Was passiert eigentlich bei einer Sicherheitslücke in Contao

Alles beginnt für dich mit dem Blog-Beitrag auf contao.org und der Ankündigung der Sicherheitsupdates für den 11. November 2026.

Damit der ganze Prozess ins Rollen kommt, muss zunächst jemand eine kritische Sicherheitslücke melden. Dabei gibt es einiges zu beachten: Die Lücke sollte keinesfalls als öffentliches Issue gemeldet werden. Bis zur Bestätigung durch das Core-Team und der Veröffentlichung eines korrigierten Releases solltest du auch nicht öffentlich darüber berichten. Natürlich kommt es auch immer wieder vor, dass das Core-Team selbst (mit oder ohne KI) Sicherheitslücken entdeckt und direkt meldet.

Im nächsten Schritt versucht das Core-Team, den Fehler nachzustellen. Bestätigt sich der Verdacht auf eine Sicherheitslücke, wird das Advisory bestätigt und die Arbeit an einem Patch beginnt. Die KI beschleunigt zwar die Suche nach Sicherheitslücken, nicht aber zwangsläufig deren Behebung. Hinzu kommt, dass auch die Zahl der Fehlmeldungen steigt, die dennoch geprüft werden müssen. Gleichzeitig wird eine CVE-Kennung beantragt. An dieser Stelle kommt die oben erwähnte Sicherheitsmeldung ins Spiel und du erfährst von den bevorstehenden Sicherheitsupdates.

Sobald die Lücke durch einen Patch geschlossen ist, wird die meldende Person gebeten, den zugehörigen Patch-Pull-Request zu reviewen. Anschliessend wird der Fix für alle noch unterstützten Contao-Versionen bereitgestellt.

Am 11. November 2026 werden im Laufe des Vormittags die angekündigten Sicherheitsupdates veröffentlicht.

Nach der Veröffentlichung müssen teilweise noch die CVE-Nummern in den Sicherheitshinweisen ergänzt werden, da diese zum Zeitpunkt des Releases noch nicht vorlagen. Ausserdem müssen die Sicherheitslücken bei den zuständigen Stellen gemeldet werden, damit die Informationen schliesslich auch bei Packagist ankommen. So kann die API bei composer install beziehungsweise composer audit entsprechende Warnungen ausgeben. Auch externe Tools, die auf diese Informationen zugreifen (z. B. trakked), bekommen dadurch Wind von den Sicherheitslücken.

Was ich hier in wenigen Zeilen zusammengefasst habe, beschäftigt das Core-Team bereits mehrere Wochen im Voraus. Lösungen müssen gefunden, Patches entwickelt und getestet werden. Und wenn, wie im beschriebenen Fall, gleich mehrere Sicherheitslücken betroffen sind, steigt der Aufwand noch einmal deutlich.

Deshalb ein herzliches Dankeschön an unser fantastisches Core-Team: Martin, Leo, Lukas, David, Fritz, Andreas, Moritz, Yanick und Sebastian. Ihr sorgt dafür, dass Contao auch weiterhin ein wunderbares Stück Software bleibt!