VideoLAN hat den VLC Media Player in Version 3.0.24 freigegeben und damit eines der umfangreichsten Sicherheitsupdates in der Geschichte des Programms verteilt. Nach Angaben der Entwickler werden mehr als 130 Sicherheitsprobleme behoben, sowohl im Player selbst als auch in den Bibliotheken, die VLC mitbringt. Die Versionsnummer wirkt unscheinbar, unter der Haube ändert sich aber viel: Die eingebaute FFmpeg-Version springt von 4.4 direkt auf 8.1.2.
VLC gehört zu den meistgenutzten Programmen auf Windows-PCs und Macs, auch in Deutschland. Weil ein Mediaplayer ständig Dateien aus fremden Quellen öffnet, sind Lücken in Decodern und Containerformaten ein klassisches Einfallstor. Wir fassen zusammen, was bekannt ist und was Sie tun sollten.
Welche Sicherheitsprobleme behebt VLC 3.0.24?
VideoLAN nennt in den Versionshinweisen keine Liste mit CVE-Nummern, sondern spricht pauschal von über 130 Korrekturen. Laut Berichten von Linuxiac und anderen Fachseiten handelt es sich um typische Speicherfehler: Zugriffe außerhalb reservierter Speicherbereiche, Ganzzahlüberläufe, doppelt freigegebener Speicher und Zugriffe auf bereits freigegebenen Speicher (Use-after-free).
Solche Fehler können im ungünstigsten Fall dazu führen, dass eine präparierte Video- oder Audiodatei das Programm zum Absturz bringt oder sogar Code ausführt. Ob eine der jetzt geschlossenen Lücken bereits aktiv ausgenutzt wurde, ist nicht bekannt. Eine eigene Sicherheitsmeldung zu 3.0.24 war auf der Security-Seite von VideoLAN zum Zeitpunkt unserer Recherche noch nicht verfügbar; der letzte Eintrag dort betrifft Version 3.0.22.
Ein großer Teil der Korrekturen dürfte aus dem Wechsel auf FFmpeg 8.1.2 stammen. Die bisher genutzte FFmpeg-Generation 4.4 ist mehrere Jahre alt, und viele Fehler, die dort über die Zeit gefunden wurden, waren in VLC 3 bislang nicht korrigiert.
Was ist außer Sicherheit neu?
Neben den Korrekturen bringt 3.0.24 einige praktische Neuerungen und räumt Altlasten auf:
| Bereich | Änderung |
|---|---|
| Formate | Dekodierung von ATRAC3 und ATRAC9, CEA-708-Untertitel in MP4 |
| Netzwerk | Listener-Modus für SRT, Public-Key-Anmeldung bei SFTP, RIST über librist |
| Windows | Weniger Abstürze beim Audio, Korrekturen bei Direct3D11, kein langsamer Start mehr rund um die Zeitumstellung, NV12-Aufnahme über DirectShow |
| macOS | Absturz des MIDI-Synthesizers (AudioToolbox) ab macOS 26 behoben |
| Untertitel | Bessere Spracherkennung, verbesserte WebVTT-Verarbeitung |
| Updates | Prüfung der Update-Signatur jetzt mit RSA-4096 |
| Entfernt | NPAPI-Browser-Plug-in, nicht mehr funktionierendes YouTube-Skript, RealRTSP |
Die Korrektur für den langsamen Start zur Zeitumstellung ist für Windows-Nutzer in Deutschland gerade passend: Am 25. Oktober 2026 werden die Uhren wieder auf Winterzeit gestellt.
Wer über VLC bisher YouTube-Links abgespielt hat, muss sich umstellen. Das zuständige Lua-Skript funktionierte laut VideoLAN ohnehin nicht mehr und wurde deshalb entfernt.
So aktualisieren Sie VLC
- Windows und macOS: Über die Update-Suche im Programm (unter Windows im Menü Hilfe, unter macOS im Programmmenü; Bezeichnungen können je nach Version abweichen) oder per Download von videolan.org.
- Linux: Über die Paketquellen der Distribution, sobald diese nachziehen, oder über Flatpak.
- Smartphones: Die mobilen VLC-Apps für Android und iOS haben eigene Versionsnummern und werden über die App-Stores aktualisiert.
Laden Sie VLC nur von der offiziellen Seite videolan.org herunter. Über Suchmaschinen werden immer wieder Werbeanzeigen mit manipulierten Installern ausgespielt, darauf weist auch Caschys Blog hin. Ausprobiert haben wir das Update nicht; die Angaben stammen aus den offiziellen Versionshinweisen.
Warum das Update auch mit Deutschland zu tun hat
VideoLAN dankt in der Ankündigung ausdrücklich dem Sovereign Tech Fund, einem Programm der Sovereign Tech Agency. Die Agentur mit Sitz in Berlin wird vom Bund finanziert und unterstützt die Sicherheit und Wartung von Open-Source-Software, die als digitale Infrastruktur gilt. Auch externe Sicherheitsforscher und Googles automatisiertes Fuzzing-Projekt OSS-Fuzz haben laut Berichten zu den gefundenen Fehlern beigetragen.
Zum Vergleich: Version 3.0.23 erschien im Januar 2026 und galt damals als bisher größtes Wartungsupdate des 3.0-Zweigs. Der Nachfolger VLC 4 ist weiterhin nicht als stabile Version erschienen; die Versionshinweise zu 3.0.24 erwähnen ihn nicht.
Sicherheitsupdates für weit verbreitete Software sehen wir derzeit häufig, zuletzt etwa bei Webshops, die mit KI-Agenten angegriffen wurden. Bei VLC gilt: Je schneller Sie aktualisieren, desto kleiner das Risiko.
Häufige Fragen
Muss ich VLC 3.0.24 sofort installieren?
Ja, das ist ratsam. Mehr als 130 behobene Sicherheitsprobleme sind ungewöhnlich viele, und ein Mediaplayer öffnet oft Dateien aus unbekannten Quellen.
Gibt es bekannte Angriffe auf die Lücken?
Dazu hat VideoLAN nichts mitgeteilt. Eine Sicherheitsmeldung mit CVE-Nummern lag bei Redaktionsschluss nicht vor.
Funktionieren meine Einstellungen nach dem Update weiter?
VideoLAN beschreibt 3.0.24 als Wartungsupdate des 3.0-Zweigs. Einstellungen bleiben in der Regel erhalten; entfernt wurden nur die oben genannten Funktionen wie das YouTube-Skript und das Browser-Plug-in.
Ist VLC 4 damit erschienen?
Nein. VLC 3.0.24 ist ein Update der bisherigen Version 3. Ein Termin für VLC 4 ist nicht bekannt.
Titelbild: VideoLAN / Blender Foundation, Wikimedia Commons, GPLv2 / CC BY 4.0 (Bildschirmfoto einer älteren VLC-3-Version).
