Kritische Sicherheitslücke in Coolify ermöglicht Code-Ausführung (CVE-2026-34038)
In der Open-Source-Software Coolify, die zur Verwaltung von Servern, Anwendungen und Datenbanken dient, wurde eine kritische Sicherheitslücke entdeckt. Diese Schwachstelle, bekannt als CVE-2026-34038, ermöglicht es einem authentifizierten Angreifer, Befehle auf dem System auszuführen (Remote…
Was ist passiert?
In der Open-Source-Software Coolify, die zur Verwaltung von Servern, Anwendungen und Datenbanken dient, wurde eine kritische Sicherheitslücke entdeckt. Diese Schwachstelle, bekannt als CVE-2026-34038, ermöglicht es einem authentifizierten Angreifer, Befehle auf dem System auszuführen (Remote Command Injection). Dadurch kann beliebiger Code ausgeführt (Remote Code Execution) und vertrauliche Umgebungsvariablen über Deployment-Logs ausgelesen werden.
Wer ist betroffen?
Betroffen sind alle Unternehmen, die Coolify in Versionen vor 4.0.0-beta.469 einsetzen. Ein Angreifer benötigt hierfür bereits authentifizierten Zugang und Schreibrechte für Anwendungen. Dies bedeutet, dass die Schwachstelle nicht von extern ohne gültige Zugangsdaten ausgenutzt werden kann.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.9 als 'kritisch' eingestuft, was auf ein hohes Risiko hinweist. Die Wahrscheinlichkeit einer aktiven Ausnutzung in den nächsten 30 Tagen (EPSS) liegt jedoch bei vergleichsweise niedrigen 3 %. Derzeit ist die Schwachstelle nicht im CISA KEV-Katalog gelistet, was bedeutet, dass keine aktive Ausnutzung bekannt ist.
Was ist jetzt zu tun?
Es wird dringend empfohlen, Coolify umgehend auf die Version 4.0.0-beta.469 oder höher zu aktualisieren. Stellen Sie sicher, dass nur vertrauenswürdige Benutzer mit den notwendigen Rechten auf die Anwendung zugreifen können. Überprüfen Sie zudem die Deployment-Logs auf ungewöhnliche Aktivitäten, die auf eine mögliche Ausnutzung hindeuten könnten.
Quellen: NVD (CVE-2026-34038), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.