Der vierbeinige Roboter Unitree Go2 weist eine als kritisch eingestufte Sicherheitslücke auf, registriert als CVE-2026-115995 und veröffentlicht am 24. Oktober 2026. Laut dem Eintrag in der National Vulnerability Database (NVD) betrifft die Lücke den Go2 bis Firmware 1.1.11.4 und liegt in der Komponente chat_go, in der Funktion set_volume der Datei gpt_thread.py: Die Manipulation des Wertarguments kann zu einer Betriebssystem-Befehlsinjektion mit Fernangriff führen.
Die im Eintrag angegebene Lösung ist das Update auf Firmware 1.1.11.5. Der NVD-Eintrag selbst gibt an, dass der Hersteller bestätigt hat, dass die Meldung seinem internen Ticket Nr. 474 zu dieser Befehlsinjektion im Chatmodul des Go2 entspricht. Praktisch sollte die installierte Version geprüft, das Update über den Supportkanal des Herstellers angewendet und die Version danach bestätigt werden.
Zur Schwere ist transparent eine Skalenabweichung zwischen Quellen zu vermerken: Das NVD zeigt einen CVSS-4.0-Vektor von 9,4 der CNA VulDB, während andere Aggregatoren 9,6 unter CVSS 3.1 listen. In beiden Fällen ist die Einstufung kritisch. Bis zum 25. Oktober gaben die konsultierten Aggregatoren keine bestätigte öffentliche Ausnutzung und keinen Eintrag in der KEV-Liste der CISA an — eine von diesen Aggregatoren berichtete Information, keine Garantie für fehlendes Risiko.
Als zusätzliche Maßnahme sollte bis zum Abschluss des Updates der Zugang zum Roboter und zu seinem Steuernetz auf autorisierte Bediener beschränkt und die Freigabe von Verwaltungsoberflächen in nicht vertrauenswürdigen Netzen vermieden werden.
Bildnachweis: Bild des Unitree Go2 auf Wikimedia Commons, Datei „Unitree Go2 of Salvamont front view.jpg“.
Quellen: NVD — CVE-2026-115995; VulDB — CVE-2026-115995; ThreatRoundup — CVE-2026-115995.
Transparenz: Dieser Artikel wurde mit Hilfe künstlicher Intelligenz erstellt, unter Abgleich öffentlicher Beiträge und Internetquellen. Prüfen Sie die Originalquellen, um Details zu bestätigen, bevor Sie ein Update anwenden.
Muse
