Virtualisierung trennt Anwendungen und Systeme sehr wirkungsvoll voneinander. Diese Trennung hängt jedoch auch vom Kernel des Hosts ab. Deshalb gehören Kernel-Updates bei Proxmox nicht zur nebensächlichen Pflege, sondern zum Sicherheitsbetrieb.
Was ist Januscape?
Januscape ist der Name einer Schwachstelle in der KVM/x86-Implementierung des Linux-Kernels. Sie wird als CVE-2026-53359 geführt. Technisch handelt es sich um einen Use-after-free-Fehler in der sogenannten Shadow-MMU. Diese Komponente hilft KVM dabei, den Speicherzugriff virtueller Maschinen abzubilden.
Besonders relevant ist das mögliche Angriffsszenario: Ein Angreifer, der Code innerhalb einer entsprechend präparierten virtuellen Maschine ausführen kann, könnte versuchen, die Grenze zwischen Gast und Host zu überwinden. Das macht die Lücke für gemeinsam genutzte oder öffentlich erreichbare Virtualisierungsumgebungen wichtiger als einen gewöhnlichen Fehler innerhalb einer einzelnen VM.
Wichtig: Nicht jede Proxmox-Installation ist automatisch kompromittiert. Die Meldung ist aber ein klarer Grund, verfügbare Kernel-Updates zeitnah und kontrolliert einzuspielen.
Welche Proxmox-Kernel enthalten die Korrektur?
Proxmox-Mitarbeitende nannten im Juli 2026 unter anderem die Kernel-Versionen 6.8.12-33-pve, 6.17.13-16-pve und 7.0.14-4-pve als Versionen mit der Korrektur. Welche Kernel-Reihe für einen Host vorgesehen ist, hängt von der eingesetzten Proxmox-Version und dem konfigurierten Repository ab.
Die Versionsnummer sollte deshalb nicht blind als Installationsziel verwendet werden. Massgebend sind die freigegebenen Aktualisierungen im korrekt eingerichteten Enterprise- oder No-Subscription-Repository des jeweiligen Systems.
So sollte ein Update vorbereitet werden
Welche Kontrollen sind sinnvoll?
- Mit
pveversion -vdie installierten Proxmox-Pakete prüfen - Mit
uname -rkontrollieren, welcher Kernel tatsächlich läuft - Nach dem Neustart Cluster, Storage, Netzwerk und Backup-Ziele prüfen
- Bei mehreren Nodes nacheinander aktualisieren und jeden Node einzeln verifizieren
- Auch die Betriebssysteme innerhalb der VMs und Container separat aktuell halten
Warum «Update installiert» nicht genügt
Linux kann mehrere Kernel parallel installiert haben. Nach einem Paketupdate läuft zunächst weiterhin der Kernel, mit dem der Host gestartet wurde. Erst ein Neustart lädt die neue Version. Darum ist die Kontrolle mit uname -r so wichtig: Sie zeigt den aktiven Kernel und nicht nur, welche Pakete auf der Festplatte liegen.
Bei produktiven Systemen sollte ein Neustart nie spontan erfolgen. Gute Wartung bedeutet, Backups zu prüfen, Abhängigkeiten zu kennen, ein Zeitfenster zu vereinbaren und für den Fehlerfall einen Rückweg vorzubereiten.
Unsere Empfehlung
Proxmox-Hosts sollten regelmässig geprüft und zeitnah aktualisiert werden. Sicherheitsmeldungen wie Januscape zeigen, warum lange Laufzeiten allein kein Qualitätsmerkmal sind. Ein sauber geplanter Neustart mit anschliessender Kontrolle ist sicherer als ein monatelang ungepatchter Host.
Quellen und weitere Informationen
Die Angaben wurden am 25. Juli 2026 geprüft. Kernel-Pakete können sich je nach Proxmox-Version und Repository unterscheiden.