---
title: "Éclair 1.10.4: zweites Sicherheitsaudit, sechs Schwachstellen behoben"
description: "Éclair 1.10.4 behebt die 6 Schwachstellen des zweiten Sicherheitsaudits, eine hohe im Release-Werkzeug. Was sich ändert, was zu tun ist, der Bericht."
url: "https://eclaircms.org/blog/eclair-1-10-4-zweites-sicherheitsaudit"
lang: "de"
author: "Thierry Gustin"
published: "2026-11-04"
updated: "2026-11-10"
---

# Éclair 1.10.4: zweites Sicherheitsaudit, sechs Schwachstellen behoben

> **Das Wichtigste** — Die am 4. November 2026 erschienene Version 1.10.4 von Éclair behebt die sechs Schwachstellen, die ein zweites Audit des Codes von 1.10.3 gefunden hat: eine hohe im Werkzeug, das die Versionen baut, nie in einer installierten Website, eine mittlere rund um Google Drive und vier niedrige, dazu sechs Härtungen. Dieses Audit ist ein Teildurchlauf, und der Bericht sagt das. Update mit einem Klick ab 1.10.0, nach einem Backup.

Éclair 1.10.4, erschienen am 4. November 2026, behebt die sechs Schwachstellen eines zweiten Sicherheitsaudits: eine hohe, aber im Release-Werkzeug des Maintainers und nie in deiner Website, eine mittlere rund um Google Drive und vier niedrige. Keine ist kritisch. Der vollständige Bericht auf Englisch ist online: [Lies den Sicherheitsbericht (PDF, 18 Seiten)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf).

## Was ändert sich mit Éclair 1.10.4?

| Punkt | Das Wichtigste |
| --- | --- |
| Geprüfter Code | Der Code von 1.10.3, mit einer gründlicheren Methode geprüft (Profil *deep*) |
| Bestätigte Schwachstellen | 6: 1 hohe (Release-Werkzeug), 1 mittlere (Google Drive), 4 niedrige |
| Offene Spuren | 6 vom Hoster abhängige Spuren, im Code vorsorglich behoben |
| Korrekturen | 13, jede mit einem Test, der prüft, dass der Fehler nicht zurückkommt |
| Prüfungen | 964 automatische Prüfungen, am Code und am signierten Archiv |
| Archiv | 621 KB, signiertes Update (Ed25519), vor jeder Änderung geprüft |
| Was du tun musst | Nach einem Backup aktualisieren, dann Google Drive neu verbinden, falls verlangt |

Deine öffentliche Website ändert sich um kein einziges Byte, und deine Inhalte bleiben, wo sie sind. Am Vortag hat 1.10.3 die 15 Schwachstellen des ersten Audits behoben: [Lies den Artikel über Éclair 1.10.3](https://eclaircms.org/blog/eclair-1-10-3-sicherheitsaudit).

## Warum ein zweites Audit direkt nach 1.10.3?

Eine Sicherheitskorrektur muss man überprüfen. Das zweite Audit hat deshalb jede Schwachstelle und jede Spur des ersten erneut aufgegriffen, am geänderten Code, mit neuen Agenten. Ergebnis: Die Korrekturen von 1.10.3 haben gehalten.

Es hat auch weiter gesucht. Das Profil *deep* der [Methode *security-audit* von Cloudflare](https://github.com/cloudflare/security-audit-skill) ergänzt die Momente im Leben einer Website: direkt nach einem Update, nach dem Wiederherstellen eines Backups, bei einer Rückkehr zur vorherigen Version oder einer Neuinstallation. Mehrere der neuen Schwachstellen stammen genau aus diesen Momenten.

Wie das erste lief auch dieses Audit über das Lesen des Quellcodes und lokale Tests, in einer vom Betriebssystem abgeschotteten Sandbox, mit Testdaten, ohne Netzwerkzugang und ohne eine Live-Website zu berühren. Es kamen 54 Agenten zum Einsatz; mit dem ersten Audit und den Korrekturen sind es insgesamt 148 Agenten.

## Was hat das zweite Sicherheitsaudit gefunden?

Das zweite Audit hat 13 verschiedene Kandidaten untersucht. Sechs wurden bestätigt:

- **Eine hohe, im Release-Werkzeug**: Der Befehl, mit dem der Maintainer eine Version neu signiert, konnte ein Archiv signieren, das jemand ohne Schlüssel ausgetauscht hatte. Er signiert jetzt nur noch ein Archiv, das für diese Version bereits signiert war. Dieser Fehler betrifft keine installierte Website.
- **Eine mittlere, Google Drive**: Eine Verbindung, die vor 1.10.3 eingerichtet wurde, verriet nicht, welcher Administrator sie hergestellt hatte. Ein gelöschter oder herabgestufter Administrator hätte so weiter Backups erhalten können. Diese Verbindungen werden jetzt entfernt.
- **Vier niedrige**: Ein wiederhergestelltes Backup belebt keine Sitzungen mehr, die mit **Alle abmelden** beendet wurden; das Zurückziehen eines Inhalts leert den Cache, auch wenn ein späterer Schreibvorgang scheitert; **Zur vorherigen Version zurückkehren** behält eine seit dem Update geänderte `.htaccess`; der Neuaufbau des Index veröffentlicht keinen gelöschten Inhalt mehr, er kommt als Entwurf zurück.

Die sechs übrigen Spuren hängen vom Hoster, vom Browser oder von der Abrechnung eines externen Dienstes ab. Offline lassen sie sich nicht beobachten, daher sind sie vorsorglich behoben, ebenso ein letzter Kandidat zu reservierten Weiterleitungen, den die Prüfung nicht klären konnte. Der Bericht beschreibt jedes Problem und seine Korrektur, ohne jedes Detail zur Ausnutzung.

## Warum ist von einem Teildurchlauf die Rede?

Weil es einer ist, und der Bericht sagt das klar und deutlich. Dieses zweite Audit wurde bewusst verkürzt, um die Kosten zu begrenzen:

- **6 Bereiche** von 71 wurden zurückgestellt und nie untersucht, etwa gespeicherte Backup-Archive oder die Kontingente des MCP-Connectors;
- **keine abschließende Prüfung** der Abdeckung fand statt;
- **die Korrekturen von 1.10.4** sind durch Tests abgesichert, wurden aber selbst noch nicht auditiert.

Der Bericht behauptet also nicht, dass 1.10.3 oder 1.10.4 vollständig abgedeckt wurden. Er empfiehlt, das Audit für diese Bereiche fortzusetzen und danach 1.10.4 zu auditieren. Das Wichtigste: keine kritische Schwachstelle in beiden Audits, und alle bestätigten Schwachstellen sind behoben.

## Was tust du nach dem Update auf 1.10.4?

Meistens nichts. Nur ein Fall verlangt einen Handgriff: Hast du Google Drive vor 1.10.3 verbunden, wird die Verbindung entfernt, und die Seite **Sicherheit** weist dich darauf hin.

1. Öffne **Sicherheit › Backups auf Google Drive**.
2. Klicke auf **Google Drive verbinden** und gib den angezeigten Code auf **google.com/device** ein.
3. Prüfe den Rhythmus deiner Backups und klicke auf **Speichern**.

Bereits gesendete Backups bleiben in deinem Drive. Weitere Änderungen, die du kennen solltest:

- **KI-Bilder, die der Filter des Anbieters ablehnt** (FLUX, Ideogram), zählen jetzt zu deinem monatlichen KI-Budget, wie jedes abgerechnete Bild.
- **Verschwindet `data/site.php`**, bleibt der Installer gesperrt, bis du `data/install-window.php` per FTP löschst. Eine Neuinstallation behält deine Konten, Schlüssel und Inhalte.
- **Deine Datendateien** und Backup-Archive werden von Anfang an privat angelegt.

## Wie wechselst du auf Éclair 1.10.4?

Ab 1.10.0 genügt ein Klick:

1. Klicke unter **Sicherheit › Backup** auf **Backup herunterladen**.
2. Öffne **Adminbereich › Updates**.
3. Setze das Häkchen bei „Ich habe ein aktuelles Backup meiner Website“ und klicke auf **Auf … aktualisieren**.

Das Update ist signiert und wird vor der kleinsten Änderung geprüft, mit automatischer Rückkehr bei einem Problem. Die heute angebotene Version enthält alle diese Korrekturen.

Ab 1.9 oder älter führt der Weg ein letztes Mal über FTP: Das Archiv wartet auf der Seite [Herunterladen](https://eclaircms.org/de/herunterladen), und der Leitfaden [Aktualisieren, sichern, umziehen](https://eclaircms.org/de/dokumentation/updates) erklärt jeden Schritt. Alle Versionen stehen im [Änderungsprotokoll](https://eclaircms.org/de/changelog), die Schutzmaßnahmen in [die Sicherheit von Éclair](https://eclaircms.org/de/dokumentation/sicherheit).

## Wo liest du den vollständigen Sicherheitsbericht?

Der Bericht umfasst beide Audits und die Versionen 1.10.3 und 1.10.4. Er ist **auf Englisch**, als PDF, 18 Seiten lang. Du findest darin die Methode, die Sandbox, jede Schwachstelle mit ihrer Korrektur, die als solide bewerteten Schutzmaßnahmen und die Grenzen der Übung.

[Sicherheitsbericht herunterladen (PDF auf Englisch, 18 Seiten)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

Eine Frage zum Bericht oder ein Zweifel zu deinem Hoster? Schreib mir über die [Kontaktseite](https://eclaircms.org/de/kontakt).

## Häufige Fragen zu Éclair 1.10.4

### War meine Website von der hohen Schwachstelle betroffen?

Nein. Sie betraf das Werkzeug, mit dem der Maintainer Versionen baut und signiert, nie eine installierte Website. Deine Updates bleiben signiert und werden vor der kleinsten Änderung geprüft.

### Muss ich Google Drive neu verbinden?

Nur wenn deine Verbindung aus der Zeit vor 1.10.3 stammt. Dann weist dich die Seite Sicherheit darauf hin: Klicke auf Google Drive verbinden und gib den Code auf google.com/device ein. Deine älteren Backups bleiben in deinem Drive.

### Hat das zweite Audit alles geprüft?

Nein, und der Bericht sagt das: Es ist ein Teildurchlauf. Sechs Bereiche wurden nicht untersucht, und die Korrekturen von 1.10.4 sind noch nicht auditiert. Keines der beiden Audits hat eine kritische Schwachstelle gefunden.

### Warum ist der Bericht auf Englisch?

Das ist die Sprache des offiziellen Änderungsprotokolls und des Codes von Éclair. Der Bericht beschreibt jedes Problem und seine Korrektur, ohne Details zur Ausnutzung, und dieser Artikel fasst das Wesentliche zusammen.

### Was kostet das Update auf 1.10.4?

Nichts: Éclair bleibt kostenlos, unter der Lizenz AGPL-3.0. Einzige Änderung beim Budget: Vom Anbieter abgelehnte KI-Bilder zählen jetzt zu deinem monatlichen Budget.

[Éclair 2.3.0 herunterladen](https://eclaircms.org/de/herunterladen)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10. November 2026