Ghostty 1.4 schließt zehn Lücken und spart Speicher

Die Ghostty-Entwickler haben am 27. Oktober 2026 Version 1.4.0 des Terminal-Emulators veröffentlicht. Das Update schließt zehn Sicherheitslücken in der Anwendung, darunter einen Fehler im Paste-Schutz und mehrere Schwachstellen in der Kitty-Grafikverarbeitung. Dazu kommen deutlich geringerer Speicherbedarf, mehr Tempo, eine vollständige Umsetzung des Kitty-Grafikprotokolls und eine überarbeitete SSH-Integration.

Betroffen sind alle Ghostty-Installationen bis einschließlich 1.3.1 unter macOS und Linux. Mehrere Lücken lassen sich schon durch das bloße Anzeigen präparierter Ausgaben auslösen. Für Admin- und Entwicklerarbeitsplätze, auf denen Ghostty läuft, sollte das Update daher zeitnah im normalen Patchzyklus eingeplant werden. Ein Notfall ist es nicht, aktive Angriffe sind nicht bekannt.

Was ist passiert?

Ghostty 1.4.0 ist laut Release Notes das Ergebnis von sieben Monaten Arbeit mit 2.889 Commits von 172 Mitwirkenden. Zeitgleich mit dem Release veröffentlichte das Projekt auf GitHub die zugehörigen Sicherheitshinweise. CVE-Nummern fehlen noch: Der Maintainer schreibt, er habe sie vor Wochen beantragt, GitHub habe sie aber noch nicht vergeben.

Zwei Hinweise sind für die meisten Nutzer am wichtigsten. GHSA-4hwh-wx3w-3fqg (CVSS 5.0): Der Paste-Schutz behandelte einen Wagenrücklauf nicht als Zeilenende. Eingefügter Text mit unsichtbarem Carriage Return konnte so einen Befehl ohne Bestätigung ausführen. Interaktive Bash-, Zsh- und Fish-Sitzungen nutzen Bracketed Paste und sind nicht betroffen, wohl aber Programme im kanonischen Eingabemodus wie sh, read oder Passwortabfragen von sudo und ssh. Ein Angriff setzt voraus, dass jemand präparierten Text kopiert und einfügt.

GHSA-mhff-mv4q-fp63 fasst mehrere Fehler im Kitty-Grafikprotokoll zusammen. Bösartige Grafikbefehle konnten Ghostty zum Absturz bringen, hängen lassen, riesige Speicheranforderungen auslösen und auf Unix-Systemen in begrenzten Fällen Dateien außerhalb der erlaubten temporären Verzeichnisse lesen oder löschen. Ursache war unter anderem ein reiner Präfixvergleich, der etwa /tmpX wie /tmp behandelte. Dafür reicht es, die Ausgabe eines bösartigen Programms, einer präparierten Datei oder eines fremden Remote-Hosts anzuzeigen.

Weitere Hinweise betreffen Abstürze über den tmux-Steuermodus, Speicherfehler beim Löschen des Bildschirms mit sehr kleinem Scrollback-Limit, Escape-Sequenzen über präparierte Verzeichnisnamen in der zsh-Integration sowie unter macOS präparierte Links, Drag and Drop und Dateinamen mit Steuerzeichen, die zur Ausführung von Befehlen führen konnten. Die höchste vergebene CVSS-Wertung liegt bei 6.5.

Für wen ist das relevant?

Für alle, die Ghostty einsetzen, vor allem auf Rechnern, von denen aus per SSH Server verwaltet oder fremde Repositories bearbeitet werden. Gerade dort landen häufig Ausgaben aus nicht vertrauenswürdigen Quellen im Terminal. Die macOS-spezifischen Lücken betreffen nur die Mac-Version.

Was bringt die Version sonst?

Ghostty komprimiert nicht sichtbaren Scrollback im Leerlauf und spart damit laut Projekt 70 bis 90 Prozent physischen Speicher. Das Standardlimit steigt deshalb von 10 auf 50 MB pro Terminal. Der Parser verarbeitet reinen ASCII-Text nun mit 725 statt 128 MB/s. Unter Linux und FreeBSD rendert eine neue Pipeline per EGL auf eigenem Thread, was Tearing reduziert und Text bei gebrochener Skalierung wie 125 oder 150 Prozent scharf darstellt. Das Kitty-Grafikprotokoll ist mit Animationen und relativen Platzierungen vollständig umgesetzt. Neu ist der Befehl ghostty +ssh, ein Wrapper um ssh, der vor dem Verbinden die Terminfo von Ghostty auf dem Zielsystem installiert und einige Umgebungsvariablen weiterreicht. Schlägt die Installation fehl, fällt er auf xterm-256color zurück.

Was sollten Admins jetzt tun?

• Version prüfen: Mit ghostty --version oder über die Softwareinventur ermitteln, wo Ghostty bis 1.3.1 installiert ist.
• Auf 1.4.0 aktualisieren und bei Paketen aus Distributionsquellen prüfen, ob die neue Version dort bereits verfügbar ist.
• Bis zum Update keine Ausgaben aus nicht vertrauenswürdigen Programmen oder Hosts in Ghostty anzeigen und kopierte Befehle vor dem Einfügen in Passwortabfragen kritisch prüfen.
• Die Breaking Changes lesen: copy-on-select wurde umgebaut, unter macOS ist der Standard jetzt none.
• Vor einem Alias ssh='ghostty +ssh --' klären, ob die automatische Terminfo-Installation auf verwalteten Servern erwünscht ist.

Einordnung für Unternehmen

Terminal-Emulatoren werden selten zentral verwaltet, verarbeiten aber laufend Daten aus Netzwerken und fremden Quellen. Die Ghostty-Hinweise zeigen, dass schon die Darstellung von Ausgaben ein Angriffsweg sein kann. Unternehmen sollten Terminals wie Browser behandeln: inventarisieren, in die Patchverwaltung aufnehmen und Versionen regelmäßig abgleichen.

Passende Anleitungen auf S-EDV

• SSH-Key-Authentifizierung für Linux-Server einrichten
• macOS gegen ClickFix: Terminal-Warnung und Bypass-Trick
• Linux-Server absichern mit UFW und Fail2ban

Quellen

• Ghostty: Release Notes 1.4.0 (27.10.2026)
• GitHub Advisory GHSA-4hwh-wx3w-3fqg: Carriage returns in pasted text bypass paste protection
• GitHub Advisory GHSA-mhff-mv4q-fp63: Kitty graphics protocol: DoS, integer overflows, resource leaks
• Linuxiac: Ghostty 1.4 Terminal Emulator Cuts Memory Usage, Boosts Performance