Noch ein kurzer Nachtrag von dieser Woche zu einem Thema, auf das mich ein Blog-Leser per E-Mail zum 17. September 2026 hingewiesen hat. Der Anbieter CrowdSec bestätigt, dass er gehackt wurde. Dabei ist der Quellcode von Produkten abgezogen worden. Kunden wurden zum 16. September 2026 per E-Mail informiert.
CrowdSec ist ein Community-getriebenes IPS (Intrusion Prevention System), das dazu dient, Computer und Netzwerke vor Cyberangriffen zu schützen. Die Open-Source-Lösung ermöglicht Verhaltensweisen zu analysieren, auf Angriffe zu reagieren und Signale in der Community zu teilen. CrowdSec Threat Intelligence bietet Informationen über IP-Adressen und die Überprüfung oder Identifizierung potenziell aggressiver IP-Adressen. Die Open-Source-Software CrowdSec kann anhand von Logdateien böswillige IP-Adressen erkennen und blockieren.
CrowdSec informiert über Source Code Leak
Blog-Leser Christof P. hatte mich zum 17. September 2026 per E-Mail darauf hingewiesen, dass "der bekannte Anbieter CrowdSec eine Mail an registrierte User über einen Source Code Leak versendet" habe. Die CrowsSec-Erklärung findet sich hier.
Am 16. September wurde CrowdSec über eine Offenlegung von Quellcode in seinem GitHub-Repository informiert. Der Vorfall hat sich bereits im Mai 2026 ereignet. Darauf hat das CrowdSec-Team den Bericht über ein Source Code Leak überprüft und fand den Vorfall bestätigt.
Bei Open Source fragt man sich spontan: "Wo ist das Problem, der Quellcode ist doch eh öffentlich". Zum Hintergrund muss man wissen, dass der Quellcode von CrowdSec aus zwei Teilen besteht: Einem privaten Teil und einem weiteren Teil, der die freie Open-Source-Software (d. h. die Security Engine) hostet. Diese Open Source-Teile sind von Natur aus öffentlich und daher nicht von dieser Angelegenheit betroffen ist.
Der private Teil von CrowdSec enthält jedoch den Quellcode für die SaaS-Konsole, einige AWS-Cloud-Routinen, einige Konnektoren und Automatisierungen. Die Software-Lösung umfasst 300 verschiedenen Repositorys (wenn man die über 130 öffentlichen mit einbezieht).
Laut CrowdSec wurde der gesamte Code in diesen Repositorys veröffentlicht. Weiterhin sind wohl API-bezogenen Informationen abgeflossen. Bei den API-bezogenen Informationen handelt es sich um das Token, das von der CI/CD-Komponente selbst verwendet wird.
Der in diesen privaten Repositorys enthaltene Code habe zwar einen gewissen Wert, heißt es. Die Einschätzung ist aber, dass das Source Code-Leak CrowdSec jedoch nicht wirklich schaden kann. Denn die CrowsSec-Effizienz hängt vom Netzwerkeffekt und der Größe des Anbieters ab. Beides lässt sich durch Code allein nicht nachbilden, zeigt sich der Anbieter überzeugt.
Die Spezialisten haben den SaaS-Quellcode regelmäßig geprüft, und auch dessen Offenlegung sollte keine unmittelbare Bedrohung darstellen, heißt es in der Mitteilung. Der Großteil des offengelegten Codes habe sich in diesen vier Monaten seit dem Abfluss des Quellcodes erheblich weiterentwickelt. Zudem erscheint eine Nutzung außerhalb von CrowdSec unwahrscheinlich, da der Code ausschließlich mit den CrowdSec-Daten und -Tools interagiert und in einem anderen Kontext nicht wirklich genutzt werden kann.
Das Team will aber weiterhin aufmerksam auf ungewöhnliche Aktivitäten achten. Es wurden keine Kundendaten, Anmeldedaten/Passwörter, Namen, Organisationsangaben oder sonstige Informationen offengelegt, heißt es. CrowdSec speichert zudem weder personenbezogene Daten noch Kundenprotokolle. Die Auswirkungen des Leaks beschränken sich auf CrowdSec. Das Team habe umgehend nach Tokens, Anmeldedaten oder sensiblen Informationen gesucht, die eine laterale Bewegung ermöglichen könnten, heißt es. Es wurde aber bisher nichts gefunden. CrowdSec hat vorsorglich alle erforderlichen Tokens und Anmeldedaten ausgetauscht, um weitere Vorfälle zu verhindern.
Der Abfluss der Repositories geht mutmaßlich auf den TanStack-Hack als Angriffsvektor zurück. Ich hatte im Blog-Beitrag euer Shai-Hulud Lieferkettenangriff auf npm tanstack-Pakete; CheckMarx Jenkins-Paket infiziert – Teil 1 berichtet. Ein Artikel über einen tanstack-Angriff auf Mistral AI ist hier zu finden. Diese Komponente wurde im Mai 2026 eingesetzt und scheint mit einer Hintertür versehen worden zu sein, um einen API-Schlüssel mit Berechtigung zum Lesen der privaten Codebasis zu entwenden. Die Sicherheitslücke war nur während eines kurzen Zeitraums im Mai 2026 ausnutzbar.
Inhalt der Mitteilung
Hello,
On September 16, CrowdSec was informed of a source code leak involving our GitHub repository, which occurred in May 2026. Our team verified and confirmed the report. CrowdSec source code consists of two parts: a private one and another that hosts our Free Open Source Software (i.e., the Security Engine), which is public by design and therefore out of scope. The private part, though, contains the source code for our SaaS console, some AWS Cloud routines, some connectors, and automations.
The news headline claiming 300 different repositories is accurate (when you include the 130+ public ones), though that number mostly reflects the code's subdivision rather than a specific volume. We do not confirm any "other file contained" or "internal development material", since all the code is published in these repositories. The API related information is the token used by the CI/CD component itself. (see below)
No client data, login/password, name, organization, or anything else was leaked, and CrowdSec doesn't store PII or client logs; the impact is limited to CrowdSec. Our team quickly hunted for any token, credential, or sensitive leak that could enable lateral movement but found none so far.
The code contained in these private repositories has value but cannot really harm CrowdSec, since our efficiency depends on our network effect and size, which code alone can't replicate. We regularly audited the SaaS source code, and its leakage shouldn't pose an immediate threat either. Most of the leaked code has evolved significantly over those four months, but we will closely monitor for any abnormal activity. Also, using it outside of CrowdSec seems unlikely because it only interacts with our data and tools and cannot really be leveraged in another context.
We will keep you updated as we continue investigating, but the TanStack compromise is very likely to have been the leak vector (more about it here), as in the case of the Mistral AI case. This component was used in our organization in May and appears to have been backdoored to extract an API key with authorization to read the private codebase. The leak was only exploitable during a short timeframe in May 2026.
We nevertheless immediately rotated all required tokens & credentials to prevent further incidents.
The team would like to thank Fuites Infos for their timely, professional outreach in reporting the issue.
If you have any questions or concerns, please contact us through our Discord channel or at support@crowdsec.net.
Thank you for your continued trust,
The CrowdSec Team
MVP: 2013 – 2016
