Open WebUI 0.12.4 schließt unbenannte Sicherheitslücken
Open WebUI 0.12.4 enthält Sicherheitskorrekturen, die im Changelog bewusst fehlen. Das Projekt empfiehlt das sofortige Update aller Installationen. Admins sollten vorher das Daten-Volume sichern und auf geänderte Standards bei Direct Integrations, Manage Files und Python 3.12 achten.
Das Projekt Open WebUI hat am 25. Oktober 2026 die Version 0.12.4 veröffentlicht und stellt den Release Notes einen Sicherheitshinweis voran: Die Version enthält Sicherheitskorrekturen, die Entwickler empfehlen das Update für alle Installationen so bald wie möglich. Welche Lücken geschlossen wurden, steht bewusst nicht im Changelog. Die zugehörigen Security Advisories sollen erst nach Vergabe der CVE-Nummern erscheinen.
Betroffen sind damit alle selbst betriebenen Open-WebUI-Instanzen bis einschließlich 0.12.3, egal ob per Docker, Docker Compose oder pip installiert. Wer Open WebUI nicht betreibt, muss nichts tun. Für Instanzen, die aus dem Internet oder von vielen Nutzern erreichbar sind, gehört das Update in das nächste kurzfristige Wartungsfenster, idealerweise noch heute. Vorher lohnt ein Blick auf drei geänderte Standardverhalten, die nach dem Update auffallen können.
Was ist passiert?
Open WebUI 0.12.4 erschien laut GitHub am 25. Oktober 2026 um 08:07 Uhr UTC, das Paket auf PyPI und das Docker-Image auf ghcr.io folgten wenige Minuten später. Der Changelog listet 44 neue Funktionen, 69 Einträge bei den Fehlerkorrekturen und neun geänderte Verhaltensweisen. Die Sicherheitskorrekturen selbst sind darin ausdrücklich nicht aufgeführt.
Für Admins sind vor allem diese Neuerungen interessant:
- Skills bei Bedarf laden: Unter Admin Settings > General oder per
ENABLE_SKILL_LAZY_LOADINGwerden ausgewählte Skills dem Modell nur noch angeboten und erst bei Bedarf geladen, statt ihre Anweisungen mit jeder Nachricht zu senden. Die Option ist standardmäßig aus und setzt das eingebaute Skills-Tool voraus. - Sichtbare Kontextkomprimierung: Eine Zeile „Context compacted“ markiert im Chat, wo ältere Nachrichten zusammengefasst wurden. Die Komprimierung greift nun auch in temporären und kurzen Chats mit viel Tool-Ausgabe.
- Bedienelemente ausblenden: Unter Admin Settings > Interface oder per
UI_VISIBILITYlassen sich einzelne Bedienelemente für Nutzer verbergen. Gespeicherte Werte und die Funktionen dahinter bleiben erhalten.
Wer ist betroffen?
Betroffen sind alle Betreiber älterer Versionen. Welche Komponenten die Lücken betreffen und ob bestimmte Konfigurationen ausgenommen sind, lässt sich derzeit nicht sagen. Die öffentliche Advisory-Liste des Projekts enthielt bei Redaktionsschluss noch keinen Eintrag für 0.12.4, der jüngste stammt vom 18. Oktober und betraf 0.12.2.
Beim Update ändern sich zudem Standardverhalten. Ist Direct Integrations aus, was der Standard ist, nutzt Open WebUI gespeicherte persönliche Tool-Server und Open-Terminal-Verbindungen nicht mehr in Chats. Manage Files zeigt auch Admins nur noch eigene Dateien. Das Docker-Image läuft nun mit Python 3.12 auf Debian 13, per pip im Container installierte Pakete für eigene Functions und Tools müssen dazu passen.
Wie kritisch ist das?
Der Schweregrad ist offen. Das Projekt nennt weder Anzahl noch Art der Lücken und keine CVSS-Werte. Hinweise auf eine Ausnutzung gibt es in den Quellen nicht. Die ausdrückliche Empfehlung, alle Installationen umgehend zu aktualisieren, ist dennoch ein klares Signal. Frühere Advisories des Projekts betrafen unter anderem Sitzungstoken und Berechtigungsgrenzen, das sagt über die neuen Fixes aber nichts aus.
Was sollten Admins jetzt tun?
- Laufende Version prüfen, etwa mit
docker inspect --format '{{ index .Config.Labels "org.opencontainers.image.version" }}' open-webuioder im Admin-Bereich. Alles unter 0.12.4 aktualisieren. - Vor dem Update das Daten-Volume sichern, bei Standardinstallationen
/app/backend/data. Laut Doku lassen sich Datenbankmigrationen nicht per Rollback des Images rückgängig machen. - Den Tag gezielt auf
ghcr.io/open-webui/open-webui:v0.12.4pinnen statt blindlatestodermainzu ziehen. Beide Tags zeigten bei der Prüfung der Registry am 26. Oktober auf einen Build desselben Commits, sind aber bewegliche Ziele. - Bei mehreren Replikas oder Workern alle Instanzen gemeinsam aktualisieren, die Doku unterstützt keine gemischten Versionen.
- Nach dem Update Direct Integrations, eigene Functions und Tools sowie MCP-Server testen.
MCP_INITIALIZE_TIMEOUT(Standard 10 Sekunden) begrenzt nun auch das Auflisten von Tools. - Die Advisory-Seite beobachten und nach Veröffentlichung der Details erneut bewerten.
Einordnung für Unternehmen
Open WebUI ist in vielen kleinen Unternehmen die Oberfläche für lokale Sprachmodelle und hat oft Zugriff auf Wissensdatenbanken, Tools und API-Schlüssel. Ein Sicherheitsupdate ohne Details ist unbequem, weil die Risikobewertung fehlt. Gerade deshalb ist das zeitnahe Update der pragmatische Weg, statt auf die Advisories zu warten. Wer Instanzen nur intern betreibt, gewinnt etwas Zeit, sollte das Update aber nicht über Wochen schieben. Die neuen Sichtbarkeitsoptionen helfen nebenbei, die Oberfläche für Mitarbeitende auf das Nötige zu reduzieren.
Passende Anleitungen auf S-EDV
- Ollama und Open WebUI mit Docker: lokales LLM betreiben
- Open WebUI absichern: Rollen, Benutzergruppen und Modellzugriff
- Open WebUI mit Tools, Functions und Pipelines erweitern
