Wer seine Fotos nicht Google, sondern lieber dem eigenen Server anvertraut, landet neben Immich oft bei Piwigo — einer der ältesten und am längsten aktiv gepflegten selbst gehosteten Foto-Galerien überhaupt, seit 2002 im Einsatz. Am 25. September 2026 wurden für die Software gleich zwei unabhängige kritische Lücken veröffentlicht, jede mit einem CVSS-Wert von 9,1.
LÜCKE 1: Der Logo-Upload als Hintertür
CVE-2026-42322 steckt in einer eigentlich harmlosen Funktion: dem Hochladen eines eigenen Logos über admin/themes_standard_pages.php. Piwigo prüft dabei zwar den MIME-Typ der hochgeladenen Datei, übernimmt für den gespeicherten Dateinamen aber die vom Angreifer kontrollierte Dateiendung ungeprüft. Wer also eine Datei mit gültigem Bildinhalt, aber der Endung .php hochlädt — technisch als Doppelendung wie logo.jpg.php — kann sie in einem öffentlich erreichbaren Verzeichnis platzieren. Ruft man diese Datei anschließend per Browser auf, führt der Webserver sie als Skript aus.
Die Einschränkung: Für diesen Weg braucht ein Angreifer bereits Administratorrechte in Piwigo. Das senkt die Dringlichkeit etwas, macht die Lücke aber zu einem gefährlichen zweiten Schritt, falls ein Admin-Konto auf anderem Weg — etwa über ein wiederverwendetes Passwort — bereits kompromittiert wurde.
LÜCKE 2: SQL-Injection ganz ohne Anmeldung
Deutlich brisanter ist CVE-2026-62262, weil sie überhaupt keine Anmeldung voraussetzt. Ist die Bewertungsfunktion (Rating) aktiviert, kann ein anonymer Besucher über den Funktionsaufruf pwg.images.filteredSearch.create einen präparierten Wert im Parameter ratings[] übergeben. Piwigo speichert diesen Wert in den Suchregeln, prüft dabei aber nur die untere Grenze des Bewertungsbereichs als Zahl — die obere Grenze wird ungeprüft als Roh-SQL in die Abfrage eingefügt. Über die anschließend zurückgegebene Such-URL lässt sich so die Datenbank per Fehler-basierter oder blinder SQL-Injection auslesen.
Beide Lücken betreffen Versionen vor 16.4.0 beziehungsweise, im Fall der SQL-Injection, alle Stände bis einschließlich 17.0.0beta1. Für keine der beiden ist bislang öffentlicher Exploit-Code aufgetaucht.
WAS DAS FÜR DEINE FOTO-BIBLIOTHEK BEDEUTET
Eine Foto-Galerie speichert oft mehr als nur Urlaubsbilder: Nutzerkonten, E-Mail-Adressen, private Alben, in manchen Setups sogar Zahlungsdaten für Bildverkäufe. Eine erfolgreiche SQL-Injection könnte genau diese Datenbank offenlegen. Und wer Piwigo öffentlich erreichbar betreibt, um Bilder mit Familie oder Kunden zu teilen, bietet damit automatisch auch die Angriffsfläche für die anonyme Lücke.
SO AKTUALISIERST DU SICHER — in 5 MINUTEN
- Version prüfen: Unter „Verwaltung → Wartung“ oder direkt in der
main.inc.phpnachsehen, welche Piwigo-Version läuft. - Auf 16.4.0 oder neuer aktualisieren. Wer bereits eine 17.0-Beta testet, sollte auf die entsprechend gepatchte Folgeversion warten oder vorübergehend auf den stabilen 16.4.x-Zweig zurückwechseln.
- Bewertungsfunktion prüfen: Wird sie nicht aktiv genutzt, lässt sie sich in den Einstellungen deaktivieren und schließt damit den anonymen Angriffsweg vorab.
- Admin-Zugänge härten: Starke, einzigartige Passwörter und, falls verfügbar, Zwei-Faktor-Absicherung für Administratorkonten — das entschärft die erste Lücke zusätzlich.
- Logs kontrollieren: Auffällige Dateien im Logo-Verzeichnis oder ungewöhnlich lange, verschachtelte Suchanfragen in den Zugriffsprotokollen sind ein Warnzeichen.
FAZIT: Auch Nischen-Software braucht Patchdisziplin
Piwigo ist kein Werkzeug mit Millionen Installationen wie WordPress, sondern eine solide Nischenlösung für alle, die ihre Fotos wirklich selbst kontrollieren wollen. Genau deshalb wird sie seltener geprüft und die Updates seltener eingespielt. Zwei unabhängige 9,1er-Lücken am selben Tag sind eine gute Erinnerung: Auch die ruhige, altbewährte Software im Homelab gehört auf die Liste der Dinge, die regelmäßig aktualisiert werden.