Die Containerverwaltung Podman ist am 10. November 2026 in den Versionen 6.2.0 und 5.8.10 erschienen. Beide Ausgaben schließen drei Sicherheitslücken, die beim Bezug manipulierter Images, beim automatischen Neustart von Diensten und bei der Einschränkung von Systemaufrufen eine Rolle spielen. Wer Podman produktiv einsetzt, sollte deshalb den installierten Versionszweig und die verfügbaren Paketupdates prüfen. Die neue 6.2-Version bringt außerdem Änderungen für die Verwaltung von Containern und für Podman Machine unter Windows.
Drei Sicherheitskorrekturen in beiden Versionszweigen
Die offiziellen Release Notes führen für beide Versionen dieselben drei behobenen Schwachstellen auf. Die Fehler betreffen unterschiedliche Schutzmechanismen und sollten nicht miteinander verwechselt werden.
Ungeprüfte Image-Labels können systemd-Dienste beeinflussen
Bei CVE-2026-121885 übernahm Podman Angaben zur automatischen Aktualisierung aus den Labels eines Container-Images. Manipulierte Labels konnten dazu führen, dass podman auto-update nicht den vorgesehenen, sondern andere systemd-Units neu startet. Nach Angaben des Projektteams sind unter bestimmten Voraussetzungen sogar schwerwiegende Verfügbarkeitsstörungen möglich. Die Korrektur verhindert, dass diese Steuerlabels ungeprüft aus dem Image in den Container übernommen werden. Das Projekt bewertet den Fehler mit einem CVSS-Wert von 6,5. Das Sicherheitsbulletin empfiehlt bis zur Aktualisierung, Auto-Updates für nicht vertrauenswürdige Images zu vermeiden und die entsprechenden Container-Labels zu kontrollieren.
Umgehung von Digest- und Signaturprüfungen
CVE-2026-111361 betrifft die Integritätskontrolle von Container-Images: Ein manipuliertes Image konnte laut Sicherheitsmeldung so konstruiert werden, dass es den Digest eines anderen Images nachbildete, obwohl sich Schichten und Konfiguration unterschieden. Damit war die Verlässlichkeit von Digest-Referenzen und Signaturprüfungen eingeschränkt. Die Advisory der Container-Bibliotheken nennt neben den Podman-Korrekturen auch bereinigte Bibliotheksversionen. Für Betreiber eigener Build- und Deployment-Pipelines ist dieser Punkt besonders wichtig, wenn Images anhand ihres Digests oder ihrer Signatur freigegeben werden.
Seccomp-Regel lässt sich über Argumentdarstellung umgehen
Die dritte Schwachstelle, CVE-2026-123876, liegt im Seccomp-Standardprofil. Bestimmte Verbotsregeln für Socket-Typen verglichen 64-Bit-Werte, während der Linux-Kernel die betreffenden Argumente auf 32 Bit verkürzt. Dadurch konnten manipulierte Argumente die beabsichtigte Sperre für AF_VSOCK und NETLINK_AUDIT umgehen. Die technische Schwachstellenbeschreibung erläutert diesen Mechanismus. Die Korrektur betrifft damit gezielt die Durchsetzung der beiden genannten Socket-Verbote im Standardprofil.
Was Podman 6.2.0 zusätzlich verändert
Mit der Version 6.2.0 erweitert das Projekt mehrere Verwaltungsfunktionen. podman push --platform kann gezielt ein Plattform-Manifest übertragen, statt eine gesamte Multi-Architektur-Manifestliste zu verwenden. podman kube play erhält unter anderem eine Validierungsoption für unbekannte YAML-Felder und die Möglichkeit, bei entsprechenden Deployments mehrere Pods anzulegen. Für Quadlet kommen neue Einstellungen zur Umask und zu Abhängigkeiten von Mount-Pfaden hinzu. Auch podman auto-update lässt sich nun mittels Filter auf bestimmte Container einschränken.
Für Windows-Nutzer ändert sich der WSL-Unterbau von Podman Machine: Der WSL-Provider unterstützt nun systemd nativ. Podman 6.2.0 setzt laut Release Notes mindestens WSL 2.5.1 voraus; für die Netzwerkanbindung mit nftables wird mindestens WSL 2.7.5 empfohlen. Bestehende Maschinen mit dem bisherigen, eigenen systemd-Mechanismus bleiben vorerst unterstützt. Wer Podman unter Windows betreibt, sollte vor einem Versionswechsel den WSL-Stand prüfen und betroffene Entwicklungsumgebungen testen.
Welche Updates Betreiber jetzt prüfen sollten
- Version prüfen: Mit
podman --versionden installierten Stand ermitteln. Die Sicherheitskorrekturen sind upstream in 6.2.0 beziehungsweise 5.8.10 enthalten. - Paketquelle berücksichtigen: Linux-Distributionen stellen Korrekturen teilweise als zurückportierte Pakete bereit. Eine niedrigere Versionsnummer allein belegt daher noch nicht, dass ein gepflegtes Distributionspaket verwundbar ist. Maßgeblich sind die Security-Advisories des jeweiligen Paketmaintainers.
- Auto-Update-Konfiguration prüfen: Bei automatisch aktualisierten Containern und selbst bezogenen Images die systemd-Zuordnung und Auto-Update-Labels kontrollieren.
- Änderungen testen: Insbesondere bei Quadlet, Kubernetes-YAML, Podman Machine und eigenen Image-Verifikationsregeln nach dem Update einen kurzen Funktionstest einplanen.
Podman 5.8.10 ist dabei der Sicherheits- und Wartungsschritt für Installationen, die im 5.8-Zweig bleiben. Podman 6.2.0 bringt dieselben aufgeführten Sicherheitskorrekturen sowie zusätzliche Funktionen und Verhaltensänderungen mit. Ob und wann die Pakete in Debian, Ubuntu oder anderen Distributionen bereitstehen, richtet sich nach deren jeweiligen Paketquellen.
Herstellerangaben und technische Details
Die Release Notes für Podman 6.2.0 und für Podman 5.8.10 dokumentieren die veröffentlichten Änderungen. Ergänzend beschreiben die oben verlinkten Sicherheitsmeldungen die betroffenen Mechanismen und verfügbaren Patches.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten