Root-Lücke: Globaler Telnet-Traffic schlagartig eingebrochen
Im Januar wurde eine gefährliche Root-Lücke im Telnet-Daemon Telnetd bekannt. Offenkundig hat diese so manch einen Provider dazu veranlasst, das stark veraltete Protokoll auf Infrastrukturebene zu blockieren. Wie Sicherheitsforscher von Greynoise festgestellt haben, ist der weltweite Telnet-Traffic wenige Tage vor Veröffentlichung der Lücke plötzlich stark eingebrochen.
Laut Bericht der Forscher(öffnet im neuen Fenster) war der Einbruch nicht nur von kurzer Dauer, sondern nachhaltig. Vom 1. Dezember 2025 bis zum 14. Januar 2026 registrierten die Forscher im Durchschnitt etwa 914.000 Telnet-Sessions pro Tag. Doch innerhalb weniger Stunden brach der Traffic um 59 Prozent auf seitdem täglich 373.000 Sessions ein.
Am 14. Januar um 19 Uhr (UTC) registrierten die Forscher knapp 73.900 Sessions. Ab 21 Uhr waren es plötzlich nur noch 22.460, ab 22 Uhr sogar nur noch 11.325. Und auf diesem verringerten Niveau verblieb der Traffic dann auch bis in den Februar hinein. In Simbabwe, der Ukraine, Kanada, Polen und Ägypten konnte Greynoise überhaupt keinen Telnet-Traffic mehr feststellen.
Hunderttausende Telnet-Server online
Sechs Tage nach diesem Spektakel wurde CVE-2026-24061(öffnet im neuen Fenster) bekannt – eine kritische und schon seit 2015 bestehende Sicherheitslücke in Telnetd, mit der sich Angreifer aus der Ferne und ohne jegliche Nutzerinteraktion einen Root-Zugriff verschaffen können. Die Forscher gehen davon aus, dass einige Infrastrukturprovider vorab über die Lücke informiert wurden und den Telnet-Traffic seitdem filtern.
Das Telnet-Protokoll erfüllt grundsätzlich den gleichen Zweck wie SSH, ist aber älter und verfügt über keine Verschlüsselung. Aus diesem Grund wird von der Verwendung von Telnet ohnehin schon seit Jahren abgeraten. Dennoch gibt es laut den Scans der Shadowserver Foundation(öffnet im neuen Fenster) weltweit noch immer mehr als 800.000 online erreichbare Telnet-Server .
Die Greynoise-Forscher empfehlen abermals, Telnetd gänzlich zu deaktivieren oder zumindest den mit Version 2.7-2 verteilten Patch einzuspielen. Dass der Traffic stark eingebrochen ist, begrüßen die Forscher. "Jemand, der einen bedeutenden Teil der Transit-Infrastruktur des Internets kontrolliert, hat offenbar entschieden, dass Telnet-Traffic nicht mehr übertragen werden soll. Das ist wahrscheinlich die richtige Entscheidung" , heißt es im Bericht.
- Anzeige Hier geht es zur AVM Fritzbox 7590 AX bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.