wg-easy 15.5: Sicherheitsfixes, AmneziaWG 3.1 und Trusted Proxies

Das Projekt wg-easy hat am 24. Oktober 2026 die Version 15.5.0 veröffentlicht. Die Weboberfläche für WireGuard bringt Sicherheitskorrekturen mit: ein aktualisiertes Node.js im Container und eine Änderung an der API, die private Schlüssel nicht mehr in den Client-Details ausliefert. Dazu kommen Unterstützung für AmneziaWG 3.1, ein konfigurierbarer Name für die WireGuard-Schnittstelle und eine Einstellung für vertrauenswürdige Proxys.

Betroffen sind alle, die wg-easy als Container betreiben, besonders mit von außen erreichbarer Weboberfläche. Wer das Image über den Tag 15 bezieht, bekommt die neue Version mit dem nächsten Pull. Eine aktiv ausgenutzte Lücke ist nicht bekannt, ein Notfall-Patch in der Nacht ist daher nicht nötig. Das Update gehört aber zeitnah ins nächste Wartungsfenster, bei öffentlich erreichbarer Oberfläche eher in den nächsten Tagen.

Was ist passiert?

Laut Release-Notes behebt 15.5.0 mehrere Node.js-Schwachstellen. Die Notiz verweist auf die Node.js-Sicherheitsupdates vom 21. Oktober 2026, ohne einzelne CVEs für wg-easy aufzuschlüsseln. Welche dieser Lücken in wg-easy tatsächlich erreichbar waren, lässt sich aus den Angaben nicht ableiten. Einen Überblick über das Node.js-Update gibt der S-EDV-Beitrag zum Node.js-Sicherheitsupdate im Oktober 2026.

Unabhängig davon enthält die Version den Fix „omit private keys from client detail API“: Die API liefert in den Detailangaben eines Clients keine privaten Schlüssel mehr. Wie linuxiac einordnet, sinkt damit das Risiko, dass VPN-Zugangsdaten über API-Anfragen abfließen. Außerdem dokumentiert das Projekt jetzt, wie sich Rate-Limiting für öffentlich erreichbare Installationen einrichten lässt.

Was ändert sich sonst?

• AmneziaWG 3.1: Die Komponenten inklusive amneziawg-go wurden aktualisiert. AmneziaWG soll VPN-Verkehr für Deep Packet Inspection schwerer erkennbar machen.
• Der Name der WireGuard-Schnittstelle ist konfigurierbar, praktisch bei mehreren Schnittstellen oder festen Namenskonventionen.
• Trusted Proxies: wg-easy lässt sich sauberer hinter einem Reverse Proxy betreiben.
• Prometheus-Metriken enthalten nun den Endpunkt der Peers, IPv6-Adressen als Client-Endpoint werden korrekt in eckige Klammern gesetzt.
• Neu sind Übersetzungen für Schwedisch und Aserbaidschanisch sowie eine Dokumentation für VoidAuth per OpenID Connect.

Wer ist betroffen?

Alle Installationen bis einschließlich 15.4 laufen noch mit den älteren Node.js-Komponenten und der alten API-Antwort. Am stärksten profitieren Instanzen, deren Oberfläche direkt aus dem Internet erreichbar ist. Wer wg-easy nur im internen Netz oder ausschließlich über das VPN selbst verwaltet, hat ein geringeres Risiko. Der WireGuard-Tunnel selbst ist von den Node.js-Fixes nicht berührt, sie betreffen die Weboberfläche und ihre API.

Wie kritisch ist das?

Mittel. Es gibt keine Meldung über aktive Angriffe, und das Projekt nennt keine eigene CVE für wg-easy. Wer die Weboberfläche öffentlich betreibt, sollte trotzdem nicht bis zum Monatsende warten, weil die API mit privaten Schlüsseln zu tun hat.

Was sollten Admins jetzt tun?

• Laufende Version prüfen, etwa mit docker ps und docker image inspect ghcr.io/wg-easy/wg-easy:15, und mit 15.5.0 abgleichen.
• Image gezielt pinnen: In der GitHub Container Registry zeigen die Tags 15 und 15.5.0 zum Zeitpunkt der Recherche auf denselben Digest. Wer reproduzierbar aktualisieren will, setzt 15.5.0 fest, wer automatisch Minor-Updates möchte, nutzt 15.
• Update einspielen: docker compose pull und docker compose up -d, vorher das Datenverzeichnis sichern.
• Bei Betrieb hinter Reverse Proxy die neue Trusted-Proxy-Einstellung setzen und das dokumentierte Rate-Limiting umsetzen.
• Prüfen, ob die Weboberfläche überhaupt öffentlich erreichbar sein muss. Oft genügt der Zugriff aus dem internen Netz oder über das VPN.

Einordnung für Unternehmen

wg-easy ist in kleinen Unternehmen beliebt, weil sich damit ein WireGuard-Server samt Benutzerverwaltung in wenigen Minuten aufsetzen lässt. Gerade deshalb laufen viele Instanzen ohne festen Update-Prozess. Das Release ist ein guter Anlass, Image-Tags bewusst zu wählen und Container-Updates fest einzuplanen. Die neue Unterstützung für AmneziaWG ist vor allem für Umgebungen interessant, in denen VPN-Verkehr gefiltert wird. Für den klassischen Homeoffice-Zugang bleibt normales WireGuard der Standard.

Passende Anleitungen auf S-EDV

• wg-easy mit Docker installieren: WireGuard-VPN mit Web-UI in einem Container
• Node.js-Sicherheitsupdate Oktober 2026
• WireGuard-VPN für Homeoffice und Standorte einrichten

Quellen

• wg-easy: Release v15.5.0 auf GitHub (24.10.2026, 17:13 UTC)
• linuxiac: WireGuard Easy 15.5 Adds AmneziaWG 3.1 Support, Security Fixes
• Node.js: October 2026 Security Releases (21.10.2026)
• wg-easy: Container-Image in der GitHub Container Registry