Forgejo-Sicherheitslücke: Welche Versionen sind betroffen?

Kritische Forgejo-Lücke: Ein manipuliertes Vorlagen-Repository kapert den Server

Markus Seyfferth

Autor Dr. Web

11. September 2026

2 Min. Lesezeit

Forgejo schließt mit Version 16.0.4 eine Sicherheitslücke, über die ein einziges präpariertes Vorlagen-Repository fremden Code auf dem Server ausführt.^[1] Die US-Schwachstellendatenbank NVD bewertet den Fehler mit 9,9 von 10 Punkten und stuft ihn als kritisch ein.^[2] Betroffen sind alle Ausgaben vor 16.0.4 sowie vor der LTS-Version 15.0.8.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

CVE-2026-89094 erlaubt die Ausführung beliebiger Prozesse auf dem Forgejo-Server und das Auslesen beliebiger Daten.
Ein Angreifer braucht nur ein Konto mit dem Recht, Repositorys anzulegen. Auf Instanzen mit offener Registrierung genügt eine E-Mail-Adresse.
Die Platzhalter-Ersetzung in .forgejo/template legt ein zweites .git-Verzeichnis an, das git anschließend übernimmt.
Forgejo 16.0.4 und 15.0.8 erschienen am 10. September, zwei weitere Sicherheitsprobleme beheben die Versionen gleich mit.

Wie führt ein Platzhalter im Text zu fremdem Code auf dem Server?

Kartonage mit Text „Vorlage“ vor weißem Grund, enthaltend kleineren Karton mit „.git“-Aufkleber — Forgejo-Sicherheitslücke: Bösartige Vorlagen können durch manipulierte .git-Ordner Code in Repositories einschleusen

Ein untergeschobener .git-Ordner genügt. Forgejo klont die Vorlage, löscht deren .git-Verzeichnis, ersetzt in den Dateien aus .forgejo/template die Platzhalter und legt danach ein frisches Repository an. Eine bösartige Vorlage lässt diese Ersetzung genau dort ein neues .git-Verzeichnis schreiben.^[1] Die Git-Dokumentation hält ausdrücklich fest, dass ein erneutes git init nichts überschreibt, was bereits vorhanden ist.^[3] Der Server erbt damit fremde Konfiguration samt fremder Hooks und führt diese Hooks unter seinem eigenen Dienstkonto aus.

Warum fällt dieselbe Vorlagen-Funktion zum dritten Mal auf?

Dritter Treffer in neun Monaten. Im Dezember 2025 verzeichnete das NVD für Forgejo vor 13.0.2 eine kritische Lücke, bei der Symlinks aus einem Vorlagen-Repository heraus auf fremde Dateien zeigten.^[4] Im März 2026 korrigierte Gitea 1.25.5 die Pfadauflösung derselben Funktion, geführt als CVE-2026-25718 mit dem Schweregrad 9,1.^[5] Forgejo ist ein harter Fork von Gitea, und dieser Programmteil stammt in beiden Projekten aus derselben Wurzel. Eine Härtung im einen Codestand landet deshalb nicht automatisch im anderen. Betreiber einer Fork-Software behalten die Sicherheitsmeldungen des Ursprungsprojekts besser im Blick.

Eine Vorlagen-Funktion, die binnen neun Monaten dreimal kritisch auffällt, ist kein Zufall, sondern ein Konstruktionsproblem: Forgejo entpackt fremden Code in ein Verzeichnis, aus dem unmittelbar danach git startet. Bis der Patch überall eingespielt ist, entscheidet allein, welche Konten auf einer Instanz Repositorys anlegen dürfen.
— Michael Dobler, Herausgeber Dr. Web

Werkzeugkette unter Beschuss. Der Fall reiht sich in eine Serie von Angriffen auf die Infrastruktur der Entwickler ein, vom kompromittierten npm-Paket Keyv bis zum Copilot-Autofix, der Snowflakes internes Jira öffnete. Wie viel ein Umzug weg von GitHub praktisch bringt, haben wir am Beispiel von Codeberg und Self-Hosting durchgerechnet.

Eine Funktion, drei kritische Lücken

Vorlagen-Repositorys in Gitea und Forgejo, Dezember 2025 bis September 2026

9,9

CVSS-Score von CVE-2026-89094, Einstufung kritisch

kritische Schwachstellen in derselben Vorlagen-Funktion binnen neun Monaten

431.200

Repositorys auf Codeberg, der größten öffentlichen Forgejo-Instanz, gezählt am 11.09.2026

Stunden Frist für die CRA-Frühwarnung an CSIRT und ENISA, gültig seit dem 11.09.2026

Der Verlauf

26.12.2025

CVE-2025-68937: Symlinks aus einem Vorlagen-Repository greifen in Forgejo vor 13.0.2 auf fremde Dateien zu

16.03.2026

Gitea 1.25.5 korrigiert die Pfadauflösung derselben Funktion, später als CVE-2026-25718 mit 9,1 geführt

10.09.2026

Forgejo 16.0.4 und 15.0.8 löschen jedes .git-Verzeichnis, bevor git das neue Repository anlegt

Was ändert die CRA-Meldepflicht seit dem 11. September?

24 Stunden Frühwarnfrist. Seit heute greift Artikel 14 der EU-Verordnung 2024/2847: Hersteller melden eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an das zuständige CSIRT und an die ENISA, nach 72 Stunden folgt der ausführliche Bericht.^[6] Artikel 24 nimmt die Verwalter quelloffener Software in dieselbe Pflicht, sobald deren eigene Entwicklungssysteme betroffen sind. Forgejo hat einen solchen Verwalter in Berlin: Die Domains und Marken des Projekts liegen beim gemeinnützigen Verein Codeberg e. V.^[7] Angriffe auf CVE-2026-89094 sind bislang nicht bekannt; sonst liefe die Frist seit heute.

Betreiber haften selbst. Ein selbst gehostetes Forgejo bleibt ein Produktivsystem wie jedes andere, und Artikel 32 DSGVO verlangt dafür den Stand der Technik. Für Einrichtungen unter dem BSIG greift zusätzlich die NIS2-Haftung, und ein Schweregrad von 9,9 lässt dabei wenig Ermessensspielraum.

Der verlässliche Schritt bleibt das Update auf 16.0.4 oder 15.0.8. Danach lohnt ein Blick in die Nutzerverwaltung: Auf einer Instanz mit offener Registrierung reicht bis zum Einspielen des Patches eine frische E-Mail-Adresse, um die Lücke zu erreichen.