Self-Hoster, aufgepasst: Daniel García hat am 3. Mai 2026 die Vaultwarden 1.36.0 veröffentlicht — und im Gepäck stecken gleich sechs Sicherheits-Advisorys, die du nicht offen lassen willst. Vaultwarden ist die schlanke Rust-Reimplementierung des Bitwarden-Servers und läuft in zigtausenden Homelabs als zentraler Passwort-Tresor. Genau deshalb darf hier kein Patch liegenbleiben.
SCHOCK: Sechs CVEs auf einen Streich
Die Liste hat es in sich. Mit dabei sind zwei CSRF-Lücken im SSO-Login-Flow, zwei Schwachstellen im SSO-Binding für bestehende User, eine User- und Organization-Enumeration und ein Server-Side Request Forgery im Icon-Endpoint. Damit lassen sich nicht nur Login-Bypässe basteln, sondern auch Informationen über vorhandene Konten abgreifen — eine Steilvorlage für Phishing.
UNGLAUBLICH: Item-Archive endlich da
Funktional bringt 1.36.0 das lang gewünschte Item-Archiv: Anmeldedaten, die du nicht mehr aktiv brauchst, kannst du jetzt einfach archivieren statt zu löschen. Sie verschwinden aus dem Hauptview, bleiben aber für Audits und alte Backups erreichbar. Dazu kommt ein neuer Prelogin-Endpoint, der den Login-Flow synchron mit aktuellen Bitwarden-Clients hält.
GEFAHR! Web-Vault muss mit auf 2026.4.1
Beim Container-Update musst du zwei Dinge mitziehen: das Vaultwarden-Backend selbst und das Web-Vault auf Version 2026.4.1. Wer nur das Backend patcht, riskiert Inkonsistenzen, weil die SSO-Fixes Frontend-seitige Änderungen brauchen.
So rettest du deinen Tresor in 5 MINUTEN!
Für Docker-Compose-Setups reicht docker compose pull && docker compose up -d. Bei manuell gebauten Setups vor dem Update unbedingt ein Snapshot der data/-Volumes ziehen, weil die Crates-Updates auch SQLite-Migrationen beinhalten. Anschließend testest du den Login mit aktivem SSO-Provider auf einem zweiten Browser, damit du sicher gehst, dass die CSRF-Tokens wieder sauber durchlaufen.
EXTRA-TIPP: Reverse-Proxy-Header checken
Wer Vaultwarden hinter Caddy, Traefik oder Nginx Proxy Manager betreibt, sollte parallel die X-Forwarded-Header kontrollieren — die SSRF-Fixes ändern, wie das Icon-Modul externe URLs auflöst. Falls du eigene Allow-Lists für ausgehende Requests gesetzt hast, lohnt ein Blick in die Release-Notes auf GitHub.
FAZIT: Pflicht-Update, kein Nice-to-have
Vaultwarden 1.36.0 ist kein optionales Feature-Update, sondern ein Sicherheits-Release. Wer SSO im Einsatz hat, sollte heute Abend noch updaten — die kombinierten CSRF- und Enumeration-Lücken lassen sich aus der Ferne ausnutzen und schaffen ein gutes Sprungbrett für gezielte Phishing-Angriffe auf einzelne User.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein System verwundbar ist?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen: GitHub Vaultwarden Releases, WinterFlow VaultWarden Release Notes, wz-it Vaultwarden 1.36 NIS2.