--- title: "AWS Private CA Issuer: CVE-2026-119115 in cert-manager auf EKS beheben" description: "AWS Private CA Issuer: CVE-2026-119115 erlaubt Zertifikate vom ClusterIssuer ohne Berechtigung. Jetzt lesen, wie Sie Version und Policies prüfen und patchen." image: https://dmoove.com/hubfs/blog/agent-images/aws-private-ca-issuer-cve-2026-119115-featured-125933.png --- [Zum Inhalt springen](https://dmoove.com/blog/aws-private-ca-issuer-cve-2026-119115#main-content) [![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo.svg)](https://dmoove.com/) Menü - Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/amazon-quick-ki) - [Migration & DevOps](https://dmoove.com/migration-devops) - Lösungen - [GuardAudit](https://dmoove.com/dmoove-guardaudit) - [Cloud Kosten optimieren](https://dmoove.com/cloud-kosten-optimieren) - [EC2 Image Builder](https://dmoove.com/ec2-image-builder) - [Case Study](https://dmoove.com/case-study-kubernetes-cluster) - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) [Termin buchen](https://dmoove.com/meetings/yannick-tresch) 1. [Blog](https://dmoove.com/blog) 2. [Cloud Computing](https://dmoove.com/blog/tag/cloud-computing) Cloud Computing # AWS Private CA Issuer: CVE-2026-119115 in cert-manager auf EKS beheben [Yannick Tresch](https://dmoove.com/blog/author/yannick-tresch) 30\. Oktober 2026 · Min. Lesezeit ![Ein Schlüsselbund, an dem ein Schlüssel aus einem anderen Metall hängt und ein großes Tor öffnet, das für die anderen Schlüssel verschlossen bleibt](https://dmoove.com/hs-fs/hubfs/blog/agent-images/aws-private-ca-issuer-cve-2026-119115-featured-125933.png?width=1200&height=750&name=aws-private-ca-issuer-cve-2026-119115-featured-125933.png) Wer cert-manager mit dem AWS Private CA Issuer auf EKS betreibt, sollte diese Woche die Version prüfen: AWS hat am 29. Oktober 2026 das Sicherheitsbulletin 2026-156-AWS zu CVE-2026-119115 veröffentlicht und stuft es als „Important (requires attention)“ ein. Betroffen ist die Auflösung des Issuers. Ein authentifizierter Nutzer, dessen Approval Policy nur einen namespace-gebundenen Issuer erlaubt, kann unter bestimmten Bedingungen Zertifikate von einem clusterweiten Issuer erhalten ([AWS Security Bulletin 2026-156-AWS](https://aws.amazon.com/security/security-bulletins/2026-156-aws/)). ## Was die Lücke im AWS Private CA Issuer bewirkt Die Lücke erlaubt es, die Grenze zwischen namespace-gebundenem und clusterweitem Issuer zu umgehen. Der AWS Private CA Issuer (aws-privateca-issuer) ist ein externer Issuer für cert-manager und signiert Zertifikatsanfragen über AWS Private Certificate Authority. Laut Bulletin kann ein Nutzer in den betroffenen Versionen Zertifikate erhalten, „einschließlich Zertifikaten für untergeordnete CAs“ (im Original: subordinate CA certificates), die ein clusterweiter Issuer signiert hat und die der Nutzer gar nicht verwenden dürfte. Wie schwer das wiegt, hängt von Ihrer Konfiguration ab. Zeigt der ClusterIssuer auf eine CA, die nur interne Service-Zertifikate ausstellt, ist der Schaden ein anderer, als wenn dahinter eine CA steht, der halb Ihre Infrastruktur vertraut. Ein Zertifikat für eine untergeordnete CA ist der ungünstigere Fall, weil der Inhaber damit selbst Zertifikate ausstellen kann. Das Bulletin sagt weder, ob die Lücke ausgenutzt wurde, noch nennt es einen CVSS-Wert. Beides haben wir nicht gefunden und tragen es deshalb nicht ein. ## Welche Versionen sind betroffen und wie prüfen Sie das? Betroffen sind aws-privateca-issuer vor Version v1.10.1 und das EKS-Add-on „AWS Private CA Connector for Kubernetes“ vor Version v1.10.1-eksbuild.1 (Stand: 29. Oktober 2026, laut AWS-Bulletin). Behoben ist es in genau diesen beiden Versionen. Ein Add-on aktualisiert EKS nicht von selbst: Laut [EKS-Dokumentation](https://docs.aws.amazon.com/eks/latest/userguide/updating-an-add-on.html) müssen Sie das Update anstoßen, auch nach einem Kubernetes-Upgrade. Rechnen Sie also damit, dass ältere Cluster in Ihrer Flotte noch eine alte Version fahren. Die installierte Add-on-Version lesen Sie je Cluster so aus: ``` aws eks describe-addon \ --cluster-name $CLUSTER \ --addon-name aws-privateca-connector-for-kubernetes \ --query 'addon.addonVersion' ``` Haben Sie den Issuer per Helm installiert, statt das Add-on zu nutzen, prüfen Sie das Image-Tag des Deployments im Namespace `aws-privateca-issuer`. Dieser Namespace stammt aus der [AWS-Installationsanleitung](https://docs.aws.amazon.com/privateca/latest/userguide/PcaKubernetes-get-started.html); bei abweichender Installation heißt er bei Ihnen anders. Das Update des Add-ons läuft über `aws eks update-addon` mit `--addon-version v1.10.1-eksbuild.1`. Die Option `--resolve-conflicts` kennt laut [API-Referenz](https://docs.aws.amazon.com/eks/latest/APIReference/API_UpdateAddon) die Werte OVERWRITE, NONE und PRESERVE. AWS empfiehlt dort, Änderungen zuerst in einem Nicht-Produktiv-Cluster zu testen. Das gilt hier besonders, wenn Sie die Add-on-Konfiguration angepasst haben. ## Warum zählen Name und Kind in der Approval Policy? Der von AWS genannte Workaround besteht darin, Approval Policies und RBAC-Regeln sowohl auf den Namen als auch auf die Art (Kind) des Issuers zu begrenzen. Das Bulletin erklärt nicht, warum das hilft. Eine plausible Lesart, die wir nicht bestätigen können: Wenn ein Issuer und ein ClusterIssuer denselben Namen tragen, reicht ein Match nur auf den Namen nicht, um sie auseinanderzuhalten. ![Zwei Reihen beschrifteter Schubladen, eine schmale mit einem Namensschild und eine breite mit zwei Schildern, an denen ein Prüfer ein Schloss anbringt](https://dmoove.com/hubfs/blog/agent-images/aws-private-ca-issuer-cve-2026-119115-inline-125933.png) Setzen Sie [approver-policy](https://cert-manager.io/v1.16-docs/policy/approval/approver-policy/installation/) ein, lohnt sich ein Blick in Ihre CertificateRequestPolicy-Ressourcen. Deren Selektor kann laut cert-manager-Dokumentation über `issuerRef` mit `name`, `kind` und `group` auswählen. Ein leeres `issuerRef: {}` passt auf alle Issuer. Prüfen Sie, wo Sie nur den Namen angegeben haben oder den Selektor offen gelassen haben, und tragen Sie dort die Art nach. Dasselbe gilt für Roles und ClusterRoles, die Nutzern das Recht zum Verwenden einer Policy geben. Vorhandene Issuer-Ressourcen listen Sie zunächst auf: ``` kubectl get awspcaissuers,awspcaclusterissuers -A ``` Für jeden ClusterIssuer sollten Sie klären, wer in welchem Namespace Zertifikate dagegen anfordern darf und auf welche CA er zeigt. Diese Antwort entscheidet, wie dringend das Update für Sie ist. ## Was tun, wenn Sie nicht sofort aktualisieren können? Wenn ein sofortiges Update nicht möglich ist, sind enge Policies und RBAC-Regeln der einzige von AWS genannte Zwischenschritt. Weitere Maßnahmen nennt das Bulletin nicht. Ergänzend können Sie auf eigene Verantwortung prüfen, welche Zertifikate in den letzten Wochen von ClusterIssuern signiert wurden und ob sie zu einem bekannten Namespace und Antragsteller passen. Ob die Kubernetes-Audit-Logs und die AWS-Private-CA-Protokolle dafür bei Ihnen ausreichen, hängt von Ihrer Logging-Konfiguration ab. Haben Sie den Issuer geforkt oder abgeleiteten Code im Einsatz, reicht das Add-on-Update nicht. AWS empfiehlt ausdrücklich, auch solchen Code mit der Korrektur zu versehen. ## Nächste Schritte für Ihr Platform-Team Gehen Sie in dieser Reihenfolge vor: Erstens die Add-on- oder Helm-Version je Cluster erfassen. Zweitens die ClusterIssuer auflisten und festhalten, auf welche CA sie zeigen. Drittens Approval Policies und RBAC auf Name und Kind eingrenzen. Viertens das Update auf v1.10.1 beziehungsweise v1.10.1-eksbuild.1 erst in einem Test-Cluster und dann in Produktion ausrollen. Das Muster kennen EKS-Teams bereits aus der [Network-Policy-Lücke CVE-2026-86831](https://dmoove.com/blog/eks-network-policy-sicherheitsluecke-cve-2026-86831): Die Plattform liefert den Patch, ausrollen müssen Sie ihn selbst. Wer ohnehin Zertifikate im Cluster pflegt, findet im Beitrag zur [EKS CA Rotation](https://dmoove.com/blog/eks-ca-rotation-cluster-zertifikat) den passenden Hintergrund zum Cluster-Zertifikat. Wenn Sie Hilfe bei der Inventur über viele Cluster brauchen, spricht DMoove gern mit Ihnen darüber. ## Häufige Fragen ### Betrifft CVE-2026-119115 auch das EKS-Add-on? Ja. Laut AWS-Bulletin 2026-156-AWS sind sowohl aws-privateca-issuer vor Version v1.10.1 als auch das EKS-Add-on AWS Private CA Connector for Kubernetes vor Version v1.10.1-eksbuild.1 betroffen. Behoben ist die Lücke in v1.10.1 beziehungsweise v1.10.1-eksbuild.1. Auch selbst gepflegte Forks sollten die Korrektur übernehmen. ### Aktualisiert EKS das Private-CA-Add-on automatisch? Nein. Laut EKS-Dokumentation aktualisiert Amazon EKS ein Add-on weder bei neuen Add-on-Versionen noch nach einem Kubernetes-Minor-Upgrade automatisch. Sie müssen das Update selbst anstoßen, etwa über die Konsole, eksctl oder die AWS CLI. Prüfen Sie daher aktiv, welche Add-on-Version in jedem Cluster läuft. ### Ist CVE-2026-119115 bereits aktiv ausgenutzt worden? Dazu enthält das AWS-Bulletin vom 29. Oktober 2026 keine Aussage, und wir haben keine andere belastbare Quelle gefunden. Das Bulletin ist als wichtig eingestuft und verlangt Aufmerksamkeit. Ob jemand die Lücke ausgenutzt hat, lässt sich nur mit eigenen Audit-Logs und der Prüfung ausgestellter Zertifikate beantworten. Yannick Tresch In diesem Artikel Fragen zu Ihrer Plattform? 30 Minuten, direkt mit dem Gründer. [Termin buchen](https://dmoove.com/meetings/yannick-tresch) Weiterlesen ## Weitere Artikel. - ### [![Ein alter Messingschlüssel wird durch einen neuen silbernen Schlüssel ersetzt, umgeben von kleineren Schlüsseln an einem Serverrack.](https://dmoove.com/hs-fs/hubfs/blog/agent-images/eks-ca-rotation-cluster-zertifikat-featured-050058.png?width=800&height=500&name=eks-ca-rotation-cluster-zertifikat-featured-050058.png) Cloud Computing EKS CA Rotation: So tauschen Sie das Cluster-Zertifikat aus, bevor es abläuft 29\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/eks-ca-rotation-cluster-zertifikat) - ### [![Förderband mit vielen Warnmarken, von denen ein Sortiertor nur eine orangefarbene durchlässt, die ein Roboterarm mit einem Flicken repariert.](https://dmoove.com/hs-fs/hubfs/blog/agent-images/schwachstellen-automatisch-beheben-aws-c-featured-050101.png?width=800&height=500&name=schwachstellen-automatisch-beheben-aws-c-featured-050101.png) Cloud Computing Schwachstellen automatisch beheben: Was AWS Continuum nach PHP2Shell leistet 27\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/schwachstellen-automatisch-beheben-aws-continuum) - ### [![Uhr kurz vor Mitternacht auf einem Server-Rack – symbolisiert das bevorstehende Kubernetes 1.34 End of Life auf EKS](https://dmoove.com/hs-fs/hubfs/blog/agent-images/kubernetes-1-34-end-of-life-eks-featured-040109.png?width=800&height=500&name=kubernetes-1-34-end-of-life-eks-featured-040109.png) Cloud Computing Kubernetes 1.34 End of Life: Was EKS-Teams jetzt tun müssen – bevor AWS die Kontrolle übernimmt 26\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/kubernetes-1-34-end-of-life-eks) ![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo-white.svg) DMoove Solutions GmbH Damaschkestraße 23 10711 Berlin Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/de/amazon-quick-ai-essentials) - [Migration & DevOps](https://dmoove.com/migration-devops) Unternehmen - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) - [Termin buchen](https://dmoove.com/meetings/yannick-tresch) - [LinkedIn](https://www.linkedin.com/company/dmoove) Rechtliches - [Impressum](https://dmoove.com/impressum) - [Datenschutz](https://dmoove.com/datenschutz) © 2026 DMoove Solutions GmbH ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Yannick Tresch", "url" : "https://dmoove.com/blog/author/yannick-tresch" }, "dateModified" : "2026-10-30T13:08:43.771Z", "datePublished" : "2026-10-30T13:06:38.000Z", "headline" : "AWS Private CA Issuer: CVE-2026-119115 in cert-manager auf EKS beheben", "image" : [ "https://dmoove.com/hubfs/blog/agent-images/aws-private-ca-issuer-cve-2026-119115-featured-125933.png" ], "mainEntityOfPage" : { "@id" : "https://dmoove.com/blog/aws-private-ca-issuer-cve-2026-119115", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://dmoove.com/hubfs/dmo_logo450.png" }, "name" : "DMoove Solutions GmbH" } } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Ja. Laut AWS-Bulletin 2026-156-AWS sind sowohl aws-privateca-issuer vor Version v1.10.1 als auch das EKS-Add-on AWS Private CA Connector for Kubernetes vor Version v1.10.1-eksbuild.1 betroffen. Behoben ist die Lücke in v1.10.1 beziehungsweise v1.10.1-eksbuild.1. Auch selbst gepflegte Forks sollten die Korrektur übernehmen." }, "name" : "Betrifft CVE-2026-119115 auch das EKS-Add-on?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Nein. Laut EKS-Dokumentation aktualisiert Amazon EKS ein Add-on weder bei neuen Add-on-Versionen noch nach einem Kubernetes-Minor-Upgrade automatisch. Sie müssen das Update selbst anstoßen, etwa über die Konsole, eksctl oder die AWS CLI. Prüfen Sie daher aktiv, welche Add-on-Version in jedem Cluster läuft." }, "name" : "Aktualisiert EKS das Private-CA-Add-on automatisch?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Dazu enthält das AWS-Bulletin vom 29. Oktober 2026 keine Aussage, und wir haben keine andere belastbare Quelle gefunden. Das Bulletin ist als wichtig eingestuft und verlangt Aufmerksamkeit. Ob jemand die Lücke ausgenutzt hat, lässt sich nur mit eigenen Audit-Logs und der Prüfung ausgestellter Zertifikate beantworten." }, "name" : "Ist CVE-2026-119115 bereits aktiv ausgenutzt worden?" } ] } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://dmoove.com/blog", "name" : "Blog", "position" : 1 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/tag/cloud-computing", "name" : "Cloud Computing", "position" : 2 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/aws-private-ca-issuer-cve-2026-119115", "name" : "AWS Private CA Issuer: CVE-2026-119115 in cert-manager auf EKS beheben", "position" : 3 } ] } ```