Wer zu Hause einen eigenen DNS-Resolver betreibt, kennt Unbound meist als stillen, zuverlässigen Hintergrunddienst — genau deshalb übersieht man Updates hier gerne. Am 16. September 2026 hat NLnet Labs die Version 1.26.1 veröffentlicht, und die ist kein gewöhnliches Wartungsupdate: Sie schließt eine kritische Sicherheitslücke, die jede bisherige Unbound-Version betrifft.
DER HAUPTFEHLER: CVE-2026-81642, CVSS 9,8
Der Fehler steckt in der DNSSEC-Validierung. Wenn Unbound einen DNSKEY-Eintrag prüft, dessen Owner-Name auf einen Kompressions-Zeiger innerhalb seiner eigenen Nutzdaten verweist, kann ein interner Digest-Puffer überlaufen — ein klassischer Heap-Buffer-Overflow. Wer eine bösartige DNS-Zone kontrolliert und einen verwundbaren Resolver dazu bringt, sie abzufragen, kann diesen Überlauf gezielt auslösen. Am Ende steht potenziell Codeausführung auf dem Server, auf dem Unbound läuft.
Betroffen sind alle Versionen bis einschließlich 1.26.0 — auch die eigentlich als Sicherheitsrelease gedachte 1.25.2 vom Juli und die erst im August erschienene 1.26.0.
ZWEITE LÜCKE: CVE-2026-82717, CVSS 8,1
Zusammen mit dem Hauptfehler hat NLnet Labs insgesamt neun Schwachstellen in 1.26.1 behoben. Die zweite kritische darunter betrifft die CNAME-Synthese bei der Verarbeitung von Upstream-Antworten: Muss Unbound dabei einen Max-TTL-Wert im Paketpuffer umschreiben und trifft dabei auf einen problematischen Kompressions-Zeiger, kann es ebenfalls zu Heap-Speicherfehlern kommen — je nach System und Kompiliereinstellungen reicht das von einem Absturz bis zu Codeausführung.
WARUM DAS AUCH IM HOMELAB WICHTIG IST
Unbound taucht selten als eigenständiges Programm in Schlagzeilen auf, steckt aber in sehr vielen Setups mit drin: als rekursiver Resolver hinter Pi-hole oder AdGuard Home, als Bestandteil von OPNsense und pfSense-Firewalls oder schlicht als eigenständiger DNS-Dienst auf einem Homelab-Server. Wer nicht genau weiß, ob eine Unbound-Instanz irgendwo mitläuft, sollte mit unbound -V oder über die jeweilige Firewall-Oberfläche kurz nachsehen — die Lücke lässt sich nicht durch Konfiguration entschärfen, nur durch das Update selbst.
GUTE NACHRICHT: BISLANG KEINE AKTIVE AUSNUTZUNG
NLnet Labs hat keine Hinweise auf aktive Ausnutzung gemeldet, und auch die US-Behörde CISA führt beide CVEs mit dem Status „keine bekannte Ausnutzung“. Das ist kein Grund zum Zögern, aber immerhin keine Zero-Day-Situation mit Angreifern, die bereits aktiv nach verwundbaren Resolvern scannen.
SO PATCHST DU RICHTIG
- Paketquelle: Bei Debian/Ubuntu über den Paketmanager aktualisieren, sobald das Backport verfügbar ist, oder direkt von nlnetlabs.nl bauen.
- OPNsense/pfSense: Auf die jeweilige Firewall-Distribution warten oder deren Unbound-Plugin manuell aktualisieren, sobald verfügbar.
- Docker-Container: Image neu ziehen, sobald der Maintainer 1.26.1 eingepflegt hat, dann Container neu starten.
- Nach dem Update: Mit
unbound -Vdie Version verifizieren und mit einer Testabfrage prüfen, ob der Resolver weiter sauber antwortet.
FAZIT: Kleiner Dienst, große Angriffsfläche
DNS-Resolver sind fast per Definition aus dem Internet erreichbar oder verarbeiten zumindest Antworten von dort — genau das macht Lücken wie diese so unangenehm. Ein Update dauert wenige Minuten, das Ignorieren kann teuer werden. Wer Unbound irgendwo im eigenen Netz stehen hat, sollte es heute noch aktualisieren, nicht erst beim nächsten großen Wartungsfenster.