WinSCP 6.7.1 schließt zwei Sicherheitsprobleme bei der Verarbeitung von Programm-Links und beim Herunterladen von Verzeichnissen per SCP. Die am 11. November 2026 veröffentlichte stabile Version verhindert laut Entwickler unter anderem, dass bestimmte Einstellungen aus aufgerufenen URLs zum Laden unerwünschter Bibliotheken führen können. Nutzer des Windows-Dateiübertragungsprogramms sollten die Aktualisierung installieren, besonders wenn WinSCP als Handler für Links eingebunden ist oder SCP-Downloads verwendet werden.
Zusätzlich korrigiert das Update einen Fehler, durch den Dateien bei rekursiven SCP-Downloads unter einer bestimmten Konfiguration außerhalb des vorgesehenen lokalen Verzeichnisbaums landen konnten. Die offiziellen Versionshinweise nennen außerdem Korrekturen für S3, WebDAV und die experimentelle 64-Bit-Ausgabe.
Sicherheitsfehler bei der Verarbeitung von WinSCP-Links
WinSCP kann über zugeordnete Weblinks und eigene URL-Schemata gestartet werden. In Version 6.7.1 unterbindet das Programm das Übernehmen bestimmter PuTTY- und benutzerdefinierter GSS-Bibliothekseinstellungen aus solchen URLs. Nach Angaben des Entwicklers konnte dieser Pfad zur Ausführung fremden Codes führen. Die Korrektur ist im Fehlereintrag 2485 dokumentiert.
Die technische Beschreibung benennt keinen allgemein gültigen Angriff über jeden beliebigen Weblink. Entscheidend sind die Verarbeitung eines passenden Links und die darin enthaltenen Einstellungen. Eine bestätigte Ausnutzung in freier Wildbahn oder eine zugeordnete CVE-Kennung geht aus den veröffentlichten WinSCP-Hinweisen nicht hervor.
SCP-Downloads konnten lokale Verzeichnisgrenzen verlassen
Der zweite sicherheitsrelevante Fehler betrifft rekursive Downloads über das SCP-Protokoll. War das Ersetzen unzulässiger Zeichen in Dateinamen deaktiviert, konnte WinSCP beim Herunterladen ganzer Verzeichnisse lokale Pfade nicht ausreichend begrenzen. Dadurch bestand die Möglichkeit eines Path Traversal, bei dem Dateien an unerwarteten Stellen des lokalen Dateisystems geschrieben werden.
Der Entwickler führt die Behebung unter Fehlereintrag 2477. Der Fall ist ausdrücklich auf die beschriebene SCP-Funktion und Konfiguration bezogen; daraus folgt keine pauschale Betroffenheit jedes SFTP-, FTP- oder WebDAV-Transfers. Wer SCP-Downloads automatisiert, sollte installierte WinSCP-Kopien und die verwendeten Programmeinstellungen kontrollieren.
Weitere Fehlerbehebungen und aktualisierte Komponenten
WinSCP 6.7.1 aktualisiert den XML-Parser Expat auf Version 2.10.0 sowie den Installer auf Inno Setup 6.7.4. Daneben beseitigt die Version ein Speicherleck bei verschlüsselten HTTP-Verbindungen mit S3 beziehungsweise WebDAV, einen Drag-and-Drop-Fehler in der experimentellen 64-Bit-Ausgabe und mehrere Probleme bei der Anzeige von Dialogen und Dateieigenschaften.
Die grundlegenden Neuerungen wie lokale Verzeichnissynchronisierung und die Unterstützung des OpenSSH-Agents stammen bereits aus der Hauptversion 6.7 vom 14. Oktober. Bei 6.7.1 handelt es sich um ein Wartungs- und Sicherheitsupdate, nicht um die noch unveröffentlichte Entwicklungsfassung 6.8.
Download und Update
Offizielle Update-Seite: WinSCP 6.7.1 beim Entwickler herunterladen. Für die reguläre Windows-Installation steht das offizielle Installationspaket für Version 6.7.1 bereit. WinSCP bietet eine deutsche Programmoberfläche; die tagesaktuellen Versionshinweise und die Downloadseite liegen beim Hersteller überwiegend auf Englisch vor.
Auch portable Installationen, in Skripten referenzierte WinSCP-Programme und gesondert verwaltete Unternehmenspakete sollten auf denselben Versionsstand gebracht werden. Die vom Hersteller angegebene SHA-256-Prüfsumme für das reguläre Setup lautet 95ea85587c30ac6dd0c4b8148e16971f7854a6eee9e68298bf007566ebbe7603. Die installierte Version lässt sich in WinSCP über die Programminformationen kontrollieren.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten