Der Patch von AlphaTheta für eine Sicherheitslücke im PRO-DJ-LINK-Netzwerk kam am 18. August 2026 mit rekordbox 7.2.18. Genau dieses Timing macht die Geschichte aus: Die Lücke war über eine Woche zuvor offengelegt worden, blieb aber in Booths weltweit aktiv, bis der Patch tatsächlich erschien.

Was genau war offen?

PRO DJ LINK ist das Protokoll, über das CDJs, XDJs und rekordbox in einem lokalen Netzwerk kommunizieren und Track-Daten sowie Inhalte von USB- oder SD-Karten zwischen verbundenen Playern teilen. Laut Digital DJ Tips (10. August 2026) nutzte die Dateifreigabe des Netzwerks eine schwache NFS-Authentifizierung, praktisch eine fest hinterlegte Prüfung statt einer echten Zugangsdatenkontrolle. Dadurch konnte jeder PC oder Mac im selben Netzwerk per Path Traversal auf USB- und SD-Daten angeschlossener Player zugreifen, ohne einen echten Login.

Die Liste der betroffenen Hardware ist kein Randfall. Sie umfasst CDJ-3000X, CDJ-2000NXS2, CDJ-1500X und CDJ-900NXS sowie XDJ-Modelle, also den Großteil der Club-Player, die derzeit weltweit im Einsatz sind.

Warum betrifft das auch Venues, nicht nur DJs?

Netzwerksicherheit im Club ist meist das Letzte, woran jemand denkt. Booth-Equipment wird an den Switch oder das WLAN angeschlossen, das gerade vor Ort verfügbar ist, oft geteilt mit Kasse, Gäste-WLAN oder anderem Produktionsequipment, kaum je segmentiert oder überwacht. PRO DJ LINK wurde für vertrauenswürdige lokale Netzwerke bei Festivals und in Clubs entwickelt, nicht für Netzwerke, in denen auch der Laptop eines Fremden hängen könnte.

Genau dieses Szenario brauchte die Lücke: ein Gerät, das bereits im selben lokalen Netzwerk sitzt, sei es ein geteiltes Club-WLAN, ein unauffällig an den Booth-Switch angeschlossener Laptop oder das Equipment eines anderen Acts im selben geteilten Netzwerk. Einmal in diesem Netzwerk, brauchte der Zugriff auf den gemounteten USB-Stick eines CDJ weder die Mitwirkung noch die Aufmerksamkeit des Operators.

Ein bestätigter realer Missbrauch wurde nicht gemeldet. Es handelt sich um eine offengelegte Schwachstelle, keinen aktiven Einbruch.

Was müssen DJs und Venues jetzt tun?

Rekordbox auf 7.2.18 oder neuer aktualisieren und die Player-Firmware dort updaten, wo AlphaTheta eine passende Version für die betroffenen CDJ- und XDJ-Modelle bereitstellt. Das ist der eigentliche Fix; keine Umgehung zählt mehr, als diesen Patch tatsächlich einzuspielen.

Über den Patch hinaus ist das ein guter Anlass für Venues, das Booth-Netzwerk wie den Rest ihrer Produktionsinfrastruktur zu behandeln: getrennt vom Gäste-WLAN und der Kasse halten und keine offenen Switch-Ports für jedermann liegen lassen. Die Lücke erforderte Zugriff auf das lokale Netzwerk, was sie für die meisten tourenden DJs wenig dramatisch macht, aber sie bleibt eine echte Schwachstelle für jeden Club mit geteiltem oder offenem Booth-Netzwerk.