Das Pi-hole-Projekt hat neue Versionen seiner Kernkomponenten veröffentlicht und schließt damit insgesamt 15 Sicherheitslücken. Fünf dieser Schwachstellen stufen die Entwickler als hochriskant ein – sie erlauben unter anderem das Einschleusen und Ausführen von Befehlen, die Ausweitung von Berechtigungen sowie die Manipulation von Dateien. Betroffen sind die Komponenten FTL, Web und Core. Die aktualisierten Fassungen tragen die Versionsnummern FTL v6.8, Web v6.6.1 und Core v6.5; Docker-Images sind ab dem Stand 2026.10.0 gegen die Lücken abgesichert.
Hochriskante Schwachstellen im Detail
Die fünf als „hoch“ eingestuften Sicherheitslücken weisen CVSS-Werte zwischen 7.3 und 7.8 auf. Die Entwickler listen sie in ihrem Blogbeitrag auf:
- Local privilege escalation from pihole user to root via CVE-2026-41489 fix bypass (CVSS 7.8) – Umgehung einer früheren Sicherheitskorrektur, die eine Rechteausweitung auf Root ermöglicht.
- Arbitrary root file clobber / chmod / disclosure via updatecheck.sh cron (CVSS 7.8) – Angreifer können durch eine Symlink-Attacke auf /etc/pihole/versions beliebige Root-Dateien überschreiben, deren Berechtigungen ändern oder auslesen.
- Local privilege escalation through pihole-FTL ambient CAP_CHOWN capability (CVSS 7.8) – Ausnutzung der Fähigkeit zur Änderung von Dateibesitzern, um lokale Rechte auszuweiten.
- Authenticated File Read and Fix Bypass (CVSS 7.7) – Ermöglicht authentifizierten Angreifern das Lesen beliebiger Dateien.
- gravity.sh chowns arbitrary directory to pihole via files.gravity config path (CVSS 7.3) – Führt zu einer lokalen Rechteausweitung, indem der pihole-Benutzer Besitzer eines beliebigen Verzeichnisses wird.
Vier weitere Lücken bewerten die Programmierer als mittelschwer, sechs als geringes Risiko. Das Projekt rät allen Betreibern dringend, die neuen Versionen zeitnah zu installieren.
Nicht nur Sicherheitskorrekturen
Die Aktualisierung bringt neben den Fehlerbehebungen auch funktionale Verbesserungen. So arbeitet das Live-Log (pihole-FTL) nun als Ringpuffer, anstatt bei jedem neuen Eintrag den gesamten Puffer zu verschieben – das spart erheblich CPU-Zeit. Internationalisierte Domainnamen (IDN) in Blocklisten werden nicht mehr als ungültig zurückgewiesen, sondern korrekt in Punycode konvertiert und dann blockiert. Zudem rotiert Pi-hole Logdateien nicht mehr doppelt, da das System nun korrekt in /etc/logrotate.d eingetragen ist.
Backup und Update-Durchführung
Vor dem Update empfiehlt das Projekt, ein Backup der Konfiguration zu erstellen. Hierzu dient der sogenannte Teleporter – entweder über das Webinterface („Settings“ → „Teleporter“) oder per Befehl sudo pihole-FTL –teleporter. Anschließend installiert sudo pihole -up die aktualisierten Komponenten auf dem System.
Bereits im September hatte Pi-hole gravierende Sicherheitslücken geschlossen, die Angreifern das Einschleusen von Schadcode ermöglichten. Mit dem aktuellen Update adressiert das Projekt die Schwachstellen weiterer Angriffsvektoren und unterstreicht damit seinen kontinuierlichen Fokus auf Sicherheit.
