Ceph: Dringendes Sicherheitsupdate für Squid und Tentacle

Das Ceph-Projekt hat mit Squid 19.2.6 und Tentacle 20.2.4 zwei sicherheitsrelevante Hotfix-Releases veröffentlicht. Betreiber von Ceph-Clustern sollten sofort aktualisieren.

* Update vom 9. September 2026 *

Proxmox hat zur notwendigen Ceph-Sicherheitsmigration ein Skript bereitgestellt und weist gleichzeitig auf bevorstehendes EOL von Ceph Squid 19.2. hin:
zum Proxmox-Forum
Proxmox weist zudem darauf hin, dass ein CEPH Netzwerk, was nicht in einem ungeschützten Netzwerk angedockt ist, die Gefahrenlage weniger kritisch ist.
zum Proxmox-Forum

Die neuen Ceph-Versionen beheben insgesamt vier Sicherheitslücken (CVEs), die unter anderem die CephX-Authentifizierung, den RADOS Gateway (RGW) und den Ceph Monitor betreffen. Besonders relevant ist CVE-2025-30156: Die Schwachstelle ermöglicht einen Authentifizierungs-Bypass und erfordert im Zuge des Updates eine Rotation der CephX-Schlüssel. Dafür führt Ceph mit aes256k einen neuen Schlüsseltyp ein.

Bei cephadm und Rook werden Teile der Schlüsselrotation automatisiert, dennoch sind insbesondere Client-Schlüssel und bestehende OpenStack-Integrationen zu beachten. Für RGW-Multisite-Umgebungen gelten zusätzliche Upgrade-Schritte. Ceph empfiehlt ausdrücklich, bestehende Installationen so schnell wie möglich auf Squid 19.2.6 oder Tentacle 20.2.4 zu aktualisieren.

Bei PVE 9.2 und Ceph 20.2.4 können aktuell RBD-Operationen wegen der entfernten Option --auth_supported fehlschlagen. Dazu gibt es inzwischen auch einen offiziellen Bugreport.

Infos zu der Sicherheitslücke finden Sie hier

Weitere Links zum Nachverfolgen:

Hinweise aus dem Proxmox-Forum

Ein neues Migrationsskript, das einmalig für den Cluster ausgeführt werden muss, gibt es ab PVE-Manager 9.2.12. Die dazu gehörige Dokumentation ist ab pve-docs Version 9.2.5 verfügbar. Derzeit befinden sie sich noch im Test-Repository, stehen aber zeitnah zur Verfügung.

Wir unterstützen Sie gern bei Upgrade und Schlüsselrotation!