Dies ist eine ernste Warnung für Systemadministratoren. Am 25. Oktober 2026 veröffentlichte die Forscherin Erica Windisch von Cyberdione Labs einen Bericht mit dem Titel Tailwormin dem elf Schwachstellen im Tailscale-Ökosystem (in Version 1.104.2) und seiner selbst gehosteten Alternative Headscale detailliert beschrieben werden (Version 0.29.5). Durch gezielte Ausrichtung auf die SSH-Funktionalität von Tailscale (ein Protokoll, mit dem Sie auf sichere Weise eine Fernverbindung zu einer Maschine herstellen können) zeigt diese Laborstudie, dass ein Hacker, der eine einzelne Maschine kompromittiert hat, Netzwerksicherheitsregeln umgehen und die Schlüssel zum Königreich an sich reißen kann auf allen verbundenen Servern.

Wie kann ein Hacker über Tailscale SSH Root-Zugriff erhalten?

Die ganze Ironie dieser Angelegenheit liegt in einer zu freizügigen Architektur. Im Gegensatz zu einem typischen OpenSSH-Server, der die Berechtigungen strikt trennt, führt der integrierte Server von Tailscale einige Umleitungsvorgänge direkt mit maximalen Administratorrechten durch. Durch Ausnutzung einer Schwachstelle im Zusammenhang mit der SSH-Portweiterleitung (Portweiterleitung, eine Technik, die den Netzwerkverkehr von einem Punkt zu einem anderen umleitet) kann ein authentifizierter Benutzer Unix-Sockets manipulieren (Kommunikationspunkte innerhalb des Betriebssystems).
Das Ergebnis ist sofort sichtbar. Bei Tests ermöglichte diese Manipulation die Kommunikation mit der Docker-Container-Engine und das Lesen der hochsensiblen Datei mit Linux-Passwörtern.

Der Bericht geht jedoch noch viel weiter und beschreibt eine Bedrohung, die sich von selbst ausbreiten kann. Sobald ein Angreifer einen ersten Einstiegspunkt erhält (über klassisches Phishing oder eine schlecht geschützte Webanwendung), kann er seine seitlichen Bewegungen automatisieren, um Root-Zugriff zu erhalten (die ultimative Autorisierungsstufe auf einem Linux-System) auf anderen Computern, ohne jemals ein Passwort oder einen kryptografischen Schlüssel stehlen zu müssen. Im Labor kommt es zu einer Kettenverunreinigung dauerte weniger als eine Sekunde pro Server. Noch besorgniserregender ist ein weiterer Fehler vom Typ TOCTOU (Time-of-Check to Time-of-Use, ein Fehler, bei dem das System zwischen dem Moment, in dem es eine Autorisierung prüft, und dem Moment, in dem es sie verwendet, getäuscht wird) ermöglicht das Abfangen von Registrierungsschlüsseln, um eine Piratenmaschine zu registrieren direkt als vertrauenswürdiger Server im Netzwerk.

Warum spaltet diese Entdeckung die IT-Sicherheitsgemeinschaft?

Die Veröffentlichung dieser Arbeit sorgte in der Computersicherheits-Community für Aufsehen.insbesondere in Bezug auf die vom Forscher gewählte Offenlegungsmethode. Erica Windisch bezeichnete ihren Schritt als gemeldet, aber unkoordiniert und veröffentlichte ihre Ergebnisse an einem Sonntag, nachdem sie erst am Tag zuvor Democode an Tailscale-Teams gesendet hatte. Konfrontiert mit Kritik, die auf ein unverantwortliches Vorgehen hinweistEs muss zugegeben werden, dass die Eile dieser Veröffentlichung fraglich istobwohl das Unternehmen bereits früher im Jahr mit der Version 1.98.9 ähnliche Probleme behoben hatte.

Tailscale 03

Auf Tailscales Seite ist die Reaktion beruhigend, aber vorsichtig. Mike Shaver, Vizepräsident für Technik, bestätigte auf Reddit, dass seine Teams dieselben Codebereiche bereits mit externen Spezialisten untersuchten. Keine CVE-Kennung (Common Vulnerabilities and Exposures, das öffentliche Wörterbuch, das Sicherheitslücken auflistet) wurde noch nicht zugewiesen und es ist kein Patch verfügbar. Das Unternehmen weigert sich jedoch, in Panik zu geraten und empfiehlt keine Deaktivierung massiv Tailscale SSH und analysiert lieber genau, welche realen Konfigurationen offengelegt werden.
Beachten Sie auch, dass der Bericht auch den experimentellen Connector conn25 hervorhebtwas einen versehentlichen Zugriff auf die Metadaten eines Cloud-Anbieters ermöglichen könnte.

Welche dringenden Maßnahmen sollten Sie ergreifen, um Ihre Server zu schützen?

Ohne Software-Updates hängt das Überleben Ihrer Infrastruktur vollständig von der Genauigkeit Ihrer Konfiguration ab. Für Unternehmen, die die Headscale Self-Hosted-Lösung in der Version 0.29.5 nutzen, ist die Situation besonders kritisch: Es ist einfach unmöglich, die SSH-Portweiterleitung isoliert zu deaktivieren. Jede SSH-Zugriffsberechtigung auf dieses Tool sollte daher als direkte Gewährung vollständiger Administratorrechte betrachtet werden auf dem Zielcomputer.

Um jeden Versuch einer automatischen Ausbreitung in Ihrem Netzwerk vollständig zu blockieren, einigen sich der Forscher und die Tailscale-Teams auf eine Reihe sofortiger Gegenmaßnahmen bereitstellen:

  • Beschränken Sie die SSH-Zugriffsregeln auf eindeutige Paare (eine bestimmte Quelle zu einem bestimmten Ziel) durch die Entfernung allgemeiner Regeln, die auf Gruppen oder Bezeichnungen basieren, was ausreichte, um den Angriff im Labor zu stoppen.
  • Deaktivieren Sie die SSH-Portweiterleitung systematisch in den Zugriffsregeln des von Tailscale gehosteten Dienstes, wenn diese Funktion nicht unbedingt erforderlich ist.
  • Aktivieren Sie den Ablauf des Geräteschlüssels und binden Sie diese Schlüssel an sichere Hardwarekomponenten wie einen TPM-Chip (Trusted Platform Module, eine elektronische Komponente, die Verschlüsselungsschlüssel sichert) und löschen Sie alle gefährdeten Geräte direkt über das Control Panel.

Häufig gestellte Fragen (FAQ)

Gibt es einen offiziellen Patch für Tailworm-Schwachstellen?

Nein, Tailscale hat derzeit keine Sicherheitsbulletins oder Hotfixes veröffentlicht. Das Unternehmen analysiert den Bericht derzeit mit externen Experten und empfiehlt, die Konfigurationsregeln bis zu einem Update anzupassen.

Reicht der SSH-Prüfmodus aus, um den Angriff zu blockieren?

Nein. Obwohl Tailscale die Aktivierung dieser Funktion empfiehlt, die vor der Anmeldung einen zusätzlichen Anmeldeschritt erfordert, stellt dies nur eine weitere Hürde dar und trägt absolut nichts zur Behebung der zugrunde liegenden Sicherheitslücke bei der Erhöhung von Berechtigungen bei.

Kann ein Hacker mithilfe dieser Sicherheitslücke mein Tailscale-Netzwerk von außen hacken?

Nein, Tailscale erstellt nicht den ersten Einstiegspunkt. Um diese Schwachstellen auszunutzen und Root-Zugriff auf Ihre Server zu erhalten, muss der Angreifer zunächst ein erstes autorisiertes Gerät in Ihrem Netzwerk durch herkömmliche Methoden wie Phishing oder mit Sprengfallen versehene Software kompromittiert haben.