mailcow 2026‑09: Sicherheitsupdate für SOGo, Redis und Unbound
Auf den ersten Blick sieht das neue mailcow-Release unspektakulär aus: keine großen Funktionen, dafür ein paar Versionssprünge in der Änderungsliste. Wer genauer hinschaut, merkt allerdings, dass alle drei aktualisierten Komponenten Sicherheitskorrekturen mitbringen. Am 21. September 2026 ist mailcow 2026-09 „Mootember 2026“ erschienen, und ich würde das Update nicht lange liegen lassen.
SOGo · Redis · Unbound · Webinterface
SOGO
SOGo 5.12.11: der wichtigste Punkt
SOGo, also Webmail und Groupware in mailcow, wurde auf 5.12.11 aktualisiert. Das Projekt nennt drei größere Schwachstellen, die alle bisherigen Versionen betreffen.
Am anschaulichsten ist die Lücke beim Zurücksetzen von Passwörtern (CVE-2026-93453). SOGo hat den Link in der Reset-Mail aus dem Origin-Header zusammengebaut, den der Client selbst mitschickt. Ein Angreifer konnte den Link so auf eine eigene Domain lenken und ein Konto übernehmen, ganz ohne Anmeldung. Dazu kommen mehrere XSS-Lücken über manipulierte Mails oder Requests.
Nach dem Update: zwei Dinge im Blick
Wer die Passwort-Wiederherstellung in SOGo eingeschaltet hat (ab Werk ist sie aus), muss jetzt die erlaubten Basis-URLs in SOGoPasswordRecoveryBaseURLs eintragen, ohne Schrägstrich am Ende. Einen Standardwert gibt es nicht, ohne die Einstellung meldet SOGo einen Fehler.
Außerdem kann sich durch die XSS-Korrekturen die Darstellung von Mails im Webmail ändern. SOGo bittet darum, Auffälligkeiten als Bug zu melden.
DIE ANDEREN KOMPONENTEN
Redis und Unbound
Auch bei Redis geht es um mehr als eine Versionsnummer. Die Version 7.4.11 behebt unter anderem einen Use-after-free-Fehler bei TLS-Verbindungen (CVE-2026-81934), eine Umgehung der ACL-Schlüsselrechte bei einigen Befehlen und eine Lücke beim Laden manipulierter RDB-Daten. Redis erinnert dabei ausdrücklich daran, dass es nie direkt aus dem Internet erreichbar sein sollte. Die Version gibt es seit dem 17. August, wer zuletzt mit 2026‑07b aktualisiert hat, läuft also noch auf 7.4.10.
Unbound, der DNS-Resolver in mailcow, ist mit 1.26.1 ebenfalls ein Sicherheitsrelease. Behoben sind mehrere Speicherfehler, darunter ein Heap-Überlauf mit möglicher Codeausführung beim Verarbeiten von DNSKEY-Einträgen (CVE-2026-81642). Ein Mailserver löst ständig fremde Domains auf, deshalb lohnt hier ein aktueller Stand.
WEITERES
Und sonst?
Im Webinterface gibt es einen globalen Schalter, mit dem sich das Weiterleiten an externe Alias-Ziele abschalten lässt, und auf den Login-Seiten kann man das Passwort jetzt ein- und ausblenden. Behoben wurde außerdem ein Fehler, bei dem ein nginx-Ausfall den Auth-Cache leerte, und die generierten DNS-Zonendateien verwenden jetzt absolute Namen. Dazu kommen Updates bei Postfix und neue Übersetzungen.
FAZIT
Ein Release, das man nicht liegen lassen sollte
Ein Release, das man nicht wegen neuer Funktionen feiert, aber wegen SOGo, Redis und Unbound zeitnah einspielen sollte. Backup, Update, kurzer Test: mehr braucht es nicht.
QUELLEN
Quellen und Links
- mailcow 2026-09 „Mootember 2026“: Release Notes auf GitHub
- SOGo v5.12.11: Release Notes
- SOGo Installation and Configuration Guide
- CVE-2026-93453: SOGo Password Reset Link Poisoning
- Redis 7.4.11: Release Notes
- Redis Security Advisory CVE-2026-81934
- Unbound 1.26.1: Release Notes
- NLnet Labs: Unbound Security Advisories
Mailserver sicher betreiben?
Ob Update, Backup oder Absicherung Ihres Mailservers: Nutzen Sie unsere IT-Leistungen.
