Für viele Homelabs ist Grafana die zentrale Schaltstelle: Ein Dashboard, das zeigt, ob Proxmox-Host, NAS und Smart-Home-Sensoren rundlaufen. Genau diese zentrale Stellung macht eine neu geschlossene Lücke unangenehm — sie betrifft den Import von Plugins und kann bis zur Codeausführung auf dem Server führen.
WAS GENAU PASSIERT: Symlinks als Fluchtweg
Die Lücke trägt die Kennung CVE-2026-15815 und wurde mit CVSS 8,8 bewertet. Der technische Kern: Grafana OSS und Grafana Enterprise haben beim Entpacken von Plugin-Archiven symbolische Verknüpfungen (Symlinks) nicht sicher aufgelöst.
Ein präpariertes Plugin-Archiv kann mehrere relative Symlink-Einträge verketten, um aus dem eigentlich vorgesehenen Plugin-Installationsordner auszubrechen. Auf diesem Weg lassen sich beliebige Dateien außerhalb des Ordners schreiben — inklusive einer ausführbaren Backend-Binärdatei. Wird diese abgelegte Datei anschließend gestartet, läuft sie mit den Rechten des Grafana-Serverprozesses. Damit ist der Weg von einem manipulierten Plugin-Archiv zur vollständigen Codeausführung frei.
Im selben Sicherheitsupdate wurde zusätzlich CVE-2026-76154 behoben, eine weitere, geringer eingestufte Schwachstelle.
WER WIRKLICH BETROFFEN IST
Betroffen sind Grafana OSS und Grafana Enterprise bis einschließlich Version 13.2.1. Entscheidend für das tatsächliche Risiko ist, woher die installierten Plugins stammen: Wer ausschließlich Plugins aus dem offiziellen Grafana-Katalog installiert, ist deutlich weniger exponiert als jemand, der Archive aus Drittquellen, privaten Repositories oder unklaren Downloadseiten manuell einspielt. Für Homelab-Betreiber, die gerne mit Community-Plugins experimentieren, ist genau das ein Punkt zum Umdenken.
SO SCHÜTZT DU DEINE INSTANZ — in 10 MINUTEN
- Version prüfen: In der Grafana-Oberfläche unter „Help → About“ oder per
grafana-server -vdie laufende Version nachsehen. - Aktualisieren: Auf Version 13.2.2 oder neuer wechseln — das Update prüft Symlinks beim Entpacken jetzt korrekt und lässt kein Verlassen des Zielordners mehr zu.
- Plugin-Quellen kontrollieren: Nur Plugins aus dem offiziellen Grafana-Katalog oder verifizierten, bekannten Quellen installieren. Ein Archiv aus einem fremden Forum-Link ist nach diesem Fund kein vertretbares Risiko mehr.
- Rechte einschränken: Den Grafana-Serverprozess nicht mit mehr Rechten laufen lassen als nötig — im Ernstfall begrenzt das den Schaden einer erfolgreichen Codeausführung.
- Bereits installierte Plugins sichten: Wer in den letzten Wochen ein Plugin aus einer unklaren Quelle eingespielt hat, sollte das Verzeichnis
/var/lib/grafana/pluginsauf ungewöhnliche Dateien außerhalb der erwarteten Plugin-Ordner prüfen.
FAZIT: Auch das Monitoring-Dashboard braucht Pflege
Grafana gilt vielen als reines Anzeige-Werkzeug, das man einmal aufsetzt und dann vergisst. Genau diese Haltung ist nach diesem Fund riskant. Wer im Homelab mit Plugins experimentiert, sollte dieselbe Vorsicht walten lassen wie bei jedem anderen Dienst mit Internetzugang auch: Updates zeitnah einspielen, Quellen kennen, Rechte begrenzen. Ein Dashboard, das eigentlich Probleme anzeigen soll, darf nicht selbst zum Problem werden.