Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Portainer ist die Schaltzentrale. Wer damit seine Container verwaltet, gibt der Oberfläche faktisch Kontrolle über den ganzen Host. Umso wichtiger, dass die neue LTS-Version 2.39.6 gleich zwei unangenehme Schwachstellen abdichtet.
WICHTIG: Diese zwei Lücken sind weg
1. SSRF-Schutz mit Erlaubnisliste. SSRF steht für Server Side Request Forgery. Vereinfacht gesagt: Ein Angreifer bringt deinen Server dazu, in seinem Namen Anfragen zu verschicken — und zwar an Ziele, an die der Angreifer selbst gar nicht herankommt. Zum Beispiel an interne Dienste in deinem Heimnetz. Portainer bringt jetzt eine konfigurierbare Erlaubnisliste mit drei Betriebsarten mit: aus, mitschreiben und durchsetzen.
2. Path Traversal im Swarm-Compose-Deployer. Hier konnten Pfade für Konfigurationen und Geheimnisse aus dem Projektverzeichnis ausbrechen — und damit potenziell Dateien außerhalb erreichen. Wer Docker Swarm einsetzt, sollte hier nicht zögern.
Dazu: Abhängigkeiten frisch gemacht
Das Portainer-Team hat die Go-Werkzeugkette von 1.25.11 auf 1.25.12 gehoben und die Bibliotheken golang.org/x/net auf 0.56.0 sowie golang.org/x/text auf 0.39.0 aktualisiert. Klingt technisch, ist aber genau die unspektakuläre Pflege, die verhindert, dass alte Bibliotheks-Lücken im Container schlummern.
Diese Fehler sind ebenfalls behoben
- Der direkte Umgebungs-Zugriff eines Nutzers wurde fälschlicherweise entfernt, sobald ein Team gelöscht wurde, dem er angehörte.
- Swarm-Stack-Bereitstellungen scheiterten beim erzwungenen erneuten Herunterladen privater Docker-Hub-Images — trotz korrekt hinterlegter Zugangsdaten.
So aktualisierst du in 5 MINUTEN
- Sichern: Volume oder Datenverzeichnis von Portainer wegkopieren. Erst sichern, dann aktualisieren — immer.
- Image ziehen: Neues LTS-Image herunterladen und den Container neu erzeugen. Deine Einstellungen liegen im Volume und bleiben erhalten.
- SSRF-Schutz einschalten: In den Einstellungen erst auf Mitschreiben stellen, ein paar Tage beobachten, dann auf Durchsetzen umlegen. So sperrst du dich nicht versehentlich selbst aus.
- Kontrollieren: Versionsnummer in der Oberfläche prüfen und einen Stack testweise neu bereitstellen.
EXTRA-TIPP: Portainer gehört nicht ins offene Netz
Der wichtigste Schutz kostet nichts: Die Portainer-Oberfläche sollte nur aus dem lokalen Netz oder über VPN erreichbar sein. Wer sie ins Internet stellt, bietet Angreifern eine Fernbedienung für sämtliche Container an. Als Unterbau reicht dafür längst ein sparsamer Mini-PC — ein Gerät wie der Minisforum UM890 Pro* stemmt einen kompletten Container-Stack aus Portainer, Reverse-Proxy und Datenbank ohne Mühe und zieht dabei kaum Strom.
Wer sein Container-Dashboard ohnehin gerade aufräumt: Wir haben früher schon Dockhand und Komodo als Alternativen vorgestellt.
FAZIT: Unauffällig, aber wichtig
2.39.6 ist kein Feature-Feuerwerk, sondern solide Wartung mit zwei ernsten Sicherheitskorrekturen. Genau die Art Update, die man gern verschiebt — und genau deshalb sollte sie heute noch raus.
Häufige Fragen
Was ist neu in Portainer 2.39.6?
Lohnt sich das Update sofort oder kann ich warten?
Bricht das Update meine bestehende Konfiguration?
Wie führe ich das Update durch?
Quellen
- GitHub: portainer/portainer Release 2.39.6 LTS
- Portainer Documentation: Release Notes
- Marius Hosting: Synology Portainer Docker Version 2.39.6
- Freedom.Tech: Portainer 2.39.6 (12.08.2026)