--- title: "Nginx Proxy Manager 2.17: Sicherheitsfixes und Vorsicht bei DNS-Plugins" date: 2026-11-12T19:23:18+01:00 modified: 2026-11-12T19:23:18+01:00 category: docker type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/nginx-proxy-manager-2-17-sicherheitsfixes-dns-plugins keywords: - Nginx Proxy Manager - Reverse Proxy - Docker - Certbot - Let's Encrypt - Sicherheitsupdate - Selfhosting reading_time: 4 --- # Nginx Proxy Manager 2.17: Sicherheitsfixes und Vorsicht bei DNS-Plugins Nginx Proxy Manager ist seit dem 12. November 2026 in Version 2.17.0 verfügbar. Das Update der verbreiteten Weboberfläche für Reverse Proxy und Let's-Encrypt-Zertifikate bringt mehrere Sicherheitskorrekturen: Die Anmelde-Endpunkte erhalten eine Begrenzung der Anfragen, ein sogenanntes Authentifizierungs-Orakel wird geschlossen, und die Zertifikats-API gibt keine privaten Schlüssel mehr in ihren Antworten aus. Relevant ist das für alle, die Nginx Proxy Manager im Docker-Container betreiben, ob auf einem NAS, einem Mini-Server oder einem VPS. Wer Zertifikate über DNS-Challenges ausstellt, sollte vor dem Update die Hinweise zu den DNS-Plugins lesen, denn die neue Certbot-Version kann bestehende Plugins brechen. Ein Update im nächsten Wartungsfenster mit vorheriger Sicherung ist sinnvoll. ## Was ist passiert? Laut den Versionshinweisen auf GitHub enthält 2.17.0 neben Funktionsänderungen diese sicherheitsrelevanten Punkte: - Die Anmelde-Endpunkte sind jetzt mengenbegrenzt, Berechtigungen von Nutzern für Proxy-Hosts sind enger gefasst. - Ein Authentifizierungs-Orakel ist behoben: Laut dem zugehörigen Pull Request ließ sich an Fehlermeldung und Antwortzeit fehlgeschlagener Anmeldungen erkennen, ob ein Konto existiert. Jetzt gibt es für unbekannte Konten, gesperrte Konten und falsche Passwörter dieselbe Meldung. - Das Prüfen von Zertifikaten verlangt nun eine Anmeldung. - Die Zertifikats-API lässt das Feld `certificate_key` in ihren Antworten weg. Laut Pull Request gab sie bisher den privaten Schlüssel selbst hochgeladener Zertifikate an jeden Nutzer aus, der Zertifikate lesen darf. - Unbekannte Felder bei Änderungen an Nutzerberechtigungen werden abgelehnt, weil ein zusätzliches Feld das Backend zum Absturz bringen konnte. - Aktualisierte Abhängigkeiten im Backend beheben laut Projekt 15 von 16 Sicherheitswarnungen zu Abhängigkeiten, darunter eine Denial-of-Service-Lücke im Paket body-parser. Dazu kommen Betriebskorrekturen: Zugriffslisten und SSL-Einstellungen gingen beim Neuschreiben von Host-Konfigurationen verloren, nginx lud nach einer Zertifikatserneuerung nicht korrekt neu, und bei Certbot-Fehlern zeigt die Oberfläche jetzt den echten Grund statt „Internal Error“. Das Image bringt OpenResty 1.31.8.1, Certbot 5.9.0 und s6-overlay 3.2.3.2 mit. ## Für wen ist das relevant? Die Korrekturen gibt es erst ab 2.17.0. Besonders wichtig ist das Update, wenn die Verwaltungsoberfläche aus dem Internet erreichbar ist oder mehrere Nutzer mit eingeschränkten Rechten angelegt sind, denn dann greifen die neuen Begrenzungen und Rechteprüfungen. Wer Zertifikate per DNS-Challenge ausstellt, muss zusätzlich auf die Certbot-Änderungen achten. ## Wie kritisch ist das? Das Projekt hat zu seinen eigenen Korrekturen weder CVE-Nummern noch Sicherheitshinweise auf GitHub veröffentlicht, die Liste der Sicherheitshinweise im Repository war am Abend des 12. November leer. Eine Schweregradbewertung gibt es damit nicht, die Quellen nennen keine Angriffe. Die Begrenzung der Anmeldeversuche und das geschlossene Orakel zählen vor allem bei einer offen erreichbaren Oberfläche, die Korrekturen an Schlüsseln und Rechten vor allem bei mehreren Nutzern. Das ist eine eigene Einschätzung. Das größere Risiko im Alltag liegt beim Update selbst: Laut Versionshinweisen haben die DNS-Plugins für Akamai EdgeDNS, Beget und Infomaniak inkompatible Änderungen. Das Projekt empfiehlt zu erwägen, Zertifikate dieser Anbieter neu auszustellen und die alten zu entfernen. ## Was sollten Admins jetzt tun? - Inventar: Die laufende Version feststellen, am Image-Tag geht das nur, wenn nicht `latest` verwendet wird. - Sicherung: Vor dem Update die eingebundenen Ordner für Daten und Zertifikate sichern, in der Compose-Vorlage des Projekts `./data` und `./letsencrypt`. - DNS-Plugins: Prüfen, ob Zertifikate per DNS-Challenge über EdgeDNS, Beget oder Infomaniak laufen, und deren Neuausstellung einplanen. - Update: Das Image `jc21/nginx-proxy-manager:2.17.0` ziehen und den Container neu erstellen. - Fehlersuche: Scheitert ein DNS-Plugin, empfiehlt die Projektdokumentation, die Container-Logs auf Fehler von Certbot oder bei der Installation von Python-Paketen zu prüfen. - Kontrolle: Nach dem Neustart Zugriffslisten, SSL-Einstellungen und die Zertifikatserneuerung der wichtigsten Hosts prüfen. - Härtung: Die Verwaltungsoberfläche, in der Projektvorlage auf Port 81, nicht öffentlich erreichbar machen, sondern nur aus dem internen Netz oder per VPN. Weil Docker veröffentlichte Ports an Firewall-Regeln wie ufw vorbei freigeben kann, hilft es, den Port nur an eine interne Adresse zu binden. ## Einordnung für Unternehmen Nginx Proxy Manager ist im Selfhosting-Umfeld und in kleinen Firmen oft die zentrale Stelle, über die alle Dienste nach außen gehen. Gerade deshalb lohnt es sich, Sicherheitskorrekturen auch ohne CVE-Nummer ernst zu nehmen. Schon Version 2.16.0 warnte im September vor Problemen mit DNS-Plugins nach einem Certbot-Update. Ein Update mit Sicherung und kurzer Kontrolle der Zertifikate erspart einen ungeplanten Ausfall beim nächsten automatischen Erneuern. ## Passende Anleitungen auf S-EDV - [Nginx Proxy Manager auf der Synology mit Container Manager einrichten: Reverse Proxy und SSL Schritt für Schritt](https://s-edv.com/anleitungen/nginx-proxy-manager-synology-container-manager) - [UGREEN NAS: Nginx Proxy Manager mit Docker einrichten](https://s-edv.com/anleitungen/ugreen-nas-nginx-proxy-manager) - [Bitwarden selbst hosten mit Vaultwarden, Docker & Nginx Proxy Manager](https://s-edv.com/anleitungen/bitwarden-selbst-hosten-vaultwarden-docker-nginx-proxy-manager) ## Quellen - [Nginx Proxy Manager: Versionshinweise zu 2.17.0](https://github.com/NginxProxyManager/nginx-proxy-manager/releases/tag/v2.17.0) - [Nginx Proxy Manager: Pull Request zum Authentifizierungs-Orakel](https://github.com/NginxProxyManager/nginx-proxy-manager/pull/6023) - [Nginx Proxy Manager: Pull Request zu certificate_key](https://github.com/NginxProxyManager/nginx-proxy-manager/pull/5891) - [Nginx Proxy Manager: Dokumentation zu Certbot](https://nginxproxymanager.com/certbot/) - [Nginx Proxy Manager: Dokumentation zur Einrichtung](https://github.com/NginxProxyManager/nginx-proxy-manager/blob/develop/docs/src/setup/index.md) - [Linuxiac: Bericht zur Veröffentlichung](https://linuxiac.com/nginx-proxy-manager-2-17-released-with-security-and-ssl-fixes/)