Pi-hole Sicherheitsupdate: Codeschmuggel & Rechteausweitung geschlossen
Der DNS-Werbeblocker Pi-hole hat zwei kritische Lücken im Web-Interface gepatcht – Code Injection & Privilege Escalation. Für Unternehmen und Heimnetze im Kreis Heinsberg ein akutes Risiko, weil Pi-hole direkt im DNS-Pfad sitzt.
Pi-hole hat am 27.04.2026 zwei kritische Web-UI-Lücken (Codeschmuggel + Rechteausweitung) gepatcht. Wer Pi-hole im LAN betreibt: sofort pihole -up, Webinterface aus dem Internet nehmen, starkes Passwort, Logs auf verdächtige Logins prüfen.
Was genau ist passiert?
Die Programmierer von Pi-hole haben am Wochenende neue Pakete veröffentlicht. Sie schließen zwei Sicherheitslücken in der Web-Oberfläche – also genau in dem Teil, den die meisten Admins im Heim- oder Firmennetz aktiv nutzen. Im Klartext: Angreifer konnten unter bestimmten Bedingungen Befehle auf dem System ausführen und sich höhere Rechte verschaffen.
Die Lücken reihen sich in eine Vorgeschichte ein: Bereits unter CVE-2025-53533 wurde 2025 eine XSS-Schwachstelle in der Pi-hole Admin-UI öffentlich – die Angriffsfläche im Web-Interface ist also kein Einzelfall.
Code Injection
Angreifer konnten unter bestimmten Bedingungen schädlichen Code in die Web-Oberfläche einschleusen und auf dem Host ausführen.
Privilege Escalation
Normale Nutzer-Sessions konnten administrative Rechte erlangen – Konfiguration, Listen, DNS-Verhalten manipulieren.
Remote angreifbar
Besonders kritisch bei Pi-hole-Instanzen, deren Web-UI öffentlich erreichbar ist – egal ob bewusst oder versehentlich freigegeben.
XSS-Vorgeschichte
Bereits 2025 wurde mit CVE-2025-53533 eine XSS-Lücke in der Admin-UI gemeldet – die Angriffsfläche ist also nicht neu.
Besonders brisant: Viele Pi-hole-Installationen laufen auf Raspberry Pi oder Mini-Servern – oft ohne zusätzliche Härtung, ohne MFA, ohne Monitoring.
Warum das wirklich gefährlich ist
Pi-hole sitzt direkt im Herz deines Netzwerks: DNS. Wer DNS kontrolliert, kontrolliert, wohin deine Geräte wirklich verbinden – egal was im Browser steht. Wird Pi-hole kompromittiert, sind das die realistischen Szenarien:
Traffic umleiten
Manipulierte DNS-Antworten leiten Mitarbeitende auf Phishing- oder Malware-Server um – ohne dass eine Browser-Warnung erscheint.
Datenverkehr überwachen
Wer DNS kontrolliert, sieht, welche Dienste, Banken und Cloud-Plattformen genutzt werden – die Basis für gezieltes Spear-Phishing.
Hintertüren ins Netzwerk
Pi-hole läuft oft auf einem Raspberry Pi mit SSH und sudo. Ein Web-UI-Hack wird schnell zur dauerhaften Backdoor im LAN.
Lateral Movement
Vom kompromittierten DNS-Host springt der Angreifer auf NAS, Kameras, IoT, Office-Geräte – das gesamte Netzwerk steht offen.
Für Unternehmen im Kreis Heinsberg – speziell KMU mit gemischten Home-Office- und Office-Setups – ist Pi-hole oft das einzige zentrale DNS-Tool. Genau dort darf eine Web-UI-Lücke nicht offen stehen.
Was du jetzt SOFORT tun solltest
Update einspielen (Pflicht)
Pi-hole sofort auf die aktuelle Version bringen: pihole -up. Anschließend pihole -v prüfen, FTL- und Web-Komponenten müssen aktualisiert sein. Bei Container-Setups das offizielle Image neu ziehen.
Webinterface absichern
Kein öffentlicher Zugriff. Webinterface ausschließlich aus dem internen LAN oder über VPN erreichbar machen. Starkes Admin-Passwort setzen, Standard-Konten und Demo-Zugänge entfernen.
System härten
Regelmäßige OS-Updates (apt update && apt full-upgrade), restriktive Firewall-Regeln (ufw allow from <LAN> to any port 80,443,53), SSH per Key statt Passwort, fail2ban aktivieren.
Monitoring aktivieren
DNS-Queries, Login-Versuche und Webinterface-Zugriffe in zentralem Logging korrelieren. Auffälligen Traffic (unbekannte Upstream-DNS, ungewöhnliche Domains) gezielt analysieren.
Wasacon Insight: Realität 2026
Die meisten erfolgreichen Angriffe starten nicht bei der Next-Gen-Firewall. Sie starten bei kleinen, vergessenen Systemen: DNS-Server, NAS, IoT-Gerät, Home-Server, Drucker. Genau dort fehlen Patch-Management, Zugriffskontrolle und Monitoring.
Ein Werbeblocker wird schnell zur Eintrittskarte ins Netzwerk.
Wer Pi-hole, NAS und IoT ernst nimmt, braucht EDR/XDR auf den zentralen Hosts, eine konsequente Netzwerksegmentierung und ein klares Backup- und Patch-Konzept. Ohne diese drei Bausteine bleibt jede Sicherheitslücke im Web-Interface ein offener Eingang.
Pi-hole, NAS und IoT in deinem Netz – sind sie wirklich sicher?
Wir prüfen DNS-Server, Webinterfaces, Firewall-Regeln und Logs deiner Infrastruktur – persönlich vor Ort im Kreis Heinsberg, deutschlandweit per Remote. Schwachstellenanalyse, Härtung und kontinuierliches Monitoring aus einer Hand.
Wasacon in deiner Region
Häufig gestellte Fragen
Mehr aus dem Linux-, DNS- & Supply-Chain-Cluster
So sicherst du DNS-, Linux- und Web-UI-Komponenten konkret ab:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
