Analyse von Kaspersky 7 Serien von Qualcomm-Chipsätzen von gefährlicher Sicherheitslücke betroffen

Eine Write-what-where‑Schwachstelle in der BootROM vieler Qualcomm­Chip­sät­ze ermöglicht bei physischem Zugriff das Umgehen von Secure Boot und die Ausführung eigenen Codes. Ein Patch ist unmöglich, stattdessen sind physische Schutzmaßnahmen nötig.

Die Sicherheitsforscher von Kaspersky warnen derzeit vor einer Sicherheitslücke, die meh­re­re Qualcomm-Chipsatzserien betrifft und Angreifern mit physischem Zugriff auf das Ziel­sys­tem die Möglichkeit bietet, die Secure-Boot-Kette zu umgehen und beliebigen Code auf dem System auszuführen.

Android-Geräte in Gefahr

Zero-Day-Lücke betrifft 235 Qualcomm-Chipsets

Bereits im März 2025 sei die Schwachstelle gemeldet worden. Mittlerweile hat sie mit CVE­2026-25262 zwar eine CVE-ID erhalten, genauere Informationen stehen allerdings noch aus. Wie die Analysten schreiben, seien die folgenden Serien der Chips von Qualcomm sowie all ihre Versionen anfällig für die sogenannte „Write-what-where“-Schwachstelle:

• Qualcomm MDM9x07

• Qualcomm MDM9x45

• Qualcomm MDM9x65

• Qualcomm MSM8909

• Qualcomm MSM8916

• Qualcomm MSM8952

• Qualcomm SDX50

Kaspersky selbst hat an CVE-2026-25262 einen CVSS-Score von 6.4 vergeben. Physischer Zugriff auf das Zielsystem sei notwendig, die Komplexität des Angriffs hoch. Allerdings sei keine Nut­zer­interaktion nötig, die Gefahr für Vertraulichkeit, Integrität und Verfügbarkeit der be­trof­fe­nen Systeme wird als hoch eingestuft. Eine EUVD-ID sowie einen EPSS-Score^* gibt es derzeit noch nicht.

Fraunhofer AISEC-Studie zu vertrauenswürdiger Elektronik

Sicherheit und Vertrauens­würdigkeit von Elektronik

Was ist eine „Write-what-where“-Schwachstelle?

Der „Common Weakness Enumeration“ (CWE) der Mitre Corporation nach, liegt eine Write-what-where-Sicherheitslücke vor, wenn ein Cyberangreifer einen bestimmten Wert an eine bestimmte Speicheradresse schreiben kann. Bei dieser beliebigen Speicheroperationkann der Akteure bestimmen, „was“ geschrieben wird und „wo“ es geschrieben wird. Bei der von Kas­per­sky identitfizierten Schwachstelle handelt es sich um eine ebensolche in der BootROM (Boot Read-Only Memory) der Chipsätze von Qualcomm. Dieser ist ein permanenter Speicher auf einem Chip, der die Firmware-Anweisungen enthält, die für das Einschalten, die Hardware-Initialisierungund das Laden des Betriebssystems erforderlich sind.

Im Falle von CVE-2026-25262 können Angreifer bei erfolgreicher Ausnutzung während des Boot-Phase einen frei gewählten Wert an eine beliebige Speicheradresse schreiben und so die Secure-Boot-Funktion umgehen, die sicherstellen soll, dass beim Start nur kryptografisch veri­fi­zierter, autorisierter Code geladen und ausgeführt wird. Die Akteure können dann eigenen Code einschleusen. Bei Smartphones oder Tablets könnten Angreifer beispielsweise auf ein­ge­gebene Passwörter zugreifen und sich damit Zugang zu sensiblen Daten wie Dateien, Kontakten, Standortinformationen sowie Kamera- und Mikrofonfunktionen verschaffen. Die Experten von Kaspersky betonen, dass die Bedrohung über klassische Endnutzer-Szenarien hinausgeht und auch entlang der Lieferkette, etwa bei Transport oder Wartung, relevant sein kann.

StackWarp

Neue Angriffsmethode nutzt Sicher­heitslücke in AMD-Prozessoren

Update sinnlos

Da es sich bei CVE-2026-25262 um einen Fehler im Code des schreibgeschützten Speicher des Chips handelt, können herkömmliche Sicherheitsupdates ihn nicht beheben. Qualcomm sei schon im April 2025 informiert worden, eine eigene Sicherheitsmeldung des Herstellers dazu lässt auf sich warten.

Stattdessen empfiehlt Kaspersky betroffenen Unternehmen folgende Sicherheitsmaßnahmen:

• Das Geräteverhalten auf Anomalien zu überwachen, wie zum Beispiel die Erwärmung während das Gerät nicht in Nutzung ist.

• Strenge physische Sicherheitskontrollen für die Geräte anwenden und den Zugriff auf ein Minimum beschränken.

• Sicherstellen, dass Geräte während des gesamten Lebenszyklus physisch geschützt sind, insbesondere bei Beschaffung, Wartung und Außerbetriebnahme.

• Im Verdachtsfall einen vollständigen Neustart durchführen, indem die Stromversorgung des Chips unterbrochen oder der Akku vollständig entladen wird. So könne potenziell installierte Schadsoftware entfernt werden.

Rechtliche Einordnung

Warnung des BSI vor Kaspersky-Produkten – Was steckt dahinter?

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50826315)