Ubuntu erhält neue Sicherheitsupdates für den Linux-Kernel und FFmpeg. Canonical listet frische Ubuntu Security Notices aus dieser Woche, darunter Kernel-Fixes vom 4. September 2026 und ein umfangreiches FFmpeg-Update vom 3. September 2026. Die Kernelmeldungen betreffen vor allem ältere LTS-Zweige und Cloud-Kernel. Die FFmpeg-Lücken reichen bis zu Abstürzen und möglicher Codeausführung beim Öffnen präparierter Mediendateien.
Für Administratoren ist die Kombination relevant. Kernel-Updates benötigen in der Regel einen Neustart. FFmpeg steckt dagegen oft in Desktop-Systemen, Medien-Workflows, Serverdiensten, Vorschaurenderern, Transcoding-Pipelines und Anwendungen mit Multimedia-Verarbeitung. Im Bereich Linux-Sicherheit und Ubuntu-Updates zeigt die neue Runde deshalb zwei unterschiedliche Risiken: Kernel-Schwachstellen mit Systembezug und Mediendateien als möglicher Angriffspfad.
Canonical schließt Kernel-Lücken in älteren Ubuntu-LTS-Zweigen
Die Kernelmeldung USN-8714-2 erschien am 4. September 2026. Canonical nennt Ubuntu 20.04 LTS und Ubuntu 18.04 LTS als betroffene Versionen. Die Pakete umfassen linux-aws-5.4, linux-gcp und linux-gcp-5.4. Damit richtet sich die Meldung vor allem an Cloud-Instanzen auf Amazon Web Services und Google Cloud Platform. Als korrigierte Bereiche nennt Canonical das OCFS2-Dateisystem und das SCTP-Protokoll.
Zusätzlich veröffentlichte Canonical USN-8725-1. Diese Meldung betrifft Ubuntu 16.04 LTS und Ubuntu 14.04 LTS. Beide Versionen liegen außerhalb des normalen Standard-Supports und werden im Pro- beziehungsweise Legacy-Support-Kontext relevant. Die betroffenen Pakete umfassen unter anderem den generischen Kernel, AWS-Kernel, FIPS-Kernel, KVM-Kernel und den Xenial-Hardware-Enablement-Kernel für Trusty. Canonical nennt hier mehrere Subsysteme, darunter NVIDIA Tegra Memory Controller, Dateisystem-Infrastruktur, NFS-Server, OCFS2, B.A.T.M.A.N., Netfilter und SCTP.
| Meldung | Datum | Betroffene Ubuntu-Versionen | Schwerpunkt |
|---|---|---|---|
| USN-8714-2 | 4. September 2026 | Ubuntu 20.04 LTS und 18.04 LTS | AWS- und GCP-Kernel mit OCFS2- und SCTP-Fixes |
| USN-8725-1 | 4. September 2026 | Ubuntu 16.04 LTS und 14.04 LTS | ältere Kernelzweige mit mehreren Subsystem-Fixes |
| USN-8716-1 | 3. September 2026 | Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS und 16.04 LTS | FFmpeg-Lücken durch präparierte Mediendateien |
Canonical schreibt bei den Kernelmeldungen klar, dass nach einem Standard-Systemupdate ein Neustart nötig ist. Erst danach läuft das System mit dem neuen Kernel. Außerdem weist Canonical auf eine unvermeidbare ABI-Änderung hin. Drittanbieter-Kernelmodule müssen deshalb neu kompiliert und neu installiert werden. In Standardinstallationen übernimmt das passende Kernel-Metapaket diesen Schritt normalerweise. Systeme mit manuell angepassten Kernelpaketen, Spezialtreibern oder entfernten Metapaketen brauchen aber zusätzliche Kontrolle.
Für produktive Server ergibt sich daraus ein typischer Ablauf. Zuerst sollte die betroffene Ubuntu-Version geprüft werden. Danach folgen Paketupdate, Rebootplanung und Kontrolle der aktiven Kernelversion. Cloud-Systeme mit AWS- oder GCP-Kernel sollten nicht pauschal als automatisch geschützt gelten. Der installierte Kernelzweig muss wirklich zur jeweiligen USN passen. Danach sollte uname -r den erwarteten neuen Kernel anzeigen.
- Kernel-Updates: Neustart nach Installation einplanen und aktive Version prüfen.
- Cloud-Kernel: AWS- und GCP-Instanzen mit 5.4-Kernel gezielt kontrollieren.
- Alte LTS-Zweige: Ubuntu 16.04 und 14.04 bleiben vor allem über Ubuntu Pro relevant.
- Drittmodule: Treiber und Kernelmodule nach ABI-Änderung neu bauen lassen.
- FFmpeg: Pakete auf Desktop-, Server- und Transcoding-Systemen aktualisieren.
- Mediendateien: Unbekannte Dateien bis zum Update nicht automatisch verarbeiten.
FFmpeg-Update betrifft Mediendateien, Streams und Decoder
Die zweite große Meldung betrifft FFmpeg. Canonical führt USN-8716-1 für Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS und 16.04 LTS. Die Übersicht nennt ein klares Risiko: FFmpeg kann abstürzen oder Programme mit den Rechten des angemeldeten Nutzers ausführen, wenn eine speziell präparierte Datei geöffnet wird. Damit betrifft das Update nicht nur klassische Mediaplayer. Auch Dienste mit automatischer Verarbeitung von Uploads können gefährdet sein.
Canonical beschreibt mehrere fehlerhafte Verarbeitungspfade. Genannt werden unter anderem VobSub-Untertitel, DTS-Audioströme im S/PDIF-Muxer, RTP/ASF-Streams, ADX-Audiodateien, AVI-Dateien im TDSC-Videodecoder, ffconcat-Dateien über den TY-Demuxer, HEVC-hvcC-NAL-Arrays, MPEG-Systemheader, librist-Netzwerkeingaben, Dirac-Daten im VC2-HQ-RTP-Packetizer und DASH-Manifeste. Einige Lücken betreffen nur bestimmte Ubuntu-Versionen. Andere reichen über mehrere LTS-Generationen.
Besonders wichtig sind Einträge mit möglicher Codeausführung. Canonical nennt dieses Risiko bei mehreren Formaten und Verarbeitungspfaden. Ein Angreifer braucht dafür nicht zwingend direkten Systemzugang. Es kann ausreichen, eine manipulierte Medien- oder Untertiteldatei in einen Verarbeitungsweg zu bringen. Das gilt etwa für Upload-Portale, Vorschaudienste, automatische Konverter, Desktop-Dateimanager mit Vorschau, Medienserver oder Skripte für Stapelverarbeitung.
Die Paketlage unterscheidet sich nach Ubuntu-Version. Canonical nennt für neuere LTS-Versionen ESM-Apps-Fixes über Ubuntu Pro und weist darauf hin, dass Community-Fixes später öffentlich verfügbar werden können. Das ist für Betreiber wichtig. Nicht jedes System erhält denselben Fix über denselben Kanal. Wer FFmpeg in produktiven Workflows nutzt, sollte prüfen, ob das Paket aus Main, Universe, ESM Apps, einem PPA, einem Containerimage oder einer selbst kompilierten Version stammt.
Der Bezug zur jüngsten Ubuntu-Sicherheitslage ist klar. Erst vor wenigen Wochen standen bereits Ubuntu ImageMagick-Lücken mit möglicher Codeausführung im Fokus. FFmpeg fällt in eine ähnliche Risikoklasse für Datei- und Medienverarbeitung. Solche Bibliotheken sitzen oft tief in Serverpipelines und Desktop-Anwendungen. Ein Update muss deshalb dort ankommen, wo die Dateien tatsächlich verarbeitet werden.
Administratoren sollten zuerst Kernel-Updates und Neustarts für betroffene Server planen. Danach folgt der FFmpeg-Abgleich auf allen Systemen mit Medienverarbeitung. Containerimages und CI-Pipelines brauchen eigene Aktualisierungen, weil ein Host-Update dort nicht automatisch reicht. Nach Abschluss sollten aktive Kernelversion, installierte FFmpeg-Pakete und Dienste mit dynamisch geladenen Bibliotheken geprüft werden. Der Schutz greift erst zuverlässig, wenn neue Pakete aktiv sind und betroffene Prozesse neu gestartet wurden.