Der Cloud-Dienstleister Cloudflare hat eine gravierende Sicherheitslücke in seinen Services 'Containers' und 'Sandboxes' geschlossen. Durch den Fehler war es Kunden mit einem kostenpflichtigen 'Workers Paid'-Account möglich, im Speicher verbliebene Datenstrukturen und Dateien anderer Mandanten auszulesen, sofern deren Workloads auf demselben physischen Host betrieben wurden.
Ursache der Schwachstelle war eine fehlerhafte Konfiguration im gemeinsam genutzten Speicher-Pool. Um Performance zu sparen, wurde das automatische Überschreiben wiederverwendeter 64-KiB-Speicherblöcke mit Nullen ausgelassen. Wenn neue Container angefordert und beschrieben wurden, verblieben ungültige oder alte Datenfragmente aus vorherigen Sitzungen im Speicher, welche anschließend gezielt ausgelesen werden konnten.
Der Sicherheitsforscher Oren Yomtov von Accomplish meldete den Fehler am 4. September 2026 über das Bug-Bounty-Programm HackerOne. Bei Tests stellte der Forscher fest, dass auf 18 von 24 untersuchten Container-Instanzen Dateisystem-Metadaten, SQLite-Datenbankseiten, Verzeichnisstrukturen sowie Chrome-Profile und Konfigurationsdateien rekonstruiert werden konnten.
Cloudflare reagierte umgehend, entfernte die fehlerhafte Speicher-Einstellung, löschte betroffene Festplatten-Abbilder sowie Caches und schloss die Behebung zum 19. September 2026 vollständig ab. Nach Analyse aller Systemprotokolle und Telemetriedaten gibt es laut Cloudflare keine Hinweise darauf, dass Kundendaten durch Unbefugte vor der Behebung missbräuchlich abgeflossen sind.