Contao: Kritische Lücke über Kommentare, auch Contao 4.13 betroffen

Am 25. August 2026 hat Contao elf Sicherheitslücken geschlossen. Die schwerste steckt in den Kommentaren. Contao stuft sie als kritisch ein, mit 9,3 von 10 Punkten.

Das Wichtigste in Kürze

• Jeder Besucher kann über einen Kommentar Code einschleusen, der im Backend läuft, sobald jemand aus deinem Team die Kommentare öffnet.
• Damit kann ein Angreifer laut Contao einen neuen Admin anlegen und über Templates eigenen Code auf dem Server ausführen.
• Sicher sind Contao 5.3.50 und 5.7.12.
• Contao 4.13 ist betroffen und bekommt kein Update mehr. Der Support endete im Februar 2026.

Was ist passiert?

Kommentare auf deiner Website werden im Backend angezeigt, damit du sie prüfen und freigeben kannst. Ein Angreifer schreibt in einen Kommentar Code statt Text. Öffnet jemand aus deinem Team die Kommentare im Backend, läuft dieser Code mit dessen Rechten. Fachleute nennen das Cross-Site Scripting.

Contao schreibt dazu: Jeder im Internet kann so Code ins Backend bringen, etwa um einen neuen Administrator anzulegen oder ein Template zu ändern. Von dort führt ein bekannter Weg zur Ausführung von Code auf dem Server. Und: Die Moderation hilft nicht, sie sorgt erst dafür, dass jemand den Kommentar öffnet.

Von Angriffen schreibt Contao bisher nichts.

Bist du betroffen?

Ja, wenn deine Website die Kommentarfunktion von Contao nutzt und auf einer dieser Versionen läuft:

• Contao 4.0 bis 4.13, also auch die letzte Version 4.13.58
• Contao 5.0 bis 5.3.49
• Contao 5.4 bis 5.7.11

Die Version siehst du im Contao Manager.

Am selben Tag hat Contao weitere Lücken geschlossen. Darunter eine, über die Backend-Nutzer mit Zugriff auf die Benutzerverwaltung sich selbst zum Admin machen können (hoch, CVE-2026-104883), und eine, über die Besucher Bilddateien außerhalb des Dateiordners lesen können (mittel, CVE-2026-107844).

Was du jetzt tun solltest

1. Contao 5.3 oder 5.7: auf 5.3.50 oder 5.7.12 aktualisieren, besser gleich auf die neueste Version.
2. Contao 4.13: Es gibt kein Update. Der Weg ist das Update auf Contao 5.7 LTS, das bis Februar 2030 Updates bekommt. Mehr dazu in Contao 4.13 ist am Ende.
3. Bis dahin: Wenn du die Kommentare nicht brauchst, schalte sie ab. Öffne im Backend keine neuen Kommentare, bis das Update drauf ist.
4. Nach Spuren suchen: Gibt es Backend-Nutzer oder geänderte Templates, die niemand aus deinem Team angelegt hat? Dann behandle die Website als gehackt.

Prüf dabei auch die PHP-Version. Seit dem 21. Oktober ist PHP2Shell bekannt, eine kritische Lücke in PHP selbst.

Quellen

• Contao: GHSA-628f-v4f6-p37r, Kommentare, 25. August 2026
• Contao: GHSA-r9qp-pqx5-8369 und GHSA-mrvp-7wmx-5m4h
• Contao: Security updates on August 25, 2026
• Contao: Security Advisories