Die kürzlich erschienenen Versionen 26.1.11 und 26.4.1(p1) von OPNsense, einer quelloffenen Firewall- und Routing-Plattform auf FreeBSD-Basis, bringen Sicherheitsfixes mit.

Unter den geschlossenen Lücken befindet sich auch eine kritische: CVE-2026-57155 (CVSS-Score 9.9 von 10.0) hätte unter bestimmten Voraussetzungen zur Rechteausweitung und letztlich zur kompletten Firewall-Übernahme missbraucht werden können. Nutzer sollten sicherstellen, dass ihre Installation auf dem neuesten Stand ist.

GeoIP-Alias-Import als Einfallstor

Die kritische Lücke steckte in der GeoIP-Alias-Komponente. Die lädt eine Länderdatenbank von einer frei wählbaren Adresse herunter und verarbeitet sie mit Root-Rechten.

Gemäß Erläuterungen des Lückenentdeckers Jonas Ampferl hätten frühere OPNsense-Versionen weder die Adresse noch den Inhalt der Datenbank-Datei ausreichend geprüft. Aufgrund dieses Mangels hätte ein entfernter Angreifer die Firewall auf einen eigenen Server lenken, von dort ein (manipuliertes) GeoIP-Archiv herunterladen und über dieses eigene Dateien ins Zielsystem schreiben lassen können.

Von diesem Ausgangspunkt aus hätten sich dann die Zugriffs- bis hin zu Root-Rechten ausweiten lassen, und auch Codeausführung aus der Ferne als root wäre möglich gewesen. Für den ganzen Vorgang hätte ein Angreifer lediglich relativ geringe Zugriffsrechte einschließlich der Berechtigung benötigt, Firewall-Aliase zu bearbeiten.

Wer sich für weitere Angriffsdetails interessiert, kann diese in einem technischen Write-up des Sicherheitsforschers nachlesen.

Weitere Informationen

Informationen zu den übrigen gefixten Lücken sind der Advisory-Übersicht im OPNsense-GitHub-Repository zu entnehmen. Der Schweregrad der von ihnen ausgehenden Bedrohung reicht von „moderate“ bis „high“.

(ovw)

Der heimische Smart-Home-Zoo hat seine Tücken: Jedes Gerät bringt eigene Apps und Automatiken, die wiederum nicht mit Geräten anderer Anbieter sprechen. Mit Smart-Home-Hubs von Apple, Amazon und Google oder freien Lösungen wie Home Assistant lassen sich die smarten Insellösungen halbwegs unter einen Hut bringen. Doch viele Gadgets funken obendrein proprietär, sodass sich neben dem WLAN-Router einige Funkzentralen ansammeln. Dieses Chaos sollen die Standards Thread und Matter beseitigen.

In dieser Ausgabe von c’t uplink sprechen wir darüber, wie man Thread-Funk im eigenen Smart Home aufsetzt und stellen fest, dass viele Nutzer bereits Thread-Netzwerke haben, ohne es zu wissen. Zudem beleuchten wir, wie sich das herstellerübergreifende Kommunikationsprotokoll Matter im Alltag bewährt. Dabei zeigen wir, was bereits gut funktioniert, wo Probleme lauern und wie man sie löst.

Mit Ikea ist obendrein ein großer Anbieter für den Massenmarkt auf den Thread/Matter-Zug aufgesprungen. Wir beschreiben, was die Ikea-Produkte leisten und welche Vor- und Nachteile sie mitbringen. Zudem besprechen wir, wie man Thread- und Matter-Geräte direkt in Home Assistant einbindet und sich damit die nicht ganz so günstige Thread-Funk-Zentrale des Möbelhauses möglicherweise sparen kann.

Zu Gast im Studio: Sven Hansen, Berti Kolbow-Lehradt
Host: Stefan Porteck
Produktion: Tobias Reimer

► Mehr zu Thread und Matter sowie einen Test der IKEA-Smart-Home-Produkte lesen Sie ab dem 9. Juli 2026 bei heise+ (€):

[Link auf

[Link auf

[Link auf

► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!

(spo)

Im September soll Apple sein allererstes Foldable auf den Markt bringen, das mutmaßlich den Namen „iPhone Ultra“ tragen wird. Der bekannte Analyst Ming-Chi Kuo von TF International Securities hat nun aus Angaben aus der Apple-Lieferkette Rückschlüsse gezogen, wie die Verkaufsstrategie sein wird. Angeblich geht Apple dabei ähnlich vor wie beim iPhone X: Die Herbstgeräte werden zwar gemeinsam im September vorgestellt, die Verfügbarkeit des Ultra aber (leicht) nach hinten verschoben. Auch soll es zumindest anfangs bei den Stückzahlen recht knapp werden, es ist also noch in diesem Jahr mit einem Ausverkauf zu rechnen, bevor Apple im Frühjahr mehr Einheiten nachproduzieren kann.

Orientierung am X

Das iPhone X war im September 2017 zusammen mit dem iPhone 8 und 8 Plus vorgestellt worden. Vorbestellungen des X, Apples erstem Modell mit Face-ID-Gesichtserkennung und Kamera-„Notch“, starteten aber erst Ende Oktober mit einem Verkaufsstart am 3. November, während iPhone 8 und 8 Plus bereits 10 Tage nach Vorstellung verfügbar waren.

Ähnlich könnte Apple nun auch beim iPhone Ultra agieren. Seinen Quellen nach werden im zweiten Halbjahr 2026 zwischen 7 und 8 Millionen Einheiten des Foldable produziert. Zum Vergleich: Die zusammen mit dem Ultra erwarteten Modelle 18 Pro und 18 Pro Max werden allein im dritten Quartal bis zu 22 Millionen Mal ausgeliefert, so Kuo.

Hoher Preis, trotzdem ausverkauft?

Beim Preis dürfte Apple hoch hinaus wollen. Kuo schätzt hier mittlerweile zwischen 2300 und 2500 US-Dollar (ohne Umsatzsteuer). Entsprechend dürften die Geräte in Euro nochmals teurer werden, womöglich gar über 2700 Euro kosten. Die Lieferkette und die Carrier rechnen damit, dass Apple die Geräte aufgrund der anfänglich eher kleinen Stückzahlen dennoch zum Vorbestellstart ausverkaufen wird. Die Lieferbarkeit werde dann bis Dezember schlecht bleiben.

Kuo zufolge ist noch nicht abzusehen, ob das Ultra ein Hit wird. Erst Ende 2026 bis zum ersten Quartal 2027 werde sich die tatsächliche Nachfrage messen lassen. Tatsächlich hatte Apple bislang stets Problem, „Sondervarianten“ seiner iPhones abzusetzen, wie etwa das iPhone Air. In diesem Herbst soll es nur drei neue Modelle geben, iPhone 18, 18e und womöglich Air 2 sind angeblich erst im Frühjahr 2027 geplant.

(bsc)