Contao-Sicherheitslücke in Kommentaren: Prüfe deine Website

Contao hat am 25. August 2026 die Sicherheitsmeldung CVE-2026-107845 veröffentlicht. Die Meldung betrifft das Kommentare-Bundle von Contao und ist vor allem dann relevant, wenn Besucher auf deiner Website Kommentare hinterlassen können. Das kann beispielsweise bei Vereinsseiten, touristischen Angeboten, lokalen Informationsportalen oder redaktionell gepflegten Websites der Fall sein.

Was ist passiert?

Laut Contao konnten nicht angemeldete Nutzer Code in Kommentare im Frontend einschleusen. Dieser Code wird anschließend im Backend ausgeführt. Betroffen ist damit nicht pauschal jede Contao-Website, sondern insbesondere eine Installation, die das Kommentare-Bundle nutzt und eine betroffene Version einsetzt.

Das Frontend ist der öffentlich sichtbare Bereich deiner Website. Das Backend ist der geschützte Verwaltungsbereich, in dem du Inhalte und Einstellungen pflegst. Kommentare aus dem Frontend sollten deshalb nicht ungeprüft zu einer Ausführung von Code im Backend führen können.

Welche Contao-Versionen sind genannt?

Contao nennt unter anderem folgende betroffene Versionsstände:

• Contao 5.3 bis einschließlich 5.3.49
• Contao 5.7 bis einschließlich 5.7.11

Als korrigierte Versionen empfiehlt Contao Updates auf 5.3.50 beziehungsweise 5.7.12.

Was du jetzt praktisch prüfen solltest

Für dich als Betreiber einer Website im Harz oder in der Region sind vor allem drei Fragen wichtig:

• Nutzt deine Website eine Kommentarfunktion? Prüfe, ob Besucher Beiträge, Artikel oder andere Inhalte kommentieren können.
• Welche Contao-Version läuft? Stelle fest, ob deine Installation in einem von Contao genannten Versionsbereich liegt.
• Ist ein Update möglich? Wenn deine Website betroffen ist, solltest du das von Contao empfohlene Update einplanen.

Wenn ein Update nicht unmittelbar umgesetzt werden kann, nennt Contao das Abschalten von Kommentaren im Frontend als Übergangslösung. Damit lässt sich die Kommentarfunktion vorübergehend deaktivieren, bis die Aktualisierung erfolgt ist.

Besonders relevant für regionale Websites mit Austauschfunktion

Gerade kleinere Unternehmen, Vereine und touristische Anbieter setzen Kommentare ein, um Rückmeldungen und Austausch auf ihrer Website zu ermöglichen. Das ist sinnvoll, sollte aber technisch aktuell gehalten werden. Entscheidend ist eine gezielte Prüfung: Wenn deine Website keine Kommentare nutzt, ist diese konkrete Meldung nicht automatisch ein Anlass zur Sorge. Nutzt du die Funktion, lohnt sich ein zeitnaher Blick auf Version und Update-Stand.

Fazit

Prüfe, ob auf deiner Contao-Website Kommentare aktiviert sind und welche Contao-Version eingesetzt wird. Bei einer betroffenen Version empfiehlt Contao das Update auf 5.3.50 oder 5.7.12. Bis zur Aktualisierung kann das vorübergehende Abschalten der Kommentare im Frontend eine sinnvolle Übergangslösung sein. Wenn du bei der Einordnung deiner Website Unterstützung brauchst, kann die Internetschmiede Harz prüfen, ob Kommentare genutzt werden und welcher Aktualisierungsbedarf besteht.