Zwei kritische Lücken in einer Woche
Im Oktober 2026 wurden innerhalb weniger Tage mehrere kritische Schwachstellen veröffentlicht, die weltweit für Aufsehen gesorgt haben: PHP2Shell in PHP und Broccoli2Shell in der Kompressionsbibliothek Brotli. Beide ermöglichen im schlimmsten Fall das Ausführen von Schadcode aus der Ferne, beide werden bereits aktiv ausgenutzt.
Viele unserer Kunden haben uns in den letzten Tagen gefragt, ob TRANSCONNECT betroffen ist. In diesem Beitrag geben wir eine klare Antwort und ordnen ein, warum gerade so viele kritische Sicherheitslücken auftauchen, und erklären, welche Konsequenzen wir für unsere Releaseplanung ziehen.
Warum gerade so viele kritische CVEs auftauchen
Der Hauptgrund ist künstliche Intelligenz: KI-gestützte Werkzeuge durchsuchen Software inzwischen weitgehend selbstständig nach Fehlern, und zwar deutlich schneller als menschliche Analysten. Das Forum of Incident Response and Security Teams (FIRST) rechnet deshalb für 2026 mit rund 66.000 veröffentlichten CVEs, weit mehr als ursprünglich prognostiziert (Help Net Security).
Die Zahlen zeigen, wie stark sich das Tempo verändert hat:
- Im ersten Halbjahr 2026 stieg die Zahl veröffentlichter Schwachstellen laut Forescout um 51 %, mehr als die Hälfte davon mit hohem oder kritischem Schweregrad (Intelligent CIO).
- Allein im Juni 2026 wurden laut Epoch AI rund 1.500 hohe oder kritische CVEs gemeldet, gut dreimal so viele wie im bisherigen Rekordmonat (Forkast).
- Viele der jetzt gefundenen Fehler sind alt. PHP2Shell etwa blieb über zehn Jahre unentdeckt (SD Times).
Wichtig für die Einordnung: Mehr CVEs bedeuten nicht automatisch mehr Risiko. Ein Teil des Anstiegs spiegelt schlicht bessere Sichtbarkeit wider, und nur ein kleiner Anteil der Schwachstellen wird tatsächlich ausgenutzt (APNIC Blog). Gleichzeitig verkürzt KI aber auch die Zeit zwischen Veröffentlichung und funktionierendem Exploit erheblich. Für Softwarehersteller heißt das: mehr Fixes, in kürzeren Abständen.
Broccoli2Shell (CVE-2026-111497): Wie TRANSCONNECT betroffen ist
TRANSCONNECT.local ist nur dann betroffen, wenn es über unser Docker Image betrieben wird. Bare-Metal-Installationen sind nicht betroffen.
Das Trügerische an dieser Lücke: Brotli ist in sehr viele andere Komponenten eingebettet, darunter Node.js, .NET, Envoy und diverse Python-Pakete. Eine Anwendung kann also betroffen sein, ohne Brotli selbst direkt zu verwenden.
Für TRANSCONNECT.local gilt konkret:
- Bare-Metal-Installation: nicht betroffen.
- Docker Image: betroffen, und zwar in allen Versionen von TC.4 und TC.5, da das Image eine verwundbare Brotli-Version enthält.
Wer TRANSCONNECT.local im Docker Image betreibt, sollte bis zur Verfügbarkeit eines aktualisierten Images prüfen, ob Brotli-komprimierte Daten aus nicht vertrauenswürdigen Quellen verarbeitet werden, und diese wo möglich vorgelagert blockieren.
PHP2Shell: TRANSCONNECT ist nicht betroffen
Von PHP2Shell ist TRANSCONNECT nicht betroffen da kein PHP zum Einsatz kommt
Selbst prüfen mit der SBOM
Zu jeder Version von TRANSCONNECT.local stellen wir eine SBOM (Software Bill of Materials) bereit. Sie listet alle enthaltenen Komponenten mit ihren genauen Versionen auf.
Damit können Sie jederzeit selbst prüfen, ob Ihre eingesetzte Version von einer neu veröffentlichten Schwachstelle betroffen ist, ohne auf unsere Rückmeldung warten zu müssen. Gerade bei Lücken wie Broccoli2Shell, die tief in eingebetteten Bibliotheken stecken, ist das der schnellste Weg zu einer belastbaren Risikobewertung. Viele gängige Schwachstellenscanner können SBOMs direkt einlesen und mit aktuellen CVE-Datenbanken abgleichen.
Ausblick: Kürzere Release-Zyklen ab 2027
Wir werden TRANSCONNECT.local im kommenden Jahr in kürzeren Abständen veröffentlichen. So können wir Sicherheitslücken in eingesetzten Komponenten schneller schließen und aktualisierte Docker Images zügiger bereitstellen.
Die aktuelle Entwicklung zeigt, dass die Zahl gefundener Schwachstellen so schnell nicht wieder sinken wird. Wir beobachten die Lage deshalb weiterhin genau, bewerten neue CVEs zeitnah für unsere Produkte und informieren Sie, sobald sich für TRANSCONNECT etwas ändert.
