VLC-Sicherheitslücken: Zwei Schwachstellen ohne Patch

In VLC stecken zwei Sicherheitslücken, und ausnahmsweise endet dieser Artikel nicht mit „installiere das Update“. Denn das gibt es nicht: Betroffen sind alle Versionen von 3.0.0 bis 3.0.23 — und 3.0.23 ist zugleich die aktuellste Ausgabe. Wer heute VLC herunterlädt, bekommt die verwundbare Fassung. Die schwerwiegendere der beiden Lücken lässt sich über eine präparierte PNG-Datei auslösen und kann im schlimmsten Fall zur Ausführung fremden Codes führen; die zweite betrifft RTSP-Streams und gibt Teile des Arbeitsspeichers preis. Entdeckt hat beides Fabian Wahle von Hap Security, veröffentlicht wurden sie am 9. September 2026. Ich erkläre dir, was technisch dahintersteckt, wie groß das Risiko im Alltag wirklich ist — und was du tun kannst, solange ein Patch fehlt.

Das Wichtigste in Kürze

• Betroffen: VLC 3.0.0 bis einschließlich 3.0.23, alle Plattformen.
• Kein Patch verfügbar. 3.0.23 ist der aktuelle Stand, ein Zeitplan für eine Korrektur ist nicht bekannt.
• CVE-2026-56711 (CVSS 8.8): Integer-Überlauf bei der PNG-Verarbeitung, Schreibzugriff außerhalb des Puffers, Codeausführung denkbar.
• CVE-2026-73324 (CVSS 6.5): Ein bösartiger RTSP-Server kann Teile des Arbeitsspeichers auslesen.
• Beide brauchen dein Zutun — eine Datei, eine Wiedergabeliste oder einen Stream, den du öffnest.
• Keine aktive Ausnutzung bekannt, auch kein öffentlicher Demo-Exploit. Das ist kein Notfall.
• Praktisch hilft: keine Mediendateien aus unbekannter Quelle öffnen und keine fremden RTSP-Streams.

Was ist passiert?

Am 9. September 2026 wurden zwei Schwachstellen im VLC Media Player offengelegt. Beide sitzen nicht in exotischen Zusatzfunktionen, sondern in Code, der in den offiziellen Programmversionen aktiv ist. Da VLC auf dreistelligen Millionenzahlen von Rechnern läuft, ist die Reichweite entsprechend.

Ungewöhnlich ist die Lage beim Patch. Normalerweise folgt auf eine Offenlegung die korrigierte Version, und der Rat lautet schlicht: aktualisieren. Hier liegt der Fall anders — VideoLANs aktuelle 3.0-Ausgabe ist weiterhin 3.0.23, also genau die Version, die die Lücken enthält. Einen angekündigten Termin für eine Korrektur gibt es bislang nicht.

Die PNG-Lücke: CVE-2026-56711

Das ist die ernstere der beiden, bewertet mit CVSS 8.8 von 10.

Jede PNG-Datei beginnt mit einem Kopfbereich namens IHDR, in dem unter anderem Breite und Höhe des Bildes stehen. VLC liest diese Werte und rechnet daraus aus, wie viel Speicher es für das Bild reservieren muss — Breite mal Höhe mal Farbtiefe.

Genau diese Multiplikation ist das Problem. Trägt ein Angreifer absichtlich gewaltige Werte für Breite und Höhe ein, läuft die 32-Bit-Rechnung über. Vereinfacht gesagt springt das Ergebnis wie bei einem Kilometerzähler, der nach 999.999 wieder bei null anfängt. Statt einer riesigen Zahl kommt eine winzige heraus — und VLC reserviert brav einen viel zu kleinen Speicherbereich.

Anschließend beginnt der PNG-Decoder, das Bild Zeile für Zeile in diesen Puffer zu schreiben. Da das Bild in Wahrheit riesig ist und der Puffer winzig, schreibt er über dessen Ende hinaus in fremden Speicher. Im harmlosen Fall stürzt VLC ab. Im ungünstigen Fall lässt sich mit sorgfältig gewählten Daten steuern, was dort landet — und daraus kann die Ausführung von fremdem Code werden.

Wann verarbeitet VLC überhaupt ein PNG?

Das ist die naheliegende Frage, denn kaum jemand öffnet Bilder mit einem Videoplayer. Es gibt aber mehrere Wege, auf denen ein PNG dort landet, ohne dass du es bewusst öffnest:

• als eingebettetes Titelbild in Musikdateien, das VLC zur Anzeige dekodiert
• über Wiedergabelisten, die auf Bilddateien verweisen
• als Bestandteil von Untertitel- oder Menüspuren
• weil VLC in manchen Systemen als Standardprogramm für allerlei Medienformate eingetragen ist

Der Angriff braucht also nicht unbedingt die bewusste Entscheidung, ein verdächtiges Bild zu öffnen. Eine Musikdatei mit manipuliertem Cover reicht im Prinzip aus.

Die RTSP-Lücke: CVE-2026-73324

Die zweite Schwachstelle ist mit CVSS 6.5 geringer bewertet und betrifft das RTSP-Modul — jenen Teil von VLC, mit dem sich Live-Streams abspielen lassen, etwa von Netzwerkkameras.

Dahinter steckt ein klassischer Fehler im Umgang mit Zeichenketten. Antwortet ein RTSP-Server mit einer Zeile von 4.096 Bytes oder mehr, die nicht ordnungsgemäß mit einem Nullbyte abgeschlossen ist, verlässt sich VLC trotzdem auf dieses Abschlusszeichen. Die Funktion strdup misst die Länge dann über das Ende des reservierten Bereichs hinaus und kopiert so lange weiter, bis ihr zufällig ein Nullbyte begegnet.

Kopiert werden dabei benachbarte Speicherinhalte des VLC-Prozesses. Was dort liegt, ist Glückssache — Fragmente anderer Daten, Adressen, im ungünstigen Fall Informationen, die einem Angreifer beim Vorbereiten weiterer Angriffe helfen. Es ist keine Codeausführung, aber ein Informationsleck.

Wichtig zur Einordnung: Der Server muss bösartig sein. Es genügt nicht, dass ein Stream irgendwie kaputt ist — die überlange Antwort muss gezielt so gebaut werden.

Was heißt das für Nutzer von Netzwerkkameras?

Weil viele im Heimnetz genau dafür zu VLC greifen, hier die ehrliche Einordnung: Deine eigene Kamera im eigenen Netz ist kein realistisches Risiko. Sie ist der Server in diesem Szenario, und sie verhält sich normal. Wer den Stream seiner Reolink-Kamera oder eines UniFi-Protect-Systems in VLC prüft, muss deshalb nichts ändern.

Anders sieht es aus bei RTSP-Adressen aus fremder Quelle — Listen öffentlicher Streams, Links aus Foren, Kameras, auf die man „zufällig“ gestoßen ist. Diese Streams zu öffnen war schon vorher keine gute Idee und ist es jetzt noch weniger.

Ein Sonderfall bleibt die Kamera, die selbst kompromittiert wurde. Dann steht plötzlich doch ein feindlicher Server im eigenen Netz. Das ist ein weiteres Argument dafür, Kameras in ein eigenes Netzsegment zu legen und ihnen keinen Weg ins Internet zu geben, den sie nicht brauchen.

Wie ernst ist das wirklich?

Hier lohnt eine nüchterne Betrachtung, denn „CVSS 8.8″ und „kein Patch“ klingen zusammen dramatischer, als die Lage ist.

Was für Gelassenheit spricht:

• Es gibt keine bekannten Angriffe. Weder wurde Ausnutzung in freier Wildbahn beobachtet, noch existiert ein öffentlicher Demo-Exploit.
• Beide Lücken erfordern eine Handlung von dir. Niemand erreicht deinen Rechner, nur weil VLC installiert ist — es braucht eine Datei oder einen Stream, den du öffnest.
• Von einem Speicherfehler bis zu zuverlässig ausgeführtem Code ist es ein weiter Weg. Moderne Betriebssysteme wehren sich mit Schutzmechanismen, die einen solchen Angriff deutlich erschweren.

Was gegen Sorglosigkeit spricht:

• Die Details sind öffentlich. Damit ist die Hürde für den Bau eines Exploits deutlich gesunken.
• Es gibt keinen Patch und keinen Termin — der Zustand kann also andauern.
• VLC ist auf sehr vielen Rechnern installiert, was es als Ziel attraktiv macht.

Unterm Strich: ein Grund für Umsicht, nicht für Aufregung. Die Einordnung „hoch“ bezieht sich auf das, was im schlimmsten Fall möglich wäre, nicht auf das, was gerade passiert.

Das kannst du jetzt tun

Solange kein Update verfügbar ist, geht es um Verhalten und Konfiguration statt um Installation.

Für alle

• Keine Mediendateien aus unbekannter Quelle öffnen. Das ist die wirksamste Maßnahme, weil beide Lücken genau daran hängen. Besonders bei Dateien aus Tauschbörsen, Mailanhängen und dubiosen Downloadseiten.
• Fremde Wiedergabelisten meiden. Eine .m3u– oder .xspf-Datei ist harmlos aussehender Text, der beliebige Ziele enthalten kann — auch Bilddateien und RTSP-Adressen.
• Keine RTSP-Streams aus fremder Quelle öffnen.
• VLC nicht als Standardprogramm für Bildformate eintragen lassen. Prüfe das ruhig einmal in den Systemeinstellungen — manche Installationen greifen großzügig zu.
• Updates im Blick behalten. Sobald VideoLAN eine korrigierte Version veröffentlicht, gehört sie zu den Aktualisierungen, die man nicht aufschiebt.

Im Unternehmen

• Nicht benötigte Protokollmodule deaktivieren. Das RTSP-Modul ist technisch optional, in den offiziellen Programmpaketen aber eingeschaltet — wer es nicht braucht, kann es abschalten.
• Prüfen, wo VLC automatisch Dateien verarbeitet, etwa in Vorschaufunktionen oder auf Anzeigesystemen.
• Bei Bedarf vorübergehend auf einen anderen Player ausweichen. Für reine RTSP-Prüfungen tun es auch mpv oder ffplay.

Sollte ich VLC jetzt deinstallieren?

Nein, das wäre übertrieben. VLC bleibt ein guter, quelloffener Player mit einer langen Geschichte zügig geschlossener Lücken. Zwei Schwachstellen, die eine bewusste Handlung erfordern und für die es keine bekannten Angriffe gibt, rechtfertigen keinen Programmwechsel.

Was sie rechtfertigen, ist der Verzicht auf eine Gewohnheit, die ohnehin riskant ist: irgendeine Datei aus irgendeiner Quelle zu öffnen, weil „ist ja nur ein Video“. Ein Mediendecoder ist ein komplexes Stück Software, das fremde Daten verarbeitet — genau die Art von Programm, in der solche Fehler regelmäßig gefunden werden. Das gilt für jeden Player, nicht nur für diesen.

Fazit

Zwei Lücken, eine davon ernst, und ausgerechnet kein Patch in Sicht — das ist eine unbequeme Kombination. Entwarnung gibt es aber ebenfalls: Ohne dein Zutun passiert nichts, und bislang nutzt niemand die Schwachstellen aus.

Der praktische Rat bleibt deshalb überschaubar. Öffne keine Mediendateien und keine Streams aus Quellen, denen du nicht traust, lass VLC nicht ungefragt zum Standardprogramm für Bilder werden, und installiere die korrigierte Version, sobald sie erscheint. Wer seine Kameras im eigenen Netz anschaut, kann das weiter tun.

Häufige Fragen

Welche VLC-Version ist sicher?

Derzeit keine aus der 3.0-Reihe. Betroffen sind alle Ausgaben von 3.0.0 bis 3.0.23, und 3.0.23 ist zugleich die neueste. Ein Update steht noch aus.

Bin ich gefährdet, wenn ich VLC nur für eigene Videos nutze?

Praktisch nicht. Beide Lücken setzen voraus, dass du eine manipulierte Datei oder einen bösartigen Stream öffnest. Eigene Aufnahmen und Dateien aus vertrauenswürdiger Quelle sind kein Problem.

Reicht ein Virenscanner als Schutz?

Nur bedingt. Ein Scanner erkennt bekannte Schadsoftware, aber eine PNG-Datei mit manipulierten Größenangaben ist zunächst nur eine ungewöhnliche Bilddatei. Verlass dich lieber darauf, solche Dateien gar nicht erst zu öffnen.

Betrifft das auch die mobilen Versionen?

Die Meldungen beziehen sich auf die Desktop-Ausgaben der 3.0-Reihe. Da der betroffene Code zum gemeinsamen Unterbau gehört, ist eine Betroffenheit anderer Ausgaben nicht ausgeschlossen — verlässlich beziffert ist sie bisher aber nicht.

Kann ich das RTSP-Modul abschalten?

In den erweiterten Einstellungen lassen sich Zugriffsmodule steuern. Für die meisten Privatnutzer ist das mehr Aufwand als Nutzen — wer keine fremden Streams öffnet, ist ohnehin außerhalb des Angriffswegs. In verwalteten Umgebungen kann das Abschalten dagegen sinnvoll sein.

Was ist ein Integer-Überlauf in einfachen Worten?

Ein Zahlenbereich hat eine Obergrenze. Wird sie überschritten, springt der Wert zurück auf den Anfang — wie ein Kilometerzähler mit zu wenigen Stellen. Ein Programm, das mit dem Ergebnis weiterrechnet, hält dann eine winzige Zahl für korrekt, obwohl das echte Ergebnis riesig war.

Quellen: Sicherheitsmeldungen zu CVE-2026-56711 und CVE-2026-73324, Veröffentlichung durch Fabian Wahle (Hap Security) vom 09.09.2026, sowie die Berichterstattung von Tarnkappe.info und securityonline.info. Abgerufen am 13.09.2026.