Verwaltest du deine Container mit Portainer? Dann hast du seit gestern was zu tun. Version 2.45.0 ist erschienen, das neue LTS-Release — und zwischen den üblichen Neuerungen steht in den Release Notes ein Satz, der es in sich hat: Nicht-Admin-Nutzer konnten die Zugriffskontrolle komplett umgehen und direkt mit der Docker-API reden. Als „kritisch" stuft Portainer das selbst ein.

Kurz gesagt: Portainer 2.45.0 LTS schließt eine kritische Lücke im Docker-Proxy plus eine ganze Reihe weiterer Sicherheitslöcher. Das Update dauert drei Befehle und deine Einstellungen bleiben erhalten. Nicht auf nächste Woche schieben.
Schaubild: Portainer-Update in 3 Schritten — alten Container stoppen und entfernen, frisches LTS-Image ziehen, Container neu starten
Der ganze Update-Weg auf einen Blick — Details weiter unten.

Was ist neu?

Erstmal zur Einordnung: LTS steht für Long Term Support, also die stabile Schiene, die lange gepflegt wird. 2.45.0 löst das bisherige 2.39 LTS ab und sammelt die Arbeit aus fünf Zwischenversionen ein. Entsprechend lang ist die Liste — spannend sind vor allem die Sicherheitsfixes:

  • Die kritische Docker-Proxy-Lücke: Schickte ein Nutzer Anfragen mit einem unbekannten API-Versions-Präfix wie /v1.47.0/, ließ Portainer sie ungeprüft durch. Heißt übersetzt: Ein Nicht-Admin-Konto konnte an allen Berechtigungen vorbei direkt Container starten, stoppen und konfigurieren.
  • Rest von CVE-2026-44849 beseitigt: Die Swarm-Lücke (CVSS 9.4), über die Standardnutzer Sicherheitsauflagen aushebeln konnten, war schon größtenteils gefixt. Jetzt ist auch der letzte Spalt zu, und Bind-Mount-Beschränkungen gelten endlich auch für Compose- und Swarm-Stacks.
  • Kubernetes-Baustellen: Standardnutzer konnten über manipulierte Shell-Anfragen Befehle in fremden Pods ausführen, und Read-only-Konten durften Secrets im Klartext lesen. Beides behoben.
  • Frischer Unterbau: Die Go-Version 1.26.6 stopft unter anderem eine 9.6er-Lücke, dazu kommen Updates für gut zwei Dutzend CVEs in Bibliotheken.
Docker-API? Die Fernbedienung für Docker selbst: Wer mit ihr reden darf, kann Container erstellen, löschen und dabei auf Dateien des ganzen Servers zugreifen. Zugriff auf die Docker-API ist praktisch Root-Zugriff auf den Host — genau deshalb sitzt Portainer normalerweise als Türsteher davor.

Neben dem Sicherheitspaket gibt's auch Funktionales: erweiterte Optionen zum geordneten Leerräumen von Kubernetes-Nodes, eigene APIs für Secrets und Deployments, und hinter einem Reverse Proxy landet jetzt die echte Client-IP im Login-Protokoll statt der Proxy-Adresse. Eine Verhaltensänderung solltest du kennen: Wer einen Stack löscht, löscht ab sofort auch das zugehörige Helm-Release mit. Das blieb bisher einfach weiterlaufen.

Warum ist das wichtig?

Portainer ist in vielen Homelabs die Schaltzentrale für alles, was in Containern läuft. Und die Proxy-Lücke hebelt genau das Versprechen aus, für das man Portainer mit mehreren Konten betreibt: dass eben nicht jeder alles darf.

Ehrlicherweise gilt auch: Bist du der einzige Admin auf deiner Instanz, gibt es niemanden, der diese Rechteausweitung ausnutzen könnte. Entwarnung ist das trotzdem keine. Die gepatchten Bibliotheks-Lücken betreffen jede Installation, und mit dem LTS-Wechsel bekommt die alte 2.39er-Schiene ihre Fixes nicht mehr ewig. Viel Holz für ein einziges Update.

Solltest du updaten?

Ja. Die gute Nachricht: Ein Portainer-Update ist herrlich unspektakulär, weil alle Daten im Volume liegen. Drei Befehle, fertig:

docker stop portainer
docker rm portainer
docker pull portainer/portainer-ce:lts

Danach startest du den Container mit deinem gewohnten docker run-Befehl neu, zum Beispiel dem Standard aus der Portainer-Doku:

docker run -d -p 8000:8000 -p 9443:9443 --name portainer --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer-ce:lts

Alle Einstellungen, Nutzer und Stacks sind danach wieder da. Zwei Kleinigkeiten noch: Falls du Portainer-Agents auf anderen Maschinen laufen hast, zieh die auf dieselbe Version nach. Und Kubernetes-Nutzer denken beim nächsten Stack-Löschen an die neue Helm-Logik von oben.

Wenn du gerade dabei bist und dein Monitoring noch Lücken hat: Wie du mit Uptime Kuma in einer halben Stunde eine Statusübersicht für alle deine Dienste baust, haben wir diese Woche Schritt für Schritt gezeigt.

Meine Einschätzung: Die Lücken sind unangenehm, aber sauber dokumentiert und mit minimalem Aufwand gefixt — genau so wünscht man sich das. Nach den 22 UniFi-Löchern neulich ist das schon die zweite Erinnerung in einer Woche, dass Update-Disziplin im Homelab kein Nice-to-have ist. Wer Portainer mit mehreren Nutzern oder gar aus dem Internet erreichbar betreibt, macht das Update heute Abend. Alle anderen spätestens am Wochenende.

Wie hältst du es mit der Container-Verwaltung: Klickst du in Portainer, oder bist du Team Terminal und docker compose reicht dir völlig? Und falls du Portainer nutzt — haben da außer dir überhaupt noch andere Konten Zugriff? Schreib's in die Kommentare.

One more thing … solche Update-Warnungen kommen bei uns immer dann, wenn sie wirklich anstehen. Wenn du sie nicht verpassen willst: Der Newsletter unten bringt neue Beiträge direkt in dein Postfach, mehr nicht.

Quellen