Broadcom hat für das Java-Anwendungsframework Spring eine ungewöhnlich große Sammelaktualisierung veröffentlicht: 91 Sicherheitslücken sind darin behoben. Spring ist ein Open-Source-Framework, das Unternehmensanwendungen auf der Java-Plattform mit Funktionen wie Dependency Injection, aspektorientierter Programmierung und modularer Unterstützung für Web-, Daten- und Messaging-Architekturen vereinfacht. Verantwortlich ist heute Broadcom, nachdem das Projekt zuvor jahrelang bei VMware angesiedelt war und mit dessen Übernahme den Eigentümer wechselte.
Den höchsten Schweregrad erreicht nur ein Eintrag: CVE-2026-59270 steckt im eingebetteten UnboundID-LDAP-Server von Spring Security. Ein Angreifer könnte sich dort authentifizieren und Einträge im speicherresidenten Verzeichnis verändern.
Mehr als ein Dutzend Schwachstellen sind als hoch eingestuft. Laut den Angaben lassen sie sich für Cross-Site-Scripting, das Offenlegen von Informationen, Codeausführung aus der Ferne, Denial-of-Service-Angriffe, das Umgehen von Sicherheitsfunktionen und unbefugten Zugriff missbrauchen. Der Rest verteilt sich auf mittlere und niedrige Einstufungen.
Das Sicherheitsunternehmen Sonatype hat die Patches ausgewertet und kommt zu dem Ergebnis, dass sie mehr als 200.000 Softwarekomponenten betreffen. Verwundbar sind unter anderem Spring Security, Spring AI, Cloud Config, Data REST, Integration, Reactor Core, Reactor Netty, AMQP und Batch.
Zwei Lücken hebt Sonatype besonders hervor: CVE-2026-59285 beschreibt das Unternehmen als kritische Schwachstelle für Codeausführung aus der Ferne in Spring for GraphQL. CVE-2026-59318 ist eine mittelschwere Lücke in der Tool-Calling-Funktion von Spring AI, über die sich per Prompt Injection erweiterte Rechte erlangen lassen.
Bemerkenswert ist die Entwicklung der Fallzahlen. In diesem Jahr wurden bislang mehr als 200 Spring-Schwachstellen behoben. 2025 waren es 16, im Jahr zuvor 22. Treiber dieses Anstiegs ist Broadcoms Einsatz von KI bei der Fehlersuche – eine Erklärung, die angesichts der Größenordnung wenig überrascht.
Dass Spring-Lücken für Angreifer attraktiv sind, ist belegt: Sie wurden bereits in freier Wildbahn ausgenutzt, prominentestes Beispiel ist Spring4Shell. Im KEV-Katalog der US-Cybersicherheitsbehörde CISA, der nachweislich ausgenutzte Schwachstellen listet, finden sich derzeit mehrere Einträge zu Spring.
Open-Source-Projekten wird empfohlen, die aktuellen Spring-Patches zu prüfen und einzuspielen.