Contao schliesst sechs Lücken, 6.0 wartet noch

Sechs Hinweise, zwei Patch-Versionen

Die Fixes liegen in Contao 5.3.50 und 5.7.12. Beides sind Patch-Updates innerhalb der jeweiligen Minor-Linie und damit vergleichsweise unkritisch einzuspielen. Die Bandbreite der betroffenen Versionen ist grösser als bei den meisten früheren Wellen. Zwei der Lücken reichen zurück bis Contao 4.0.

Die schwerwiegendste ist eine Rechteausweitung im Backend. Reguläre Benutzer mit Zugriff auf das Benutzermodul können sich selbst Berechtigungen zuweisen, die sie faktisch zu Administratoren machen. Betroffen sind 5.0 bis 5.2, 5.3 bis 5.3.49, 5.4 bis 5.6 sowie 5.7 bis 5.7.11.

Ohne jeden Account ausnutzbar ist dagegen das Cross-Site-Scripting im Kommentar-Bundle. Der Code wird über Frontend-Kommentare eingeschleust und später im Backend ausgeführt. Dazu kommen ein XSS in den Frontend-Suchergebnissen, unzureichende Zugriffskontrollen im CSV-Import-Wizard und im Vorschau-Links-Modul sowie ein Datenschutzthema rund um den Suchindex. Bleibt der Index nach dem Deaktivieren der Indizierung geschützter Seiten stehen, tauchen geschützte Treffer weiter in der Frontend-Suche auf. CVE-Nummern und CVSS-Werte fehlen bislang, auf den Hinweisseiten steht ein Platzhalter. Eine öffentliche Ausnutzung ist für keine der sechs Lücken belegt.

Die kritischste Lücke ist eine Frage der Konfiguration

Die Rechteausweitung greift nur dort, wo normale Redaktionsaccounts Zugriff auf die Benutzer- und Benutzergruppenmodule haben. In gewachsenen Agenturprojekten ist genau das oft so eingerichtet, weil der Kunde seine Redakteure selbst anlegen wollte. Prüfen Sie diese Berechtigung auch nach dem Update und entziehen Sie sie, wo sie nicht gebraucht wird.

Beim Suchindex reicht das Update allein nicht. Der Index muss geleert und neu aufgebaut werden, sonst bleiben die alten Treffer sichtbar. Betroffen sind Mitgliederbereiche, interne Dokumente und Preislisten hinter Zugriffsschutz.

Instanzen auf Contao 4.13 und 5.6 bekommen seit dem 18. Februar 2026 keine Updates mehr. Diese Lücken bleiben dort offen. Behandeln Sie solche Systeme als dauerhaft ungepatcht und setzen Sie ein Datum für den Umstieg auf 5.7 in die Planung.

Contao 6.0 ist verfügbar, aber keine Basis für Produktion

Am 26. August 2026 erschien Contao 6.0.0. Es verlangt PHP 8.4 und läuft mit Symfony 7.4 und 8. Inhaltlich steht die Umstellung von Input- auf Output-Encoding im Zentrum, dazu der Abschluss der Twig-Umstellung. Sichtbare neue Funktionen bringt die Version nach Angaben des Core-Teams kaum.

Als Zwischenversion hat 6.0 nur rund ein halbes Jahr Support. Gleichzeitig ist die Encoding-Umstellung genau die Art Änderung, die eigene Templates und ältere Extensions bricht. Für produktive Kundenprojekte bleibt 5.7 LTS die Wahl, sie ist mit Sicherheitsupdates bis 14. Februar 2030 versorgt. Contao 5.3 erhält Bugfixes bis 14. Februar 2027 und Sicherheitsupdates bis 14. Februar 2028, es besteht also kein Notfalldruck.

Sinnvoll ist ein Testsystem mit 6.0. Dort zeigt sich, welche Extensions und Templates unter Output-Encoding stolpern. Der Umstieg auf die nächste LTS 6.3, geplant für Februar 2028, wird damit planbar.

Was das für Ihre Installationen heisst

Ein Update ist fällig, unabhängig von der Grösse des Projekts. Wichtig ist die Reihenfolge, weil zwei der Massnahmen über das reine Einspielen hinausgehen. Gegenüber Kunden lässt sich das als geplante Sammelbehebung mit zeitnaher Umsetzung einordnen.

Beim Hosting sollten Sie vorausdenken. Contao 5.7 verlangt PHP 8.3, Contao 6.0 verlangt PHP 8.4. Bei Shared Hosting mit fixem PHP-Stand klärt man das vor dem Major-Upgrade. Für lokale Entwicklungsumgebungen auf dem Mac gilt dasselbe, ohne PHP 8.4 in Homebrew, DDEV oder Herd lässt sich ein 6.0-Projekt nicht aufsetzen.

• Inventar aller betreuten Instanzen mit exakter Patch-Version erstellen.

• 5.7.x auf 5.7.12 aktualisieren, 5.3.x auf 5.3.50.

• Bei allen Sites mit geschützten Seiten den Suchindex leeren und neu crawlen.

• Zugriff auf Benutzer- und Benutzergruppenmodule für reguläre Redaktionsaccounts entziehen.

• Frontend-Kommentare dort abschalten, wo sie ohnehin niemand nutzt.

• Neuprojekte auf 5.7 LTS aufsetzen, Hosting aber schon PHP-8.4-fähig einkaufen.