Was du wissen musst:
- Mailcow 2026-05 ist eine Security-Release fuers Web-Frontend.
- Betroffen: HTML-Escaping im Sieve-Filter-Editor und Queue-Manager.
- Postscreen-CIDR-Listen und Weblate-Uebersetzungen sind on top dabei.
- Update-Befehl:
./update.sh— Backup vorher nicht vergessen.
Mailcow ruft zum Mooay-Update auf
Die Macher von mailcow: dockerized haben für Mai 2026 eine Punktrelease unter dem Namen „Mooay 2026“ veröffentlicht — und es ist kein reines Quality-of-Life-Update. Im Web-Frontend lauerte ein Bug, bei dem HTML in Sieve-Filtern und im Queue-Manager nicht sauber escaped wurde. Die offizielle CVE-Nummer reicht das Team später nach, das Update sollte aber jetzt schon laufen.
Was genau wurde gefixt?
Konkret hat die Release drei Punkte angefasst:
- HTML-Escaping im Sieve-Filter-Editor und im Queue-Manager — verhindert XSS-Vektoren, die ein bösartiger Admin-Mitnutzer ausnutzen könnte.
- Postscreen access.cidr wurde aktualisiert. Damit bekommt dein MTA aktuellere Blocklisten gegen Spam-Quellen direkt nach dem Update.
- Weblate-Uebersetzungen wurden synchronisiert — gut für dich, falls du Mailcow im UI auf Deutsch fährst.
So updatest du sicher
Wenn du Mailcow im Docker-Setup betreibst, ist der Weg simpel: cd /opt/mailcow-dockerized && ./update.sh. Bevor du das machst, ziehst du ein Backup. Mailcow liefert dafür ./helper-scripts/backup_and_restore.sh mit, das deine Mail-Volumes und SQL-Daten in einen Snapshot wegschreibt. Plane fünf bis zehn Minuten Downtime für den Container-Neustart ein.
Warum das fuer Self-Hoster zaehlt
Mailcow ist neben Mailu und Stalwart einer der populärsten Wege, einen eigenen Mailserver aufzusetzen. Wer sich die DSGVO-Falle „Microsoft 365“ sparen will, landet schnell hier. Genau deshalb ist jeder Patch im Web-UI relevant — schließlich verwaltest du dort Domains, Mailboxen und Filter, und ein erfolgreiches XSS auf einen Admin-Account macht dein Postfix-Setup zur offenen Tür.
Häufige Fragen zu Mailcow 2026-05
Muss ich das Update sofort einspielen?
Ja, wenn dein Mailcow-Web-Frontend für mehrere Admins erreichbar ist. Bei Solo-Setup mit IP-Filter ist das Risiko geringer, aber das Update bleibt empfohlen.
Welche Mailcow-Version brauche ich davor?
Die aktuelle „Moriarty“-Reihe. Wer noch auf älteren Branches steht, sollte vorher Standard-Update-Pfad fahren.
Wie lange dauert die Downtime?
In einem Standard-Setup zwischen 3 und 10 Minuten. Bei viel Mail-Backlog kann Postfix etwas länger zum Restart brauchen.
Gibt es eine offizielle CVE?
Aktuell noch nicht — das Team reicht die CVE-Nummer separat ein, sobald die Frist abgelaufen ist.