Canonical hat mehrere ImageMagick-Sicherheitslücken unter Ubuntu geschlossen, über die speziell präparierte Bilddateien im schlimmsten Fall beliebigen Code ausführen können. Besonders relevant ist CVE-2026-30936. Der Fehler verursacht beim Einsatz der Wavelet-Denoise-Funktion einen Out-of-Bounds-Heap-Write. Betroffen sind Ubuntu 18.04 LTS, 20.04 LTS, 22.04 LTS und 24.04 LTS. Canonical veröffentlichte die neuen Sicherheitsupdates am 10. August 2026.
ImageMagick ist auf vielen Linux-Systemen nicht nur als manuelles Bildbearbeitungsprogramm installiert. Die Software stellt Kommandozeilenwerkzeuge und Bibliotheken für automatisierte Bildverarbeitung bereit. Webanwendungen, Skripte und andere Programme können ImageMagick deshalb im Hintergrund zum Konvertieren, Skalieren oder Bearbeiten von Bildern verwenden. Systeme mit solchen automatisierten Workflows verdienen bei den neuen Sicherheitsupdates besondere Aufmerksamkeit.
CVE-2026-30936 kann Speicher überschreiben und Codeausführung ermöglichen
CVE-2026-30936 betrifft die Funktion WaveletDenoiseImage. Ein entsprechend vorbereitetes Bild kann beim Aufruf der Option -wavelet-denoise einen Schreibzugriff außerhalb des vorgesehenen Heap-Speichers auslösen. Canonical warnt vor möglicher beliebiger Codeausführung. Der Upstream-Entwickler von ImageMagick klassifiziert den Fehler als Heap-based Buffer Overflow.
Die Schwachstelle trägt bei Ubuntu einen mittleren Schweregrad mit einem CVSS-3-Wert von 5,5. Diese Einstufung bedeutet nicht, dass ein erfolgreicher Angriff harmlos wäre. Der CVSS-Vektor setzt lokalen Zugriff auf den anfälligen Verarbeitungspfad und eine Nutzerinteraktion voraus. Im Erfolgsfall kann die Speicherbeschädigung jedoch zum Absturz des Prozesses oder zur Ausführung von Code führen.
Canonical behebt mit dem neuen Security Notice USN-8592-1 insgesamt vier ImageMagick-Probleme. Zwei weitere Schwachstellen können ebenfalls Codeausführung ermöglichen.
| Schwachstelle | Problem | Mögliche Folge |
|---|---|---|
| CVE-2026-30936 | Out-of-Bounds-Heap-Write bei Wavelet Denoise | Mögliche beliebige Codeausführung |
| CVE-2026-30937 | Out-of-Bounds-Heap-Write bei sehr großen XWD-Bildern | Mögliche beliebige Codeausführung |
| CVE-2026-31853 | Integer Overflow bei sehr großen SFW-Bildern auf 32-Bit-Systemen | Denial of Service |
| CVE-2026-32259 | Stack Buffer Overflow im Sixel-Encoder | Mögliche beliebige Codeausführung |
CVE-2026-30937 betrifft die Verarbeitung extrem großer Bilder im XWD-Format. Auch hier kann ein Out-of-Bounds-Heap-Write entstehen. Canonical nennt beliebige Codeausführung als mögliche Folge. Die Lücke ist nicht auf die vier Ubuntu-Versionen von CVE-2026-30936 begrenzt.
Bei CVE-2026-32259 liegt das Problem im Sixel-Encoder. Schlägt eine Speicherreservierung fehl, kann ImageMagick über das Ende eines Stack-Puffers hinausschreiben. Betroffen sind laut Canonical Ubuntu 16.04 LTS bis Ubuntu 24.04 LTS. Der Upstream-Fix befindet sich in ImageMagick 7.1.2-16 und 6.9.13-41.
Die vierte Lücke CVE-2026-31853 betrifft extrem große SFW-Dateien auf 32-Bit-Systemen. Ein Integer Overflow kann dort einen Denial of Service auslösen. Dieser Fehler führt nach Angaben von Canonical nicht zur Codeausführung.
Ubuntu-Nutzer sollten ImageMagick-Pakete jetzt aktualisieren
Canonical empfiehlt ein reguläres Systemupdate. Die konkreten Ubuntu-Pakete enthalten zurückportierte Sicherheitskorrekturen. Nutzer sollten deshalb nicht allein auf die sichtbare ImageMagick-Hauptversion schauen. Ubuntu kann einen Fix in eine ältere Paketversion integrieren, ohne auf die aktuelle Upstream-Version zu wechseln.
Für Ubuntu 24.04 LTS nennt Canonical beispielsweise `8:6.9.12.98+dfsg1-5.2ubuntu0.1~esm12` als korrigierte ImageMagick-Paketversion. Ubuntu 22.04 LTS erhält `8:6.9.11.60+dfsg-1.3ubuntu0.22.04.5+esm13`. Bei Ubuntu 20.04 LTS lautet die korrigierte Version `8:6.9.10.23+dfsg-2.1ubuntu11.11+esm13`.
Bei diesen Versionen gibt es einen wichtigen Zusatz: Canonical stellt die aktuell genannten Fixes für Ubuntu 24.04, 22.04 und 20.04 über Ubuntu Pro und ESM Apps bereit. Canonical weist darauf hin, dass später auch Community-Fixes öffentlich verfügbar werden könnten. Ubuntu Pro ist für bis zu fünf Rechner kostenlos nutzbar. Ältere Systeme wie Ubuntu 16.04 und 14.04 benötigen für die genannten Pakete zusätzlich Legacy Support.
- Ubuntu 24.04 LTS: CVE-2026-30936 betroffen, Fix über Ubuntu Pro ESM Apps verfügbar
- Ubuntu 22.04 LTS: CVE-2026-30936 betroffen, Fix über Ubuntu Pro ESM Apps verfügbar
- Ubuntu 20.04 LTS: CVE-2026-30936 betroffen, Fix über Ubuntu Pro ESM Apps verfügbar
- Ubuntu 18.04 LTS: CVE-2026-30936 betroffen, korrigierte ESM-Pakete verfügbar
- Ubuntu 16.04 und 14.04: vom gesamten Security Notice betroffen, CVE-2026-30936 selbst betrifft diese Versionen laut Canonical nicht
Administratoren sollten zusätzlich prüfen, ob ImageMagick überhaupt installiert ist und welche Anwendungen auf die Bibliotheken zugreifen. Gerade Server können die Software indirekt über andere Pakete einsetzen. Automatische Verarbeitung fremder Bilder erhöht die praktische Bedeutung von Fehlern in Bilddecodern und Bildfiltern, weil ein problematischer Verarbeitungspfad ohne direkten Aufruf durch einen Administrator erreicht werden kann.
Ubuntu hatte zuletzt mehrfach sicherheitsrelevante Updates für zentrale Linux-Komponenten veröffentlicht. Der Linux-Patchcheck für Ubuntu, Debian, Fedora und SUSE zeigte bereits eine hohe Zahl relevanter Korrekturen. Hinzu kamen Kernel-Probleme wie SCTPhantom mit möglichem Container-to-Host-Root-Zugriff.
Für CVE-2026-30936 gibt es derzeit keine bestätigte Meldung über aktive Ausnutzung in realen Angriffen. Die Kombination aus Heap-Speicherfehler und möglicher Codeausführung macht das Update trotzdem relevant. Besonders Systeme mit automatisierter Verarbeitung nicht vertrauenswürdiger Bilder sollten die bereitgestellten ImageMagick-Korrekturen zeitnah einspielen.