{"id":55546,"date":"2026-10-20T14:32:34","date_gmt":"2026-10-20T12:32:34","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55546"},"modified":"2026-10-20T14:32:34","modified_gmt":"2026-10-20T12:32:34","slug":"pi-hole-sicherheitsupdate-ftl-web-core-55546","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/pi-hole-sicherheitsupdate-ftl-web-core-55546\/","title":{"rendered":"Pi-hole schlie\u00dft Befehlsschmuggel-L\u00fccken mit neuem Update"},"content":{"rendered":"<p>Das Pi-hole-Projekt hat neue Versionen seiner Kernkomponenten ver\u00f6ffentlicht und schlie\u00dft damit insgesamt 15 Sicherheitsl\u00fccken. F\u00fcnf dieser Schwachstellen stufen die Entwickler als hochriskant ein \u2013 sie erlauben unter anderem das Einschleusen und Ausf\u00fchren von Befehlen, die Ausweitung von Berechtigungen sowie die Manipulation von Dateien. Betroffen sind die Komponenten FTL, Web und Core. Die aktualisierten Fassungen tragen die Versionsnummern FTL v6.8, Web v6.6.1 und Core v6.5; Docker-Images sind ab dem Stand 2026.10.0 gegen die L\u00fccken abgesichert.<\/p>\n<h2>Hochriskante Schwachstellen im Detail<\/h2>\n<p>Die f\u00fcnf als \u201ehoch\u201c eingestuften Sicherheitsl\u00fccken weisen CVSS-Werte zwischen 7.3 und 7.8 auf. Die Entwickler listen sie in ihrem Blogbeitrag auf:<\/p>\n<ul>\n<li><strong>Local privilege escalation from pihole user to root via CVE-2026-41489 fix bypass<\/strong> (CVSS 7.8) \u2013 Umgehung einer fr\u00fcheren Sicherheitskorrektur, die eine Rechteausweitung auf Root erm\u00f6glicht.<\/li>\n<li><strong>Arbitrary root file clobber \/ chmod \/ disclosure via updatecheck.sh cron<\/strong> (CVSS 7.8) \u2013 Angreifer k\u00f6nnen durch eine Symlink-Attacke auf <strong>\/etc\/pihole\/versions<\/strong> beliebige Root-Dateien \u00fcberschreiben, deren Berechtigungen \u00e4ndern oder auslesen.<\/li>\n<li><strong>Local privilege escalation through pihole-FTL ambient CAP_CHOWN capability<\/strong> (CVSS 7.8) \u2013 Ausnutzung der F\u00e4higkeit zur \u00c4nderung von Dateibesitzern, um lokale Rechte auszuweiten.<\/li>\n<li><strong>Authenticated File Read and Fix Bypass<\/strong> (CVSS 7.7) \u2013 Erm\u00f6glicht authentifizierten Angreifern das Lesen beliebiger Dateien.<\/li>\n<li><strong>gravity.sh chowns arbitrary directory to pihole via files.gravity config path<\/strong> (CVSS 7.3) \u2013 F\u00fchrt zu einer lokalen Rechteausweitung, indem der <strong>pihole<\/strong>-Benutzer Besitzer eines beliebigen Verzeichnisses wird.<\/li>\n<\/ul>\n<p>Vier weitere L\u00fccken bewerten die Programmierer als mittelschwer, sechs als geringes Risiko. Das Projekt r\u00e4t allen Betreibern dringend, die neuen Versionen zeitnah zu installieren.<\/p>\n<h2>Nicht nur Sicherheitskorrekturen<\/h2>\n<p>Die Aktualisierung bringt neben den Fehlerbehebungen auch funktionale Verbesserungen. So arbeitet das Live-Log (pihole-FTL) nun als Ringpuffer, anstatt bei jedem neuen Eintrag den gesamten Puffer zu verschieben \u2013 das spart erheblich CPU-Zeit. Internationalisierte Domainnamen (IDN) in Blocklisten werden nicht mehr als ung\u00fcltig zur\u00fcckgewiesen, sondern korrekt in Punycode konvertiert und dann blockiert. Zudem rotiert Pi-hole Logdateien nicht mehr doppelt, da das System nun korrekt in <strong>\/etc\/logrotate.d<\/strong> eingetragen ist.<\/p>\n<h2>Backup und Update-Durchf\u00fchrung<\/h2>\n<p>Vor dem Update empfiehlt das Projekt, ein Backup der Konfiguration zu erstellen. Hierzu dient der sogenannte Teleporter \u2013 entweder \u00fcber das Webinterface (\u201eSettings\u201c \u2192 \u201eTeleporter\u201c) oder per Befehl <strong>sudo pihole-FTL &#8211;teleporter<\/strong>. Anschlie\u00dfend installiert <strong>sudo pihole -up<\/strong> die aktualisierten Komponenten auf dem System.<\/p>\n<p>Bereits im September hatte Pi-hole gravierende Sicherheitsl\u00fccken geschlossen, die Angreifern das Einschleusen von Schadcode erm\u00f6glichten. Mit dem aktuellen Update adressiert das Projekt die Schwachstellen weiterer Angriffsvektoren und unterstreicht damit seinen kontinuierlichen Fokus auf Sicherheit.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Das Pi-hole-Projekt hat neue Versionen seiner Kernkomponenten ver\u00f6ffentlicht und schlie\u00dft damit insgesamt 15 Sicherheitsl\u00fccken. F\u00fcnf dieser Schwachstellen stufen die Entwickler als hochriskant ein \u2013 sie erlauben unter anderem das Einschleusen und Ausf\u00fchren von Befehlen, die Ausweitung von Berechtigungen sowie die Manipulation von Dateien. Betroffen sind die Komponenten FTL, Web und Core. Die aktualisierten Fassungen tragen [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55547,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55546.png","fifu_image_alt":"Pi-hole schlie\u00dft Befehlsschmuggel-L\u00fccken mit neuem Update","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55546","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55546.png","fifu_image_alt":"Pi-hole schlie\u00dft Befehlsschmuggel-L\u00fccken mit neuem Update","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55546","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55546"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55546\/revisions"}],"predecessor-version":[{"id":55548,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55546\/revisions\/55548"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55547"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55546"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55546"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55546"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}