Vaultwarden 1.37.5 schließt zwei Lücken und prüft Konfiguration strenger
Vaultwarden 1.37.5 behebt zwei mittelschwere Sicherheitslücken bei Website-Icons und Notfallzugriff. Neu ist eine strengere Prüfung der Konfiguration: Ungültige Werte stoppen den Start. Admins sollten vor dem Update ihre Umgebungsvariablen prüfen.
Das Vaultwarden-Projekt hat am 1. November 2026 um 22:16 UTC die Version 1.37.5 veröffentlicht. Das Release schließt zwei Sicherheitslücken, die das Projekt als mittelschwer einstuft, und das Team rät ausdrücklich, so bald wie möglich zu aktualisieren. Betroffen sind alle selbst gehosteten Vaultwarden-Instanzen mit älterem Stand, unabhängig davon, ob sie per Docker oder als eigener Build laufen. Wer den offiziellen Bitwarden-Cloud-Dienst nutzt, ist von diesem Update nicht betroffen.
Das Release bringt zugleich eine Änderung, die ein Update zum Stolperstein machen kann: Ungültige Konfigurationswerte stoppen jetzt den Start des Servers mit einer Fehlermeldung. Admins sollten das Update deshalb nicht blind einspielen, sondern zuvor die Konfiguration prüfen. Für Instanzen, die aus dem Internet erreichbar sind, gehört das Update in das nächste kurze Wartungsfenster, idealerweise noch heute.
Was ist passiert?
Laut den Release Notes behebt Vaultwarden 1.37.5 zwei Schwachstellen: eine im Bereich Website icons (GHSA-x9cq-f669-vrr4, Medium, CVSS 5.3) und eine beim Notfallzugriff (GHSA-9pjj-f9g5-3x4c, Medium, CVSS 4.3). Die zugehörigen Advisories sind vorerst privat, bis CVE-Nummern vergeben und die Details später veröffentlicht werden. Wie die Lücken genau funktionieren und unter welchen Bedingungen sie ausnutzbar sind, ist damit öffentlich noch nicht bekannt.
Daneben enthält die Version zahlreiche weitere Änderungen. Dazu gehören ein Fix für die E-Mail-basierte Zwei-Faktor-Anmeldung bei SSO-Logins unter iOS und Android, das Schließen nicht mehr reagierender WebSocket-Verbindungen, eine konfigurierbare Dauer für das Merken der Zwei-Faktor-Anmeldung, das Löschen von Auth-Requests beim Entfernen eines Benutzers, zusätzliche Audit-Events, das Escapen von Anfragewerten in Logmeldungen und das Upgrade auf das Web-Framework Rocket 0.5.2. Der gebündelte Web Vault liegt jetzt in Version 2026.10.1 bei.
Wer ist betroffen?
Betroffen sind Betreiber von Vaultwarden-Instanzen vor 1.37.5. Das Update ist laut Projekt außerdem nötig, damit der Web Vault ab 2026.7.1 Methoden der zweistufigen Anmeldung ein- und ausschalten kann und ab 2026.9.0 die Übernahme eines Kontos über den Notfallzugriff funktioniert. Wer einen eigenen Web Vault älter als 2026.7.1 ausliefert, kann Kompatibilitätsprobleme bekommen.
Auf Docker Hub zeigen die Tags 1.37.5 und latest seit dem 1. November 2026 um 22:14 UTC auf denselben Digest (sha256:4fe17f415f90...). Setups mit latest erhalten die neue Version also beim nächsten Pull automatisch, inklusive der strengeren Konfigurationsprüfung.
Wie kritisch ist das?
Beide Lücken sind als Medium eingestuft, also nicht kritisch. Weil die Details noch zurückgehalten werden, lässt sich das Risiko für einzelne Installationen derzeit nicht genauer bewerten. Ein Passwort-Tresor ist allerdings ein besonders schützenswertes System, daher ist zügiges Aktualisieren angemessen. Eine Berichterstattung der Fachpresse lag zum Zeitpunkt dieser Meldung noch nicht vor; die Angaben stützen sich auf das GitHub-Release und Docker Hub.
Das größere praktische Risiko liegt in der neuen Konfigurationsprüfung. Abgelehnt werden zum Beispiel Werte über 65535 für LOGIN_RATELIMIT_MAX_BURST, TRASH_AUTO_DELETE_DAYS, EVENTS_DAYS_RETAIN oder SMTP_TIMEOUT sowie über 255 für EMAIL_ATTEMPTS_LIMIT. Die Rate-Limit-Optionen *_SECONDS und *_MAX_BURST, DATABASE_TIMEOUT und DATABASE_IDLE_TIMEOUT müssen mindestens 1 sein. DATABASE_MIN_CONNS darf nicht größer als DATABASE_MAX_CONNS sein, und DUO_CONTEXT_PURGE_SCHEDULE sowie PURGE_INCOMPLETE_SSO_AUTH müssen leer oder ein gültiger Cron-Ausdruck sein.
Was sollten Admins jetzt tun?
- Laufende Version und verwendeten Image-Tag prüfen, etwa im Admin-Panel oder mit
docker image inspect. - Die
.env-Datei beziehungsweise die Umgebungsvariablen im Compose-File gegen die neuen Grenzwerte abgleichen und ungültige Werte korrigieren. - Vor dem Update ein Backup von Datenbank, Anhängen und Konfiguration anlegen.
- Auf 1.37.5 aktualisieren, zum Beispiel mit
docker compose pullunddocker compose up -d. - Danach die Container-Logs auf Startfehler prüfen und Anmeldung sowie zweistufige Anmeldung kurz testen.
- Bei eigenem Web Vault sicherstellen, dass mindestens Version 2026.7.1 im Einsatz ist.
Einordnung für Unternehmen
Vaultwarden ist bei kleinen Teams beliebt, weil es mit den offiziellen Bitwarden-Clients arbeitet und wenig Ressourcen braucht. Gerade dort fehlt oft ein fester Update-Prozess. Automatische Updates über latest sind bequem, können mit dieser Version aber zu einem Dienst führen, der nach dem Neustart nicht mehr hochfährt. Ein fest gepinnter Versionstag, ein kurzer Konfigurationscheck und ein getestetes Backup machen solche Updates planbar.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Vaultwarden härten: Backup und Fail2ban
- Vaultwarden mit Docker und Nginx Proxy Manager selbst hosten
- Vaultwarden als Passwort-Tresor für kleine Unternehmen
