Die freie Firewall-Distribution OPNsense ist am 11. November 2026 in Version 26.7.9 erschienen. Das Update schließt nach Angaben der Entwickler vier neu veröffentlichte Sicherheitsmeldungen im Kernsystem, beseitigt Leistungsprobleme bei Firewall-Regeln und Aliassen und kennzeichnet Benutzerberechtigungen künftig nach ihrem tatsächlichen Wirkungsbereich. Hinzu kommen Änderungen am Dashboard, den Netzwerkschnittstellen und mehreren mitgelieferten Programmen.
Die offiziellen Versionshinweise zu 26.7.9 führen die Änderungen im Detail auf. Für Betreiber von Firewall-Appliances oder virtualisierten OPNsense-Instanzen sind besonders die Korrekturen bei der Verarbeitung großer Regelwerke, die Anpassungen an Benutzerrechten und das veränderte lokale Logging relevant.
Schnellere Verarbeitung von Firewall-Regeln und Aliassen
Mehrere Korrekturen betreffen die Verwaltung großer oder komplexer Regelwerke. OPNsense behebt eine Leistungsregression, die bei der Anzeige automatisch erzeugter Regeln auftrat. Die Software soll außerdem Regelmodelle seltener doppelt laden und Suchanfragen gezielter aufbereiten. In Umgebungen mit vielen Regeln kann das insbesondere das Arbeiten in der Weboberfläche erleichtern.
Auch bei Aliaslisten wurden Performanceprobleme korrigiert. Aliasse fassen beispielsweise ganze IP-Netze oder Portgruppen zusammen und werden häufig eingesetzt, um Firewallregeln übersichtlich zu halten. Daneben wurde die Bereinigung externer Aliaslisten überarbeitet. Diese Änderungen betreffen die Administration der Regeln; aus den Release Notes folgt nicht automatisch, dass sich der Durchsatz sämtlicher Datenverbindungen erhöht.
Weitere Einträge behandeln die Validierung von Portbereichen beim Source-NAT, Fehler im pf-Paketfilter und Korrekturen bei Netzwerktreibern. Administratoren, die spezielle NAT-Regelwerke oder komplexe Schnittstellenkonfigurationen betreiben, sollten nach dem Upgrade die zugehörigen Funktionen überprüfen.
Vier Sicherheitsmeldungen und neue Kennzeichnung für Benutzerrechte
Das Projekt verweist ausdrücklich auf vier neue Sicherheitsadvisories für das Kernsystem. Die Veröffentlichung umfasst außerdem zahlreiche Sicherheits- und Stabilitätsänderungen in Systemdiensten und Bibliotheken. Eine pauschale Aussage, dass alle vier Meldungen aus der Ferne ausnutzbare Lücken seien, lässt sich aus den allgemeinen Release Notes nicht ableiten; dafür müssen die einzelnen Advisories betrachtet werden.
Neu ist eine zusätzliche Anzeige für Berechtigungen in der Benutzer- und Rechteverwaltung. OPNsense klassifiziert die Wirkung von Rechten als administrative, limited oder unrestricted. Hintergrund ist, dass scheinbar eingeschränkte Einzelrechte durch zugrunde liegende Prozesse dennoch weitreichende Systemzugriffe auslösen können.
Die neue Kennzeichnung soll Administratoren besser erkennen lassen, ob ein Recht faktisch privilegierte Systemfunktionen freigibt. Bei limited besteht kein Zugriff auf Root-Prozesse; unrestricted beschreibt Komponenten ohne entsprechende Begrenzung. Die Angaben helfen bei der Rechteprüfung, ersetzen aber keine sorgfältige Rollen- und Zugriffsplanung. In der Herstellerdokumentation sind auch ältere PHP-Seiten mit besonders weitreichender Wirkung ausdrücklich erwähnt.
Änderungen bei Protokollierung, Dashboard und Schnittstellen
Die Dashboard-Komponenten werden technisch überarbeitet. Künftig können bestimmte Widgettypen geklont werden, um mehrere Ansichten mit unterschiedlichen Inhalten zusammenzustellen. Gleichzeitig erhält die Gesundheitsanzeige Verbesserungen bei Diagrammdaten und Formatierung. OPNsense führt zudem eine neue Kennzeichnung von Berechtigungen in der Benutzerübersicht ein.
Für den Betrieb wichtig ist eine Änderung beim Logging: Die Entwickler unterdrücken lokale Protokollierung standardmäßig und bieten dafür eine Option im Zusammenhang mit Remote-Logging. Wer Logs zur Fehlersuche oder als Nachweis in Überwachungssystemen benötigt, sollte nach dem Update die tatsächlich aktiven Ziele und die gewünschte Aufbewahrung prüfen. Eine unveränderte Protokollierung darf nicht ohne Nachkontrolle vorausgesetzt werden.
Bei Schnittstellen ergänzt das Release die Unterstützung für TAP-Geräte. Die Hostwatch-Funktion kann Hostnamen über Reverse-DNS auflösen, und bei IPv6-Präfixdelegation wird ein Fehler in der Zuordnungseinstellung behoben. Für Captive-Portals kommen unter anderem eine konfigurierbare CORS-Richtlinie pro Zone und Anpassungen bei IPv6-Sitzungen hinzu.
OpenVPN 2.7.9 und weitere aktualisierte Komponenten
Im Paketbestand führt OPNsense für Version 26.7.9 unter anderem OpenVPN 2.7.9, OpenSSH 10.6p2, Python 3.13.18 und SQLite 3.54.1 auf. Dazu kommen aktualisierte Plugins, darunter ACME Client 4.18, Caddy 2.2.3, FreeRADIUS 1.10.3 und FRR 2.1.
Die Intrusion-Detection-Komponente erweitert die Unterstützung von Suricata-Datasets und verwendet für URLhaus ein optimiertes Regelset. Für Unbound wird eine Sperrproblematik beim Abruf von Blocklisten behoben. Betreiber dieser Funktionen sollten die jeweils aktiven Plugins, Regeln und Dienste nach einem Update gezielt überprüfen.
Was Betreiber vor und nach dem Update prüfen sollten
Vor dem Update empfiehlt sich eine aktuelle exportierte Konfiguration. Auf produktiven Gateways ist außerdem zu klären, ob eine kurze Unterbrechung von Routing, VPN-Tunneln, Telefonie oder Standortverbindungen eingeplant werden muss. Bei Hochverfügbarkeitsverbünden sind die Hinweise zur Aktualisierungsreihenfolge und der Versionsstand beider Knoten zu beachten.
Nach der Aktualisierung sollten Firewall- und NAT-Regeln, dynamische Aliasse, VPN-Verbindungen und gegebenenfalls Captive-Portal-Anmeldungen kontrolliert werden. Aufgrund der Anpassungen bei Protokollierung und Benutzerrechten verdienen insbesondere Logziele, Benutzerrollen und Audit-Zugriffe Aufmerksamkeit. Wer Hostwatch, TAP-Schnittstellen oder die betroffenen Plugins einsetzt, sollte auch deren Funktion prüfen.
Eine vollständige Übersicht der Änderungen, einschließlich der Änderungen an FreeBSD-Komponenten und Plugins, enthält die offizielle Release-Liste des OPNsense-Projekts. Sie ist für die Entscheidung maßgeblich, welche Punkte für die eigene Installation relevant sind.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten