Open WebUI absichern: die Sicherheitshinweise 2026, die richtige Version und die Härtung

Welche Open-WebUI-Version im Oktober 2026

Betreiben Sie Open WebUI in Version v0.12.2 oder neuer; die neueste Version am 24. Oktober 2026 war v0.12.3 vom 16. Oktober. An diesem Tag führte die erste Seite der GitHub-Sicherheitshinweise des Projekts zehn Einträge: acht behoben in v0.11.4 vom 21. September, einer in v0.11.1 und einer, veröffentlicht am 18. Oktober, in v0.12.2. Zwei der zehn Hinweise haben den Schweregrad High, beide sind mit v0.11.4 geschlossen.

Open WebUI ist das Chat-Frontend in unseren Artikeln zur privaten ChatGPT-Alternative und zur Skalierung von Open WebUI auf 1.000 Nutzer. Dort geht es um Komponenten, Lizenz, Replikate und Datenbanken. Dieser Artikel behandelt die Anwendungsebene: was die Sicherheitshinweise sagen, welche davon von einer Einstellung abhängen und welche Voreinstellungen ein Administrator ändern sollte, bevor sich die Belegschaft anmeldet. Den Server darunter mit BMC, Treiber und Inferenz-API behandelt unser Leitfaden GPU-Server absichern.

Die Sicherheitshinweise aus September und Oktober 2026

Die Tabelle gibt die erste Seite der Liste wieder, gelesen am 24. Oktober 2026. Weitere Seiten enthalten ältere Hinweise; die zehn hier sind die seit September veröffentlichten. Wir nennen Kennung, den von Open WebUI vergebenen Schweregrad, die behobene Version und die Bedingung, unter der eine Installation betroffen ist. Wie ein Fehler ausgelöst wird, lassen wir weg.

Sicherheitshinweise von Open WebUI auf GitHub, Liste und jede Hinweisseite gelesen am 24. Oktober 2026; Schweregrad und CVSS-3.1-Basiswert wie von Open WebUI angegeben. Nur GHSA-wvm9-9g5j-623f hat eine CVE, CVE-2026-88006.

Die beiden High-Hinweise unterscheiden sich darin, wer sie nutzen kann. GHSA-vpq8-f445-hcq7 brauchte gar kein Konto: Solange ein Nutzer angemeldet war, konnte eine Seite auf einer anderen Website über den Message-Handler der Community-Statistik sein Sitzungstoken erlangen und dann in seinem Namen handeln, private Chats eingeschlossen. Betroffen sind 0.7.0 bis vor 0.11.4 und nur Installationen mit ENABLE_COMMUNITY_SHARING, Standardwert True. GHSA-q46m-r89w-j74p setzt ein normales Konto mit Zugriff auf eine Terminals-Verbindung voraus; über den Terminal-Proxy von Open WebUI konnte ein solcher Nutzer Terminal-Richtlinien lesen und ändern und die Terminals anderer Nutzer beenden. Installationen ohne Terminals-Verbindung sind nicht betroffen, und laut Hinweis lehnt Terminals ab 0.2.4 solche Administratoranfragen auch selbst ab.

Drei Moderate-Hinweise betreffen die Anmeldung über einen Identity Provider. Zwei ließen Nutzer, die nach den Rollen des Providers abgewiesen oder herabgestuft werden sollten, über den Endpunkt für den OAuth-Token-Exchange eine Sitzung behalten; beide setzen ENABLE_OAUTH_TOKEN_EXCHANGE und ENABLE_OAUTH_ROLE_MANAGEMENT voraus, die ab Werk aus sind. GHSA-2rr4-q6pg-m5g3 trat nur auf, wenn der Identity Provider den Rollen-Claim im ID-Token und nicht in der Userinfo-Antwort sendet. Der dritte, GHSA-6g45-8g27-fh8q, ließ das offene Terminal eines deaktivierten Nutzers weiterlaufen; seit 0.11.4 prüfen offene Terminal-Sitzungen den Zugriff alle zehn Sekunden neu.

Die übrigen betreffen das Teilen innerhalb der Instanz: ein Link-Schema in geteilten Chats, das Skriptcode in der Sitzung eines Betrachters ausführen konnte (Chromium-basierte Browser waren nicht betroffen), Datei- und Verzeichnisdaten von Wissensdatenbanken, die eine entzogene Freigabe überdauerten, geforkte Chats in einem nur lesbaren Ordner und Channel-Nachrichten, die wie von einem Webhook aussahen. Die meisten Hinweise sagen, dass das Update genügt und keine Konfigurationsänderung nötig ist.

Voreinstellungen, die über die Angriffsfläche entscheiden

Mehrere Hinweise nennen eine Voreinstellung als Bedingung. Das ist ein Grund, die Voreinstellungen auch auf einer aktuellen Version zu prüfen. Eine Funktion, die im Unternehmen niemand nutzt, sollte aus sein; der nächste Hinweis dazu betrifft Sie dann nicht.

Referenz der Umgebungsvariablen von Open WebUI (laut Seite auf dem Stand von v0.12.1) und backend env.py im main-Branch, gelesen am 24. Oktober 2026; Standardwert für Community Sharing aus dem Hinweis GHSA-vpq8-f445-hcq7.

Viele davon sind in der Referenz sogenannte ConfigVar-Variablen. Die Umgebung setzt ihren Wert beim ersten Start; danach ist der Wert gespeichert, und Open WebUI verwendet bei jedem Neustart den gespeicherten Wert, einschließlich Änderungen im Admin Panel. Wer einer laufenden Instanz nachträglich ENABLE_SIGNUP=False in die Compose-Datei schreibt, ändert nichts. Ändern Sie den Wert im Admin Panel oder setzen Sie ENABLE_PERSISTENT_CONFIG=False; dann gelten die Umgebungsvariablen, und Änderungen im Admin Panel gehen beim Neustart verloren. Für eine Installation, die als Code verwaltet wird, ist der zweite Weg leichter zu prüfen.

Admin-Zugriff auf Chats und Admin-Export sind ebenso Fragen der Richtlinie wie der Sicherheit: Sind beide an, kann jeder Administrator lesen und exportieren, was die Belegschaft eingegeben hat. Entscheiden Sie das mit Ihrem Datenschutz­beauftragten und halten Sie die Zahl der Administratorkonten klein.

Registrierung, Rollen, SSO und Zwei-Faktor-Anmeldung

Offene Registrierung mit Konten im Status „pending“ ist nur so lange unbedenklich, wie jemand die Liste der wartenden Konten prüft. Sobald sich die Belegschaft per OpenID Connect über Ihren Identity Provider anmeldet, schalten Sie die Registrierung ab und entscheiden, ob das lokale Anmeldeformular bleibt: ENABLE_LOGIN_FORM blendet die Felder für E-Mail und Passwort aus, und ENABLE_PASSWORD_AUTH, Standard True, lässt Passwort- und SSO-Anmeldung nebeneinander zu. Behalten Sie einen lokalen Administrator für den Fall, dass der Identity Provider ausfällt, geschützt durch ein langes Passwort und die Zwei-Faktor-Anmeldung.

Open WebUI hat die Zwei-Faktor-Anmeldung mit v0.12.0 vom 10. Oktober eingeführt. Administratoren können eine Authenticator-App für alle Nutzer unter Admin Settings, Authentication oder mit ENABLE_MFA verlangen; Nutzer richten sie bei der nächsten Anmeldung über einen QR-Code ein und erhalten zehn Einmal-Wiederherstellungscodes. MFA_ALLOW_OAUTH_BYPASS lässt OAuth-Anmeldungen ohne zweiten Faktor durch, was passt, wenn der Identity Provider bereits einen verlangt.

Wenn Sie Rollen aus dem Identity Provider mit ENABLE_OAUTH_ROLE_MANAGEMENT, OAUTH_ALLOWED_ROLES und OAUTH_ADMIN_ROLES übernehmen, prüfen Sie, ob Sie den Token-Exchange-Endpunkt überhaupt brauchen. Er ist ab Werk aus, und beide OAuth-Hinweise galten nur bei eingeschaltetem Endpunkt. Wo Sie ihn brauchen, betreiben Sie 0.11.4 oder neuer und klären Sie, ob Ihr Provider die Rollen in der Userinfo-Antwort oder nur im ID-Token sendet.

Wir richten Open WebUI auf den GPU-Servern, die wir liefern, im Rahmen unseres Private-AI/ML-Service ein; nennen Sie uns Identity Provider, Nutzerzahl und die benötigten Funktionen, und unser Team antwortet mit der Konfiguration, die wir umsetzen würden.

Geheimer Schlüssel, Cookies und Reverse Proxy

WEBUI_SECRET_KEY ist der Schlüssel für die JSON Web Tokens von Open WebUI, die die Sitzungen tragen. Im Backend-Quelltext des main-Branches hat er „No hardcoded fallback by design“, und mit aktivierter Authentifizierung und leerem Schlüssel startet Open WebUI nicht. Erzeugen Sie einen langen Zufallswert, legen Sie ihn in Ihrem Secret Store ab und geben Sie allen Replikaten denselben Wert, wie unser Leitfaden zur Skalierung erklärt.

Liefern Sie Open WebUI nur über HTTPS hinter einem Reverse Proxy aus und setzen Sie WEBUI_SESSION_COOKIE_SECURE auf true, denn der Standard ist false. Der Hinweis zu Links in geteilten Chats nennt einen Content-Security-Policy-Header, der Inline-Skript verbietet, als Schutz gegen diesen Angriff und stellt fest, dass Open WebUI ab Werk keinen setzt. Eine CSP kommt am Reverse Proxy dazu; testen Sie sie vor dem Rollout mit der eingesetzten Version, denn eine Richtlinie, die Skripte der Oberfläche blockiert, legt die Seite lahm.

Tools, Functions, Pipelines und Terminals führen Code aus

Die Plugin-Dokumentation von Open WebUI ist hier eindeutig: „Tools, Functions, Pipes, Filters, and Pipelines execute arbitrary Python code on your server.“ Sie verlangt: „Only trusted administrators should have permission to create, import, or modify Tools and Functions“, normale Nutzer sollen ohne ausdrücklichen Bedarf keinen Workspace-Zugriff haben, und installierte Plugins sind regelmäßig zu prüfen. Zur Community-Seite heißt es: „Featured does not mean vetted.“ Functions verwalten nur Administratoren; Tools können Nutzer hinzufügen, denen die Berechtigung erteilt wurde, also belassen Sie diese Berechtigung bei den Administratoren.

Solcher Code läuft mit den Rechten des Open-WebUI-Serverprozesses und erreicht damit alles, was dieser Prozess erreicht, seine Umgebung und die Datenbank eingeschlossen. Prüfen Sie jedes Plugin vor dem Import, führen Sie eine Liste der installierten Plugins mit Version und unterstellen Sie Plugins derselben Änderungskontrolle wie die Anwendung.

Terminals geben Nutzern eine Shell auf einem separaten Terminal-Server. Zwei der zehn Hinweise betreffen sie, und Installationen ohne Terminal-Server waren von keinem der beiden betroffen. Wenn Sie Terminals einschalten, betreiben Sie Terminals 0.2.4 oder neuer, binden Sie jede Verbindung an eine benannte Richtlinie, geben Sie Zugriff nur den Nutzern, die ihn brauchen, und behandeln Sie den Terminal-Server als Host, den Nutzer steuern.

Zwei weitere Voreinstellungen bleiben aus. ENABLE_OPENAI_API_PASSTHROUGH leitet jede Anfrage mit dem Schlüssel des Administrators an die Upstream-API weiter, und die Referenz warnt: „Any authenticated user can reach any upstream endpoint“. BYPASS_MODEL_ACCESS_CONTROL gibt jedem Nutzer jedes Modell. Hinter Open WebUI sollte vLLM nur vom Open-WebUI-Host aus erreichbar sein, da sein --api-key nur einen Teil der Routen schützt, wie unser Leitfaden zum Absichern eines GPU-Servers zeigt; unser Artikel zu den Sicherheitshinweisen für vLLM behandelt die Versionen des Modellservers selbst. Prompt Injection über Dokumente und Tools ist ein eigenes Risiko, beschrieben in unserem Leitfaden zu Prompt Injection und LLM-Sicherheit.

Updates und eine monatliche Prüfung der Hinweise

Die Release Notes von v0.11.2 und v0.12.0 sagen beide „This release includes security and access-control fixes“ und empfehlen, Produktivinstallationen baldmöglichst zu aktualisieren; v0.11.2 ergänzt, dass nicht alle Korrekturen aufgeführt sein müssen und einige für kurze Zeit zurückgehalten werden können. Die in v0.11.4 behobenen Hinweise erschienen am 27. und 28. September, sechs und sieben Tage nach dem Release. Wer erst aktualisiert, wenn ein Hinweis erscheint, ist also immer zu spät; folgen Sie den Releases.

Benennen Sie eine Person, die die Liste der Sicherheitshinweise einmal im Monat und nach jedem Release liest, festhält, welche Hinweise die eingeschalteten Funktionen betreffen, und das Update plant. Aktualisieren Sie, indem Sie alle Replikate stoppen, eine Instanz die Datenbankmigrationen ausführen lassen und dann die übrigen starten, wie der Skalierungsleitfaden beschreibt; sichern Sie vorher die Datenbank, denn laut Leitfaden kann ein Helm-Rollback Migrationen nicht rückgängig machen.

Checkliste zur Härtung einer Open-WebUI-Installation

Unsere Zusammenfassung der Abschnitte oben.

Für ausgehende Verbindungen schaltet OFFLINE_MODE die Versionsprüfung von Open WebUI ab und setzt den Offline-Modus von Hugging Face; unser Artikel zu Telemetrie in selbst betriebenen KI-Tools geht jede Komponente des Stacks durch. Wer das Abfrageprotokoll lesen darf und wie lange es aufbewahrt wird, behandelt unser Leitfaden zum LLM-Gateway mit Schlüsseln, Budgets und Log.

Was wir liefern

Sie können die Plattform bei uns kaufen: Unser Team dimensioniert die Konfiguration nach Ihrer Arbeitslast und Ihrem Budget und antwortet innerhalb eines Werktages. Wir bauen KI-Server nach Auftrag, vor der Lieferung montiert und getestet, auf Wunsch mit Betriebssystem, Treibern, CUDA und Container-Laufzeit. Open WebUI, vLLM, die Anmeldung über Ihren Identity Provider und die Suche in Ihren Dokumenten gehören zu unserem Service Private AI/ML. Teilen Sie uns mit, welche Open-WebUI-Version Ihr Pilot nutzt, und wir gleichen sie mit den aktuellen Hinweisen ab.

FAQ