Pi-hole FTL 6.8: Update schließt 16 Sicherheitslücken

Pi-hole gehört für viele zum ersten Homelab-Projekt überhaupt — und ausgerechnet dieser kleine, scheinbar harmlose DNS-Werbeblocker hatte gleich 16 Sicherheitslücken gleichzeitig offen. Am 17. Oktober 2026 hat das Projekt mit FTL v6.8, Web v6.6.1 und Core v6.5 ein Sammelupdate veröffentlicht, das sie alle auf einmal schließt.

16 LÜCKEN, FÜNF DAVON „HIGH“

Von den 16 behobenen Schwachstellen gelten fünf als „High Severity“ mit CVSS-Werten zwischen 7,3 und 7,8, vier weitere liegen im mittleren Bereich (CVSS 5,9 bis 6,5), der Rest ist mit niedrigerer Priorität eingestuft. Die gravierendste Lücke (CVSS 7,8) erlaubte eine Befehlsausführung über eine manipulierte Prozess-ID — die Funktion getFTLPID() akzeptiert jetzt nur noch PIDs, die tatsächlich zu einem laufenden pihole-FTL-Prozess gehören, auch bei der Log-Rotation.

WENN DER DOKUMENTENSTAMM WANDERT

Eine zweite kritische Lücke (CVSS 7,7) erlaubte es, den Dokumentenstamm der Web-Oberfläche über einen Teleporter-Import oder einen Symlink zu verschieben — ein Angriffsweg, über den sich im schlimmsten Fall die Kontrolle über das Webinterface erschleichen ließe. Dazu kommt eine Lücke mit CVSS 6,5: Über authentifizierte App-Sitzungen mit eigentlich nur lesendem Zugriff ließen sich Passwort-Hashes und das TOTP-Geheimnis auslesen — betroffen sind die API-Endpunkte /api/config und /api/teleporter.

Eine weitere Root-Rechte-Lücke (CVSS 7,3) betraf unsichere Schreibvorgänge auf konfigurationsgesteuerte Pfade; das Skript gravity.sh führt sich jetzt konsequent als eingeschränkter pihole-Nutzer aus statt als Root.

NEBENBEI: SPARSAMERES LIVE-LOG UND PUNYCODE

Neben den Sicherheitsfixes gibt es auch funktionale Verbesserungen: Das Live-Log läuft jetzt über einen Ringpuffer und verbraucht dadurch deutlich weniger CPU-Last im Dauerbetrieb. Internationalisierte Domainnamen werden jetzt automatisch nach Punycode umgewandelt statt pauschal abgelehnt, und die Speicherverwaltung wurde optimiert — rund 22 MB weniger Arbeitsspeicher pro Million Anfragen.

BISLANG KEINE AKTIVE AUSNUTZUNG

Anders als beim Plex2Shell-Fall vom selben Tag gibt es bei den Pi-hole-Lücken bislang keine Berichte über aktive Ausnutzung in freier Wildbahn. Die Melder der kritischsten Lücken — darunter die Sicherheitsforscher abdoghazy2015, KimiSecurityTeam, keithlinneman und Pedromdsn — haben die Fehler offenbar im Rahmen regulärer Sicherheitsforschung gefunden, nicht nach beobachteten Angriffen.

SO AKTUALISIERST DU SICHER — in 5 MINUTEN

Sicherung zuerst: Über die Weboberfläche oder mit pihole-FTL --teleporter eine Konfigurationssicherung anlegen.
Update einspielen: Per SSH pihole -up ausführen, bei Docker-Installationen auf das Image 2026.10.0 wechseln.
Zertifikat beachten: Das selbstsignierte Zertifikat der Weboberfläche wird dabei erneuert — wer es manuell in Browser oder Betriebssystem importiert hat, muss es dort neu einspielen.
Nachsehen, ob Blocklisten, Statistiken und das Webinterface nach dem Update wie gewohnt laufen.

FAZIT: Auch die kleinsten Dienste brauchen Pflege

Pi-hole läuft bei vielen seit Jahren unauffällig im Hintergrund — genau das macht Updates so leicht vergessbar. 16 Lücken in einem Rutsch zeigen aber: Auch ein schlanker DNS-Dienst sammelt über die Zeit Sicherheitsschulden an. Wer Pi-hole im Heimnetz betreibt, sollte das Update nicht aufschieben, auch ohne akute Ausnutzung in der Praxis.

Häufige Fragen

Wie viele Lücken wurden mit dem Update geschlossen?

Insgesamt 16 Sicherheitslücken über FTL, Web und Core verteilt: fünf mit hoher Priorität (CVSS 7,3 bis 7,8), vier mit mittlerer Priorität (CVSS 5,9 bis 6,5) und sieben mit niedrigerer Einstufung. Die gravierendste erlaubte eine Befehlsausführung über eine manipulierte Prozess-ID.

Wurden die Lücken schon aktiv ausgenutzt?

Nach aktuellem Stand gibt es keine Berichte über aktive Ausnutzung in freier Wildbahn. Die kritischsten Lücken wurden von externen Sicherheitsforschern im Rahmen regulärer Prüfungen gemeldet, nicht im Zusammenhang mit beobachteten Angriffen.

Wie aktualisiere ich Pi-hole am sichersten?

Am einfachsten per SSH mit dem Befehl pihole -up, bei Docker-Installationen über einen Wechsel auf das Image 2026.10.0. Vorher empfiehlt sich eine Konfigurationssicherung über die Teleporter-Funktion, damit im Fehlerfall nichts verloren geht.

Muss ich nach dem Update etwas an Zertifikaten ändern?

Ja, möglicherweise. Das selbstsignierte Zertifikat der Weboberfläche wird beim Update erneuert. Wer es zuvor manuell im Browser oder Betriebssystem als vertrauenswürdig importiert hat, muss diesen Schritt nach dem Update wiederholen.

SCHOCK! Dein Pi-hole hatte 16 offene Lücken gleichzeitig — JETZT updaten und Passwort-Hashes retten