Die Entwickler des DNS-basierten Werbeblockers Pi-hole haben neue Versionen der Komponenten des Systems veröffentlicht. Sie schließen 15 im Projekt-Blog aufgeführte Sicherheitslücken, von denen fünf als hochriskant gelten. Die gravierendsten ermöglichen etwa das Einschleusen und Ausführen von Befehlen.

Im Pi-hole-Blog führen die Programmierer die Änderungen in einem Beitrag aus. Am wichtigsten sind demnach fünf Sicherheitslücken, die die aktualisierte Fassung stopft:

• Local privilege escalation from pihole user to root via CVE-2026-41489 fix bypass (noch ohne CVE, CVSS 7.8, Risiko „hoch“)
• arbitrary root file clobber / chmod / disclosure via updatecheck.sh cron following /etc/pihole/versions symlink (noch ohne CVE, CVSS 7.8, Risiko „hoch“)
• Local privilege escalation through pihole-FTL ambient CAP_CHOWN capability (noch ohne CVE, CVSS 7.8, Risiko „hoch“)
• Authenticated File Read and Fix Bypass (noch ohne CVE, CVSS 7.7, Risiko „hoch“)
• Pi-hole: gravity.sh chowns arbitrary directory to pihole via files.gravity config path (root LPE) (noch ohne CVE, CVSS 7.3, Risiko „hoch“)

Vier weitere Schwachstellen stufen die Entwickler als mittleren Bedrohungsgrad ein, weitere sechs als niedriges Risiko.

Bösartige Akteure können durch die Sicherheitslücken also Befehle einschleusen, ihre Rechte ausweiten und Dateien manipulieren. Mit den Versionen FTL v6.8, Web v6.6.1 sowie Core v6.5 und neueren sollen diese Schwachstellen der Vergangenheit angehören. Die Docker-Images enthalten die Fehlerkorrekturen ab Stand 2026.10.0.

Das Pi-hole-Projekt weist darauf hin, dass die einzelnen Pi-hole-Bestandteile noch weitere Verbesserungen und Korrekturen erhalten haben. So arbeitet das Live-Log nun als Ringpuffer, anstatt für jeden neuen Eintrag den gesamten Puffer zu verschieben, was deutlich CPU-Zeit spart. Internationalisierte Domainnamen auf Listen lehnt Pi-hole nicht mehr als ungültig ab, sondern konvertiert sie in Punycode und blockiert sie. Außerdem rotiert Pi-hole die Log-Dateien nicht mehr doppelt, da es inzwischen in /etc/logrotate.d auftaucht.

Wer vor dem Update auf Nummer sicher gehen will, kann mittels Teleporter ein Backup der Konfiguration erstellen. Die Funktion findet sich im Webinterface unter „Settings“ – „Teleporter“, alternativ erledigt das der Befehl sudo pihole-FTL --teleporter. Im Anschluss befördert der Befehl sudo pihole -up das Update aufs System.

Im September hat das Pi-hole-Projekt zuletzt gravierende Sicherheitslücken geschlossen. Sie ermöglichten Angreifern, Schadcode einzuschleusen und auszuführen.

(dmk)