Coolify erneut unter Beschuss: 5 kritische Lücken ermöglichen Remote-Angriffe – jetzt patchen
Fünf CVEs, drei davon mit klarem Weg zu Root-Rechten, ~15.000 exponierte Instanzen allein in Deutschland und öffentliche Proofs-of-Concept: Wer Coolify betreibt, hat jetzt ein sehr kurzes Zeitfenster.
Juli 2026. Wer seine Anwendungen mit der beliebten Open-Source-Plattform Coolify selbst hostet, sollte jetzt genau hinschauen: Im GitHub-Repository des Projekts wurde eine ganze Reihe neuer Sicherheitshinweise veröffentlicht – fünf davon sind als kritisch eingestuft. Angreifer mit vergleichsweise geringen Zugriffsrechten können unter bestimmten Voraussetzungen aus der Ferne Schadcode ausführen, unbefugt auf Ressourcen zugreifen oder Daten abziehen. Updates stehen bereit – und sollten zügig eingespielt werden.
Was ist passiert?
Coolify ist eine Self-Hosting-Plattform, mit der Unternehmen und Entwickler Server, Anwendungen und Datenbanken verwalten – eine Art selbst betriebenes Heroku oder Vercel. Genau das macht die Plattform so attraktiv für KMU: volle Kontrolle, keine Cloud-Abhängigkeit, überschaubare Kosten.
Die Kehrseite: Coolify führt naturgemäß privilegierte Operationen auf den verwalteten Servern aus – oft mit Root-Rechten. Wer Coolify kompromittiert, kompromittiert im Zweifel die gesamte dahinterliegende Infrastruktur.
Die jetzt veröffentlichten Advisories beschreiben mehrere Schwachstellen, deren Schweregrade von „low" bis „kritisch" reichen. Die fünf kritischen Lücken haben es in sich. Drei Beispiele:
| CVE | Angriffsszenario | Betroffen / Gepatcht |
|---|---|---|
| CVE-2026-34038 | Mögliche Remote Code Execution und Datenexfiltration durch einen authentifizierten Angreifer mit bestimmten Lese- und Schreibrechten | ≤ 4.0.0-beta.462 / ab beta.469 |
| CVE-2026-34047 | Unbefugte Befehlsausführung durch authentifizierte Team-Mitglieder; im Rahmen einer Exploit-Chain sind Root-Rechte erreichbar | siehe Advisory |
| CVE-2026-34048 | Befehlsausführung mit Root-Rechten durch Team-Mitglieder auf Team-Servern mit aktiviertem Terminal-Zugriff | ≤ 4.0.0-beta.470 / ab beta.471 |
Einordnung
Für die Ausnutzung braucht es in der Regel einen Account mit bestimmten Rechten bzw. eine Team-Mitgliedschaft. Das klingt beruhigend – ist es aber nur bedingt. Der Angreifer muss kein externer Hacker sein: ein kompromittierter Mitarbeiter-Account, ein Freelancer mit Restzugriff, ein Ex-Dienstleister mit nie deaktiviertem Zugang – all das reicht als Einstiegspunkt. Die Advisories enthalten zudem detaillierte Beschreibungen und Proofs-of-Concept. Das Zeitfenster zwischen Veröffentlichung und ersten Exploits ist erfahrungsgemäß kurz.
Déjà-vu: Coolify hatte erst im Januar eine kritische Welle
Wer die Security-Nachrichten verfolgt, erinnert sich: Erst im Januar 2026 sorgte Coolify für Schlagzeilen. Damals wurden über ein Dutzend Schwachstellen bekannt, mehrere davon mit dem CVSS-Höchstwert 10.0 – darunter Command-Injection-Lücken in der Datenbank-Backup-Funktion und eine Schwachstelle, über die niedrig privilegierte Nutzer den privaten SSH-Schlüssel des Root-Users auslesen konnten.
Besonders brisant aus deutscher Sicht: Scans der Security-Firma Censys zählten damals weltweit rund 52.000 öffentlich erreichbare Coolify-Instanzen – davon knapp 15.000 allein in Deutschland. Kein anderes Land war stärker betroffen. Coolify ist hierzulande also nicht irgendein Nischen-Tool, sondern breit im Einsatz – gerade bei Agenturen, Start-ups und Mittelständlern, die auf Self-Hosting setzen.
Die jetzige Welle zeigt: Das Thema ist nicht erledigt. Wer im Januar gepatcht und die Sache dann abgehakt hat, ist heute womöglich wieder verwundbar.
Ein Account mit wenig Rechten
Team-Mitglied, Freelancer, ein per Phishing übernommener Login. Kein Admin nötig – nur ein Fuß in der Tür.
Der Befehl schlüpft durch
Über präparierte Build-Parameter, Git-Quellen oder Terminal-Funktionen wird eigener Code eingeschleust.
CVE-2026-34038Aus „Member" wird Root
Coolify arbeitet mit hohen Privilegien. Im Rahmen der Exploit-Chain landet der Angreifer bei Root-Rechten.
CVE-2026-34047Der komplette Server gehört ihm
Root heißt: alle Anwendungen, alle Datenbanken, alle Kundendaten auf dem Host sind erreichbar.
CVE-2026-34048Weiter in die Infrastruktur
Coolify verwaltet oft mehrere Server. Der übernommene Host wird zum Sprungbrett – Lateral Movement.
Nirgends stehen mehr Coolify-Instanzen offen im Netz
Die kritischen Lücken im Überblick
„Authentifiziert" ist kein Freifahrtschein: Accounts werden täglich per Phishing und Credential Stuffing übernommen. Betroffene Versionen und Patches unterscheiden sich – im Zweifel auf die neueste Version springen.
+Das jetzt tun
- Sofort updaten – auf die neueste Version, nicht nur die minimal gepatchte.
- Least Privilege leben: Terminal- und Schreibrechte nur, wo nötig.
- Admin-Interface abschotten – VPN, IP-Allowlist, zusätzliche Auth-Schicht.
- Advisories verfolgen und Dienstleister zum Patchen verpflichten.
–Das bloß nicht
- Sich auf „braucht ja einen Account" verlassen.
- Denken „wir sind zu klein" – gescannt wird automatisiert.
- Patches auf „nach dem Sommer" verschieben.
- Beta-Software wie fertige Enterprise-Software behandeln.
Was das konkret für Ihr Unternehmen bedeutet
Vollständige Server-Übernahme
Mehrere Lücken erlauben Befehlsausführung mit Root-Rechten. Damit gehört dem Angreifer nicht nur Coolify, sondern der komplette Host – inklusive aller Anwendungen, Datenbanken und Kundendaten.
Datenexfiltration & DSGVO
Abfließende Daten bedeuten Meldepflichten (72 h), Kundenkommunikation, Reputationsschäden – und im schlimmsten Fall Erpressung nach dem bekannten Double-Extortion-Muster.
Insider- & Supply-Chain-Risiko
Da die Lücken mit „normalen“ Team-Rechten ausnutzbar sind, wird jeder Account zum potenziellen Sprungbrett. Phishing gegen einen einzelnen Entwickler kann genügen.
Lateral Movement
Coolify verwaltet typischerweise mehrere Server. Ein kompromittierter Coolify-Host ist ein idealer Ausgangspunkt, um sich in der restlichen Infrastruktur auszubreiten.
Was jetzt zu tun ist
Sofort (heute)
- Prüfen, ob und wo Coolify im Unternehmen läuft – auch bei Dienstleistern und in Schatten-IT nachfragen.
- Version prüfen und auf die aktuellste verfügbare Version aktualisieren. Da sich die gepatchten Versionen je nach Lücke unterscheiden, ist der Sprung auf das neueste Release der sicherste Weg.
- Die Advisory-Übersicht im GitHub-Repository von Coolify sichten und mit der eigenen Version abgleichen.
Kurzfristig (diese Woche)
- Nutzer- und Rechteinventur: Wer hat Zugriff auf die Coolify-Instanz? Braucht wirklich jeder Terminal-Zugriff? Alte Accounts konsequent deaktivieren.
- MFA erzwingen für alle Coolify-Accounts.
- Erreichbarkeit einschränken: Admin-Oberfläche gehört nicht ungeschützt ins öffentliche Internet. VPN, IP-Allowlisting oder ein Reverse Proxy mit zusätzlicher Auth reduzieren die Angriffsfläche massiv.
- Logs prüfen: Ungewöhnliche Deployments, Terminal-Sitzungen oder Konfigurationsänderungen in den letzten Wochen?
Mittelfristig
- Update-Prozesse etablieren: Beta-Software wie Coolify braucht kurze Patch-Zyklen und jemanden, der Advisories aktiv verfolgt.
- Segmentierung: Der Coolify-Host sollte nicht im selben Netz stehen wie Buchhaltung, ERP und Fileserver.
- Getestete, unveränderliche Backups – falls doch einmal alles schiefgeht.
Do's
- Sofort updatenAuf die neueste Version aktualisieren – nicht nur auf die minimal gepatchte.
- Least PrivilegeTeam-Rechte, Terminal-Zugriff und Schreibrechte nur dort vergeben, wo sie wirklich gebraucht werden.
- Admin-Interface abschottenVPN, IP-Filter, zusätzliche Auth-Schicht. Kein ungeschütztes Web-Interface im öffentlichen Netz.
- Advisories abonnierenWer Open-Source-Infrastruktur betreibt, muss die Security-Kanäle der Projekte im Blick haben.
- Dienstleister in die PflichtSchriftlich bestätigen lassen, dass gepatcht wurde – idealerweise mit Version und Datum.
Don'ts
- Nicht auf „braucht ja einen Account“ verlassenAuthentifizierte Lücken sind keine harmlosen Lücken – Accounts werden täglich per Phishing und Credential Stuffing kompromittiert.
- Nicht „zu klein“ denkenFast 15.000 exponierte Instanzen allein in Deutschland. Angreifer scannen automatisiert – getroffen wird, wer verwundbar ist.
- Patches nicht verschiebenMit öffentlichen Proofs-of-Concept läuft die Uhr. „Nach dem Sommer“ ist zu spät.
- Beta ≠ EnterpriseWer Beta-Versionen produktiv einsetzt, übernimmt auch die Verantwortung für engmaschiges Patchen.
- Nach Update nicht abhakenRechte, Erreichbarkeit und Logs gehören ebenfalls auf den Prüfstand.
Fazit
Coolify ist ein großartiges Werkzeug – und genau deshalb ein lohnendes Ziel. Die aktuelle Advisory-Welle ist bereits die zweite große Runde innerhalb weniger Monate und zeigt exemplarisch, was Self-Hosting wirklich bedeutet: volle Kontrolle heißt volle Verantwortung. Die gute Nachricht: Die Entwickler reagieren transparent und schnell, Updates stehen bereit. Die Hausaufgabe liegt jetzt bei den Betreibern.
Die Frage ist nicht, ob Ihre Infrastruktur gescannt wird – sondern ob sie beim nächsten Scan gepatcht ist.
Häufige Fragen
Coolify oder andere Self-Hosting-Infrastruktur im Einsatz?
Wasacon unterstützt KMU bei Schwachstellen-Checks, Patch-Management, Härtung und Notfallplanung – pragmatisch, verständlich und ohne Konzern-Preisschild. Sprechen Sie uns an, bevor es jemand anderes tut.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
