Éclair 1.10.4: zweites Sicherheitsaudit, sechs Schwachstellen behoben
Von Thierry Gustin
Veröffentlicht am
Aktualisiert am
5 Min. Lesezeit
Inhalt
- Was ändert sich mit Éclair 1.10.4?
- Warum ein zweites Audit direkt nach 1.10.3?
- Was hat das zweite Sicherheitsaudit gefunden?
- Warum ist von einem Teildurchlauf die Rede?
- Was tust du nach dem Update auf 1.10.4?
- Wie wechselst du auf Éclair 1.10.4?
- Wo liest du den vollständigen Sicherheitsbericht?
- Häufige Fragen zu Éclair 1.10.4
Éclair 1.10.4, erschienen am 4. November 2026, behebt die sechs Schwachstellen eines zweiten Sicherheitsaudits: eine hohe, aber im Release-Werkzeug des Maintainers und nie in deiner Website, eine mittlere rund um Google Drive und vier niedrige. Keine ist kritisch. Der vollständige Bericht auf Englisch ist online: Lies den Sicherheitsbericht (PDF, 18 Seiten).
Was ändert sich mit Éclair 1.10.4?
| Punkt | Das Wichtigste |
|---|---|
| Geprüfter Code | Der Code von 1.10.3, mit einer gründlicheren Methode geprüft (Profil deep) |
| Bestätigte Schwachstellen | 6: 1 hohe (Release-Werkzeug), 1 mittlere (Google Drive), 4 niedrige |
| Offene Spuren | 6 vom Hoster abhängige Spuren, im Code vorsorglich behoben |
| Korrekturen | 13, jede mit einem Test, der prüft, dass der Fehler nicht zurückkommt |
| Prüfungen | 964 automatische Prüfungen, am Code und am signierten Archiv |
| Archiv | 621 KB, signiertes Update (Ed25519), vor jeder Änderung geprüft |
| Was du tun musst | Nach einem Backup aktualisieren, dann Google Drive neu verbinden, falls verlangt |
Deine öffentliche Website ändert sich um kein einziges Byte, und deine Inhalte bleiben, wo sie sind. Am Vortag hat 1.10.3 die 15 Schwachstellen des ersten Audits behoben: Lies den Artikel über Éclair 1.10.3.
Warum ein zweites Audit direkt nach 1.10.3?
Eine Sicherheitskorrektur muss man überprüfen. Das zweite Audit hat deshalb jede Schwachstelle und jede Spur des ersten erneut aufgegriffen, am geänderten Code, mit neuen Agenten. Ergebnis: Die Korrekturen von 1.10.3 haben gehalten.
Es hat auch weiter gesucht. Das Profil deep der Methode security-audit von Cloudflare ergänzt die Momente im Leben einer Website: direkt nach einem Update, nach dem Wiederherstellen eines Backups, bei einer Rückkehr zur vorherigen Version oder einer Neuinstallation. Mehrere der neuen Schwachstellen stammen genau aus diesen Momenten.
Wie das erste lief auch dieses Audit über das Lesen des Quellcodes und lokale Tests, in einer vom Betriebssystem abgeschotteten Sandbox, mit Testdaten, ohne Netzwerkzugang und ohne eine Live-Website zu berühren. Es kamen 54 Agenten zum Einsatz; mit dem ersten Audit und den Korrekturen sind es insgesamt 148 Agenten.
Was hat das zweite Sicherheitsaudit gefunden?
Das zweite Audit hat 13 verschiedene Kandidaten untersucht. Sechs wurden bestätigt:
- Eine hohe, im Release-Werkzeug: Der Befehl, mit dem der Maintainer eine Version neu signiert, konnte ein Archiv signieren, das jemand ohne Schlüssel ausgetauscht hatte. Er signiert jetzt nur noch ein Archiv, das für diese Version bereits signiert war. Dieser Fehler betrifft keine installierte Website.
- Eine mittlere, Google Drive: Eine Verbindung, die vor 1.10.3 eingerichtet wurde, verriet nicht, welcher Administrator sie hergestellt hatte. Ein gelöschter oder herabgestufter Administrator hätte so weiter Backups erhalten können. Diese Verbindungen werden jetzt entfernt.
- Vier niedrige: Ein wiederhergestelltes Backup belebt keine Sitzungen mehr, die mit Alle abmelden beendet wurden; das Zurückziehen eines Inhalts leert den Cache, auch wenn ein späterer Schreibvorgang scheitert; Zur vorherigen Version zurückkehren behält eine seit dem Update geänderte
.htaccess; der Neuaufbau des Index veröffentlicht keinen gelöschten Inhalt mehr, er kommt als Entwurf zurück.
Die sechs übrigen Spuren hängen vom Hoster, vom Browser oder von der Abrechnung eines externen Dienstes ab. Offline lassen sie sich nicht beobachten, daher sind sie vorsorglich behoben, ebenso ein letzter Kandidat zu reservierten Weiterleitungen, den die Prüfung nicht klären konnte. Der Bericht beschreibt jedes Problem und seine Korrektur, ohne jedes Detail zur Ausnutzung.
Warum ist von einem Teildurchlauf die Rede?
Weil es einer ist, und der Bericht sagt das klar und deutlich. Dieses zweite Audit wurde bewusst verkürzt, um die Kosten zu begrenzen:
- 6 Bereiche von 71 wurden zurückgestellt und nie untersucht, etwa gespeicherte Backup-Archive oder die Kontingente des MCP-Connectors;
- keine abschließende Prüfung der Abdeckung fand statt;
- die Korrekturen von 1.10.4 sind durch Tests abgesichert, wurden aber selbst noch nicht auditiert.
Der Bericht behauptet also nicht, dass 1.10.3 oder 1.10.4 vollständig abgedeckt wurden. Er empfiehlt, das Audit für diese Bereiche fortzusetzen und danach 1.10.4 zu auditieren. Das Wichtigste: keine kritische Schwachstelle in beiden Audits, und alle bestätigten Schwachstellen sind behoben.
Was tust du nach dem Update auf 1.10.4?
Meistens nichts. Nur ein Fall verlangt einen Handgriff: Hast du Google Drive vor 1.10.3 verbunden, wird die Verbindung entfernt, und die Seite Sicherheit weist dich darauf hin.
- Öffne Sicherheit › Backups auf Google Drive.
- Klicke auf Google Drive verbinden und gib den angezeigten Code auf google.com/device ein.
- Prüfe den Rhythmus deiner Backups und klicke auf Speichern.
Bereits gesendete Backups bleiben in deinem Drive. Weitere Änderungen, die du kennen solltest:
- KI-Bilder, die der Filter des Anbieters ablehnt (FLUX, Ideogram), zählen jetzt zu deinem monatlichen KI-Budget, wie jedes abgerechnete Bild.
- Verschwindet
data/site.php, bleibt der Installer gesperrt, bis dudata/install-window.phpper FTP löschst. Eine Neuinstallation behält deine Konten, Schlüssel und Inhalte. - Deine Datendateien und Backup-Archive werden von Anfang an privat angelegt.
Wie wechselst du auf Éclair 1.10.4?
Ab 1.10.0 genügt ein Klick:
- Klicke unter Sicherheit › Backup auf Backup herunterladen.
- Öffne Adminbereich › Updates.
- Setze das Häkchen bei „Ich habe ein aktuelles Backup meiner Website“ und klicke auf Auf … aktualisieren.
Das Update ist signiert und wird vor der kleinsten Änderung geprüft, mit automatischer Rückkehr bei einem Problem. Die heute angebotene Version enthält alle diese Korrekturen.
Ab 1.9 oder älter führt der Weg ein letztes Mal über FTP: Das Archiv wartet auf der Seite Herunterladen, und der Leitfaden Aktualisieren, sichern, umziehen erklärt jeden Schritt. Alle Versionen stehen im Änderungsprotokoll, die Schutzmaßnahmen in die Sicherheit von Éclair.
Wo liest du den vollständigen Sicherheitsbericht?
Der Bericht umfasst beide Audits und die Versionen 1.10.3 und 1.10.4. Er ist auf Englisch, als PDF, 18 Seiten lang. Du findest darin die Methode, die Sandbox, jede Schwachstelle mit ihrer Korrektur, die als solide bewerteten Schutzmaßnahmen und die Grenzen der Übung.
Sicherheitsbericht herunterladen (PDF auf Englisch, 18 Seiten)
Eine Frage zum Bericht oder ein Zweifel zu deinem Hoster? Schreib mir über die Kontaktseite.
Häufige Fragen zu Éclair 1.10.4
War meine Website von der hohen Schwachstelle betroffen?
Nein. Sie betraf das Werkzeug, mit dem der Maintainer Versionen baut und signiert, nie eine installierte Website. Deine Updates bleiben signiert und werden vor der kleinsten Änderung geprüft.
Muss ich Google Drive neu verbinden?
Nur wenn deine Verbindung aus der Zeit vor 1.10.3 stammt. Dann weist dich die Seite Sicherheit darauf hin: Klicke auf Google Drive verbinden und gib den Code auf google.com/device ein. Deine älteren Backups bleiben in deinem Drive.
Hat das zweite Audit alles geprüft?
Nein, und der Bericht sagt das: Es ist ein Teildurchlauf. Sechs Bereiche wurden nicht untersucht, und die Korrekturen von 1.10.4 sind noch nicht auditiert. Keines der beiden Audits hat eine kritische Schwachstelle gefunden.
Warum ist der Bericht auf Englisch?
Das ist die Sprache des offiziellen Änderungsprotokolls und des Codes von Éclair. Der Bericht beschreibt jedes Problem und seine Korrektur, ohne Details zur Ausnutzung, und dieser Artikel fasst das Wesentliche zusammen.
Was kostet das Update auf 1.10.4?
Nichts: Éclair bleibt kostenlos, unter der Lizenz AGPL-3.0. Einzige Änderung beim Budget: Vom Anbieter abgelehnte KI-Bilder zählen jetzt zu deinem monatlichen Budget.
Auch lesenswert
Von WordPress zu Éclair CMS migrieren, ohne eine Adresse zu verlieren
Von WordPress zu Éclair migrieren mit Eclair Export: Inhalte, Bilder, SEO, Menüs und Weiterleitungen, erst eine Simulation, dann ein Bericht für deinen Kunden.
Éclair 2.3 und Eclair Export 1.1: der einfache Umzug von WordPress
Éclair 2.3 und Eclair Export 1.1 ziehen eine WordPress-Website in einer Übertragung um: ein Schlüssel, ein Klick, ohne Download und FTP. Schemas und Anleitung.
Eine Website von A bis Z mit dem Éclair CMS KI-Agenten erstellen
Die komplette Anleitung für eine Profi-Website mit dem Éclair CMS KI-Agenten: jede Etappe, die beseitigten Hürden, Screenshots und der Download-Link.