LONDON (IT BOLTWISE) – AMD warnt vor zwei hochriskanten Schwachstellen in der TPM-2.0-Implementierung, die auf Angriffe gegen den hardwarebasierten Sicherheitsanker hinauslaufen. Betroffen sind unter anderem Ryzen 3000 bis 9000 sowie Epyc-Server und diverse Embedded-Plattformen. Die Lücken tragen die Kennungen CVE-2026-6726 (CVSS 8.5) und CVE-2026-6727 (CVSS 8.3) und erfordern für die Ausnutzung lokalen, privilegierten Zugriff. Entscheidend ist jetzt die Patch-Pflege über OEM-BIOS/AGESA-Versionen, damit Attestierung und kryptografische Schlüssel nicht kompromittiert werden können.
Wenn Unternehmen Hardwaresicherheit über ein Trusted Platform Module (TPM 2.0) absichern, verlassen sie sich darauf, dass Messungen und Attestierungen vom Systemkern zuverlässig ausgeführt werden. Genau an dieser Stelle setzt die aktuelle Warnung von AMD an: Der Halbleiterhersteller hat zwei als hochriskant eingestufte Sicherheitslücken in der TPM-2.0-Implementierung bestätigt. Betroffen ist eine breite Palette von Prozessoren, von gängigen Consumer-Plattformen bis zu Server-CPUs, sodass ein Patch- oder Firmware-Plan nicht nur IT-Spezialisten, sondern auch Rechenzentrums- und Endpoint-Verantwortliche betrifft.
Technisch stehen zwei CVEs im Zentrum: CVE-2026-6726 und CVE-2026-6727, dokumentiert im Sicherheitsbulletin AMD-SB-7064. CVE-2026-6726 erhält laut Angaben einen CVSS-Score von 8.5 und hängt mit dem Referenzcode des TCG-TPM-2.0 zusammen (laut Bulletin bis einschließlich v184). Die Schwachstelle ermöglicht ein Informationsleck, das einem lokalen Angreifer mit erweiterten Berechtigungen hilft, Anmeldedaten für gefälschte TPM-Schlüssel zu erlangen. Dazu zählen unter anderem Attestation Keys, DevID Keys sowie TLS-Authentifizierungen – also genau die Bausteine, mit denen Systeme ihre Identität gegenüber anderen Parteien beweisen sollen. In der Praxis ist das besonders kritisch, weil TPM-Funktionen sonst häufig als Vertrauensanker genutzt werden, etwa für Remote-Verifikation oder policy-basierte Freigaben.
Die zweite Schwachstelle, CVE-2026-6727, wird mit einem CVSS-Score von 8.3 bewertet und entspricht einem Timing-Seitenkanal-Angriff. Solche Angriffe greifen weniger auf „direkte“ Speicherinhalte zu, sondern versuchen, aus der Laufzeit- oder Ausführungscharakteristik Rückschlüsse zu ziehen. Im vorliegenden Fall gilt ebenfalls: Für eine erfolgreiche Ausnutzung wird lokaler Zugriff auf das System mit privilegierten Rechten benötigt. Das reduziert zwar das Risiko klassischer Remote-Angriffe ohne vorherige Kompromittierung, ändert aber nichts am Kernproblem: Die Integrität eines hardwarebasierten Sicherheitsankers (Root of Trust) kann direkt unter Druck geraten, wenn die TPM-Schlüsselmaterialien oder die Ableitlogik entsprechend beeinflusst werden können.
Damit wird die Bewertung auch operativ anspruchsvoll. Unternehmen müssen zunächst klären, welche Plattformen in ihrem Bestand wirklich im betroffenen Spektrum liegen. AMD nennt als betroffene Serien unter anderem Epyc 4004 und 4005, Ryzen 3000 bis 9000 sowie Threadripper-Modelle und verschiedene Embedded-Prozessoren. Zusätzlich weisen Marktbeobachter darauf hin, dass auch ältere Generationen wie Ryzen 1000 und 2000 potenziell anfällig sein könnten. Unabhängig vom konkreten CPU-Generationssprung zeigt sich hier ein wiederkehrendes Muster: TPM-Sicherheitsprobleme sind oft nicht „nur“ auf eine bestimmte Produktlinie beschränkt, sondern schlagen über gemeinsame Codepfade, Referenzimplementierungen oder Firmware-Interaktionen durch.
Die Auswirkungen enden zudem nicht zwingend bei AMD. Der Text verweist darauf, dass auch Systeme mit Intel-Prozessoren von ähnlichen TPM-Problematiken betroffen sein können; genannt werden Desktop- und Notebook-Plattformen bis hin zur Core Ultra 200-Serie sowie Xeon Scalable. Für IT-Teams bedeutet das: Nicht nur CPU-Inventory ist gefragt, sondern auch ein Blick auf TPM-Implementationen, Firmware-Standards und die tatsächliche Updatefähigkeit in der jeweiligen Plattformlandschaft. In heterogenen Umgebungen – etwa gemischte Rechenzentren, Remote-Work-Setups oder spezielle Appliance-Hardware – wird der Patch-Status schnell zum Engpass, weil BIOS-/Firmware-Updates nicht zentral „wie ein Softwarepaket“ ausrollen, sondern über OEM- und Mainboard-Zyklen laufen.
Entscheidend ist jetzt die Frage: Welche Fixes sind verfügbar und wie gelangen sie in die Endsysteme? AMD habe bereits im Frühjahr damit begonnen, Korrekturen an Erstausrüster (OEMs) zu liefern. Laut Angaben standen erste Fixes für die meisten Prozessorgruppen bereits im Mai 2026 bereit; Lösungen für Ryzen Embedded-Systeme folgten im Juli 2026. Konkret nennt das Bulletin AGESA-Versionen als Grundlage für Plattform-Updates: Für Ryzen 3000 kommt ComboAM4PI 1.0.0.11 (veröffentlicht am 18. Mai), für Ryzen 4000/5000 ComboAM4v2PI 1.2.0.12 (veröffentlicht am 27. Mai) und für AM5-Plattformen AGESA ComboAM5PI 1.3.0.1b (veröffentlicht am 21. Mai). Administrativ heißt das: Nicht nur „BIOS aktualisieren“ ist die Aufgabe, sondern die passende AGESA-Baureihe sicherstellen, damit die TPM-Änderungen im Zielsystem tatsächlich greifen.
Auch hier wird der Marktmechanismus sichtbar: Mainboard-Hersteller wie ASUS, MSI, GIGABYTE und ASRock sollen daraufhin BIOS-Updates auf Basis von AGESA ComboAM5PI 1.3.0.1b Patch A zwischen Juni und Juli 2026 für ihre Endkunden bereitgestellt haben. Für Systemverantwortliche folgt daraus eine klare Prüfroutine. Zuerst sollten sie die aktuelle BIOS-Version pro Geräteklasse erfassen, dann die Herstellerhinweise auf die tatsächliche AGESA-Basis abgleichen und anschließend die Updates zeitnah einspielen, bevorzugt zunächst in kontrollierten Testgruppen. Besonders kritisch sind dabei Workloads, die TPM-basierte Funktionen aktiv nutzen – etwa für Attestierung in Vertrauensketten, für kryptografische Identitätsmodelle oder für TLS-bezogene Authentifizierungen, deren Material im Umfeld des TPM erzeugt oder verifiziert wird.
Langfristig ist die Meldung auch ein Signal für die Reife von Security-Prozessen in der Hardware-Schicht. Timing-basierte Angriffe wie bei CVE-2026-6727 zeigen, dass sich Abwehr nicht ausschließlich auf „klassische“ Patch-Strategien für Software beschränkt, sondern auch auf die Absicherung der Ausführungskette und die Aktualität der Firmware-Implementierung. Gleichzeitig macht CVE-2026-6726 deutlich, dass selbst ein lokaler Angreifer mit privilegierten Rechten im Zweifel bereits über weitreichende Zugriffsmöglichkeiten verfügt – und die TPM-Seite dann nicht „als letzter Schutzwall“ ausreicht, wenn Informationslecks im Spiel sind. Wer die Risiken beherrscht, schafft deshalb vor allem Transparenz: Geräteinventar, Firmware-Standards, Testfenster und eine verlässliche Rollout-Logik. Dann wird aus einer akuten Lücke eine planbare Betriebskomponente – und ausgerechnet das ist bei TPM-Mechanismen entscheidend, weil der Nutzen der Technologie erst dann maximal ist, wenn ihre Integrität dauerhaft nachgewiesen und aktualisiert bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AMD TPM-Lücken CVE-2026-6726/6727: Was Administratoren jetzt prüfen müssen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AMD TPM-Lücken CVE-2026-6726/6727: Was Administratoren jetzt prüfen müssen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AMD TPM-Lücken CVE-2026-6726/6727: Was Administratoren jetzt prüfen müssen« bei Google Deutschland suchen, bei Bing oder Google News!