Kritische Sicherheitslücke in Python-Bibliothek Pillow ermöglicht Code-Ausführung

Security · 23.10.2026

Eine Schwachstelle (CVE-2026-112900) in der weit verbreiteten Python-Bildbibliothek Pillow erlaubt die Ausführung von Schadcode über manipulierte EPS-Bilder.

In der populären Python-Bibliothek Pillow, die weltweit für die Bildverarbeitung in zahlreichen Webanwendungen und Systemskripten eingesetzt wird, wurde eine kritische Sicherheitslücke entdeckt. Unter der Kennung CVE-2026-112900 registriert, ermöglicht die Schwachstelle Angreifern die Ausführung von Betriebssystembefehlen auf dem betroffenen Server. Die Ursache liegt in der fehlerhaften Verarbeitung von EPS-Bilddateien (Encapsulated PostScript), die beim Öffnen an das Werkzeug Ghostscript übergeben werden.

Warum ist das wichtig?

Pillow ist der De-facto-Standard für die Bildbearbeitung in der Python-Welt. Viele Unternehmen im DACH-Raum nutzen Python-basierte Web-Backends, Content-Management-Systeme oder automatisierte Workflows, die Benutzer-Uploads von Bildern verarbeiten. Gelingt es einem Angreifer, eine manipulierte EPS-Datei auf einen solchen Server hochzuladen, kann er über die Schwachstelle die Kontrolle über das System erlangen. Da die Übergabe des Dateinamens an Ghostscript unzureichend abgesichert ist, reicht das bloße Öffnen der Datei aus, um Schadcode einzuschleusen. Dies gefährdet die Vertraulichkeit von Unternehmensdaten und kann als Einstiegspunkt für weitreichendere Angriffe dienen.

Was Nutzer jetzt tun sollten

IT-Verantwortliche und Systemadministratoren sollten unverzüglich Maßnahmen ergreifen, um potenzielle Angriffsvektoren zu schließen:

• Update einspielen: Prüfen Sie alle Python-Umgebungen und aktualisieren Sie die Pillow-Bibliothek sofort auf die neueste, fehlerbereinigte Version.
• Ghostscript-Konfiguration prüfen: Da die Schwachstelle im Zusammenspiel mit Ghostscript auftritt, sollte die Installation dieses Werkzeugs auf den Servern überprüft und bei Nichtgebrauch deinstalliert oder im Zugriff eingeschränkt werden.
• Dateitypen einschränken: Blockieren Sie den Upload und die Verarbeitung von EPS-Dateien in Ihren Webanwendungen, sofern dieses Format für den Geschäftsbetrieb nicht zwingend erforderlich ist.
• Abhängigkeiten scannen: Nutzen Sie automatisierte Software-Composition-Analysis-Tools (SCA), um veraltete Pillow-Versionen in Docker-Containern und Entwicklungsumgebungen aufzuspüren.

Fazit

Die Schwachstelle zeigt erneut, wie risikoreich die Verarbeitung externer Dateiformate durch Drittanbieter-Bibliotheken sein kann. Ein proaktives Patch-Management und eine restriktive Validierung von Datei-Uploads sind der effektivste Schutz, um die Infrastruktur vor solchen Remotecode-Ausführungen abzusichern.

Quelle: The Hacker News