beobachteten Sicherheitsforscher bereits Ende Juni 2026 Angriffe, bei denen die Lücke für eine Reverse-Shell, das Ausspähen der Docker-Umgebung und die Installation eines Krypto-Miners genutzt wurde. Für US-Bundesbehörden gilt eine Frist zur Absicherung; alle übrigen Betreiber sollten umgehend auf eine gepatchte Version aktualisieren und exponierte Instanzen vom Internet trennen.
Quellen: Kestra Security Advisory (GHSA) · CISA KEV · The Hacker News
