Ein neues Repository aus einer Vorlage zu erzeugen, gehört bei Forgejo zur täglichen Routine. Genau diesen Schritt macht die Lücke CVE-2026-89094 zur Waffe: Ein präpariertes Vorlagen-Repository schleust ein verstecktes .git-Verzeichnis ein und führt eigenen Code auf dem Server aus. Mit einem CVSS-Wert von 9,9 zählt der Fehler zur höchsten Gefahrenstufe, geschlossen ist er in Forgejo 16.0.4 und 15.0.8.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 10. September 2026 veröffentlichte das Forgejo-Team die Notfallversionen 16.0.4 und 15.0.8. Der Auslöser ist eine kritische Sicherheitslücke, die aus einem harmlosen Komfort-Feature einen Weg zur vollständigen Serverübernahme macht. Betroffen sind alle selbst gehosteten Instanzen bis Version 16.0.3.
Das Wichtigste in Kürze
- CVE-2026-89094 erreicht einen CVSS-Wert von 9,9 von 10 und gilt damit als kritisch.
- Ein präpariertes Vorlagen-Repository legt während der Variablen-Expansion ein verstecktes .git-Verzeichnis an, das der Server übernimmt.
- Der Patch steckt in Forgejo 16.0.4 und 15.0.8; ältere Versionen bis 16.0.3 bleiben angreifbar.
- Instanzen, auf denen fremde Konten Repositories anlegen dürfen, sollten sofort aktualisieren.
Warum wird ein Vorlagen-Repository zur Waffe?
Forgejo baut neue Projekte aus einer geklonten Vorlage: Der Dienst löscht deren .git-Ordner und ersetzt die Platzhalter in den Dateien, doch genau dieser Ersetzungsschritt lässt sich so manipulieren, dass ein zweites, verstecktes .git-Verzeichnis entsteht, das der Server als echt übernimmt.
Über dieses untergeschobene Verzeichnis liest ein Angreifer beliebige Daten vom Host und startet eigene Prozesse mit den Rechten des Forgejo-Dienstes.[1] Der offizielle Fix setzt an derselben Stelle an: Nach der Variablen-Expansion entfernt Forgejo jeden vorhandenen .git-Ordner, bevor das neue Repository initialisiert wird. Als Kern des Problems bleibt, dass eine reine Textersetzung eine Verzeichnisstruktur anlegen konnte, die git anschließend ungeprüft als eigene Konfiguration akzeptierte.
Wer kann die Forgejo-Lücke ausnutzen?
Der Angriff verlangt lediglich ein Konto, das auf der Instanz Repositories aus Vorlagen erzeugen darf; wo die Registrierung offensteht oder viele Mitwirkende eigene Projekte anlegen, genügt also ein gewöhnlicher Account.
Öffentliche Forgejo-Server und firmeninterne Plattformen mit vielen Beitragenden bilden damit die eigentliche Risikogruppe. Eine geschlossene Registrierung und ein enger Kreis berechtigter Konten verkleinern die Angriffsfläche spürbar, ersetzen das Update aber nicht. Entscheidend ist das Zeitfenster, denn der Fehler ist öffentlich dokumentiert und ein Nachbau gelingt schnell.
Ist das ein Einzelfall?
Nein, selbst gehostete Git-Plattformen aus der Gitea-Linie geraten wiederholt ins Visier, weil ein angemeldeter Nutzer mit Schreibrechten den Sprung von der Weboberfläche zum Systemzugriff schafft.
Erst Ende August 2026 nahm die US-Behörde CISA eine kritische Gitea-Lücke (CVE-2026-60004) in ihren Katalog aktiv ausgenutzter Schwachstellen auf; über einen manipulierten Patch-Endpunkt ließ sich ein Git-Hook einschleusen, geschlossen erst in Gitea 1.27.1.[2] Forgejo ist aus Gitea hervorgegangen und teilt große Teile der Codebasis. Dieses Angriffsmuster zieht sich durch die Branche, von einer aktiv ausgenutzten Chrome-Lücke bis zum Datenleck über die selbst gehostete Analyseplattform Metabase.
Forgejo klont die Vorlage und ersetzt die Platzhalter in den Dateien.
Die Ersetzung legt ein verstecktes .git-Verzeichnis an.
git übernimmt das Verzeichnis und führt fremden Code mit den Rechten des Dienstes aus.
Eine offene Registrierung ist bei einer selbst gehosteten Forgejo-Instanz kein Komfort mehr, sondern eine Einladung. Dieses Update gehört auf den Wartungsplan für heute, nicht auf den nach dem Wochenende.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet die Lücke für Betriebe in der DACH-Region?
Forgejo gilt vielen Unternehmen, Hochschulen und Behörden im DACH-Raum als souveräne, quelloffene Alternative zu GitHub; ausgerechnet diese selbst betriebenen Instanzen müssen jetzt umgehend auf 16.0.4 oder 15.0.8 aktualisieren.
Vorangetrieben wird Forgejo von der gemeinnützigen Codeberg e.V. aus Berlin, deren quelloffenes Hosting in Verwaltung und Forschung fest verankert ist. Unter NIS2 zählt ein kritischer Fehler dieser Art als dokumentationspflichtige Schwachstelle im Patch-Management, wie zuletzt die Hochstufung dreier Firewall-Hersteller durch die CISA zeigte. Prüfen Sie darum die installierte Version und heben Sie jede Instanz ohne Umweg auf 16.0.4 oder 15.0.8; die Rechte fürs Anlegen von Repositories und eine offene Registrierung gehören direkt danach auf den Prüfstand.
FAQ: Die kritische Forgejo-Lücke
Was ist die Forgejo-Lücke CVE-2026-89094?
CVE-2026-89094 ist eine kritische Schwachstelle in Forgejo bis Version 16.0.3 mit einem CVSS-Wert von 9,9 von 10. Über ein präpariertes Vorlagen-Repository lässt sich beim Erzeugen eines neuen Projekts fremder Code auf dem Server ausführen (Remote Code Execution).
Welche Forgejo-Versionen sind betroffen?
Betroffen sind alle Forgejo-Versionen bis einschließlich 16.0.3. Die Fehlerbehebung steckt in Forgejo 16.0.4 und 15.0.8; ältere Installationen sollten umgehend aktualisiert werden.
Wie läuft der Angriff über ein Vorlagen-Repository ab?
Forgejo klont die Vorlage, löscht deren .git-Ordner und ersetzt die Platzhalter in den Dateien. In diesem Schritt lässt sich ein zweites, verstecktes .git-Verzeichnis erzeugen, das git bei der Initialisierung übernimmt und so Codeausführung auf dem Host erlaubt.
Wie schütze ich meine Instanz, solange ich nicht aktualisieren kann?
Begrenzen Sie das Anlegen von Repositories auf vertrauenswürdige Konten und schließen Sie die offene Registrierung. Das verkleinert die Angriffsfläche, ersetzt das Update auf 16.0.4 oder 15.0.8 aber nicht.
Hat Gitea ein vergleichbares Sicherheitsproblem?
Forgejo ist ein Fork von Gitea und teilt große Teile der Codebasis. Die CISA nahm im August 2026 eine kritische Gitea-Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen auf; selbst gehostete Git-Plattformen sind ein wiederkehrendes Angriffsziel.
Quellen
[1] Forgejo: Release Notes 16.0.4 (Sicherheitsfix zu CVE-2026-89094)
[2] CISA: Known Exploited Vulnerabilities Catalog
Mehr Newshunger?
- SAP Message Server: Die 9,8-Lücke öffnet das Cluster für falsche Server
- OVERPASS: SAP-Kernel-Lücke mit CVSS 10.0 trifft jedes ABAP-System
- Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
- Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
- Chrome Zero-Day Sicherheitslücke wird aktiv ausgenutzt
