Wer seinen Code zu Hause oder in der Firma auf einem eigenen Gitea-Server hostet, sollte heute Abend nicht ins Bett gehen, ohne das zu prüfen. Eine Sicherheitslücke mit der Kennung CVE-2026-27771 hat dafür gesorgt, dass private Container-Images in Gitea jahrelang ohne jeden Login abrufbar waren. Betroffen sind nach aktuellen Schätzungen über 30.000 Installationen.
DAS PROBLEM: Privat war gar nicht privat
Gitea bringt eine eingebaute Container-Registry mit — praktisch, um neben dem Code auch gleich Docker-Images abzulegen. Genau hier steckte der Fehler: Bei Images, die als privat markiert waren, wurde die Anmeldepflicht nicht durchgesetzt. Die Registry lieferte sie trotzdem aus, wenn jemand einen ganz normalen, anonymen Docker- oder OCI-Pull anfragte.
Im Klartext: Ein Angreifer ohne Account konnte private Images herunterladen — und damit potenziell Quellcode, Zugangsdaten und Infrastruktur-Details, die in solchen Images stecken. Besonders bitter: Der Fehler steckte rund vier Jahre im Code, bevor er auffiel.
WIE SCHLIMM ist es wirklich?
Sicherheitsforscher gehen davon aus, dass mehr als 30.000 Deployments in über 30 Ländern betroffen waren. Es handelt sich um einen Authentifizierungs-Bypass — die gefährlichste Sorte, weil keinerlei Anmeldung nötig ist. Wichtig zu wissen: Auch Forgejo, das auf derselben Code-Basis aufbaut, ist betroffen, und weitere Gitea-Forks könnten es ebenfalls sein.
SO PRÜFST DU, ob du verwundbar bist
Die Frage ist simpel: Läuft auf deinem Gitea (oder Forgejo) die Container-Registry und liegen dort als privat markierte Images? Dann gehst du davon aus, dass du betroffen warst, solange du nicht gepatcht hast. Wer die Registry nie genutzt hat, ist deutlich entspannter — aber prüfen schadet nie.
JETZT HANDELN: Der Patch und die Notbremse
Der saubere Weg: Update auf Gitea 1.26.2. Dort ist die Lücke geschlossen. Die Version wurde bereits veröffentlicht — also sofort einspielen.
Wenn du gerade nicht patchen kannst, gibt es eine Notbremse: Setze in der Gitea-Konfiguration [service].REQUIRE_SIGNIN_VIEW=true. Damit erzwingst du eine Anmeldung für jeden Inhalts-Zugriff, und die anonymen Pulls werden blockiert. Das ist ein Pflaster, kein Ersatz für den Patch — aber besser als nichts.
EXTRA: Geheimnisse rotieren
Wenn in deinen privaten Images Zugangsdaten, API-Keys oder Tokens stecken, solltest du nach dem Patch sicherheitshalber annehmen, dass sie offengelegen haben könnten — und sie austauschen. Lieber einmal zu viel rotiert als ein durchgesickerter Schlüssel im Umlauf.
FAZIT: Kurz patchen, lange ruhig schlafen
CVE-2026-27771 ist ein Lehrstück dafür, wie lange ein simpler Logikfehler unentdeckt bleiben kann. Die gute Nachricht: Der Fix ist da und schnell eingespielt. Update auf 1.26.2, im Notfall den Login erzwingen, im Zweifel Geheimnisse rotieren — dann ist die Sache ausgestanden. Self-Hosting bedeutet Freiheit, aber eben auch, solche Meldungen ernst zu nehmen.
Häufige Fragen
Welche Gitea-Versionen sind von CVE-2026-27771 betroffen?
Wie merke ich, ob mein Server verwundbar ist?
Wie behebe ich das Problem konkret?
Sollte ich nach dem Patch noch etwas tun?
Quellen: