Bekannte Probleme
Auf Async-Edge-Umgebungen kann beim Durchsuchen eines Snapshots ein ungültiges Datum für den Aktualisierungszeitplan angezeigt werden.
Bei der Unterstützung von Podman gibt es folgende Einschränkungen: Das automatische Onboarding-Skript unterstützt keine Podman-Umgebungen. Es ist nicht möglich, Podman-Umgebungen über einen Socket hinzuzufügen, wenn der Portainer-Server auf Docker läuft (und umgekehrt). Unterstützt werden ausschließlich CentOS 9 und Podman 5 im rootful-Modus.
Neue und verbesserte Funktionen
Portainer führt erweiterte Drain-Optionen für Kubernetes-Knoten mit Agent-Failover ein. Zudem wurden native Portainer-APIs zum Schreiben von Kubernetes-Secrets, ConfigMaps, Deployments und Persistent Volume Claims hinzugefügt, die direkte Aufrufe des kube-apiserver-Proxys ersetzen. Eine generische API für Dry-Runs von Kubernetes-Manifesten ist ebenfalls verfügbar.
Edge-Compute-Einstellungen können nun bereits während der Ersteinrichtung und über CLI-Flags konfiguriert werden. Bei Authentifizierungsereignissen wird jetzt die echte Client-IP aus dem X-Forwarded-For-Header erfasst, wenn die Anfrage über einen vertrauenswürdigen Proxy erfolgt. Der YAML-Tab eines Namespaces zeigt nun alle Ressourcenquoten des Namespaces an.
Der asynchrone Edge-Agent unterstützt jetzt GetCharts(), sodass Diagrammdaten beim Agentenstart synchronisiert werden. Die Konnektivitätsprüfungen des Edge-Agents melden den Fortschritt während des Probings und warten länger, bevor sie fehlschlagen. Beim Erstellen einer Git-Quelle wird der Schritt zur Auswahl des Quelltyps übersprungen. Das Quellformular erläutert jetzt den Unterschied zwischen Git-Polling und Webhook-Triggern und macht die zuvor in der UI fehlende Einstellung für das Polling-Intervall sichtbar.
Weitere Verbesserungen: Der redundante Einzel-Tab-Handle in der Workflow-Detailansicht wurde entfernt. Der Tooltip bei der Registrierungserstellung wurde umformuliert, um das Standardverhalten klarzustellen. Es wird nun klargestellt, dass Portainer Podman ausschließlich über dessen Docker-kompatible API unterstützt.
Sicherheitsverbesserungen
Ein kritischer Autorisierungs-Bypass im Docker-Proxy wurde behoben: Nicht erkannte API-Versionspräfixe wie /v1.47.0/ oder /v01.47/ umgingen die Zugriffskontrolle vollständig und ermöglichten Nicht-Admin-Benutzern direkten Zugriff auf die Docker-API. Eine verbleibende Lücke in der CVE-2026-44849-Fix (GHSA-5fxq-qcf3-244w) wurde geschlossen und die Bind-Mount-Beschränkungen für Nicht-Admin-Benutzer ausgeweitet, einschließlich Compose- und Swarm-Stack-Deployments.
Kubernetes-Endpunkte für einzelne Namespaces prüfen jetzt die Namespace-Berechtigung des Aufrufers, statt als Admin zu agieren. Read-only- und Helpdesk-Benutzer können keine Kubernetes-Secret-Daten mehr einsehen. Standardbenutzer können den Registrierungszugriff nicht mehr verwalten. Autorisierungsfehler bei Kubernetes liefern nun HTTP 403 statt 500. Eine Schwachstelle in der Kubernetes-Shell wurde behoben: Vom Aufrufer übergebene Abfrageparameter konnten das Pod-Ziel des Servers überschreiben, sodass ein Standardbenutzer Befehle in beliebigen Pods auf agentenverwalteten Kubernetes-Umgebungen ausführen konnte.
Die Go-Toolchain wurde auf 1.26.6 aktualisiert und behebt CVE-2026-39821 (Kritisch, 9.6), einen IDNA-Validierungs-Bypass von hostnamebasierten Zugriffskontrollen, sowie CVE-2026-42505, CVE-2026-39822, CVE-2026-56862, CVE-2026-56860, CVE-2026-56859, CVE-2026-56858, CVE-2026-56853, CVE-2026-46600 und CVE-2026-33818. Weitere Abhängigkeitsaktualisierungen: oras.land/oras-go/v2 auf 2.6.2 (behebt CVE-2026-50163), github.com/go-git/go-git/v5 auf 5.19.2 (behebt CVE-2026-71556 und CVE-2026-71557), go.opentelemetry.io/otel auf 1.44.0 (behebt CVE-2026-41178), github.com/klauspost/compress auf 1.18.7 (behebt GHSA-259r-337f-4rfw).
Im kubectl-shell-Image wurde libcurl auf 8.21.0-r0 aktualisiert, um folgende CVEs zu beheben: CVE-2026-11856, CVE-2026-10536, CVE-2026-11564, CVE-2026-12064, CVE-2026-11586, CVE-2026-11352, CVE-2026-9547, CVE-2026-9546, CVE-2026-9545, CVE-2026-9080, CVE-2026-9079, CVE-2026-8932, CVE-2026-8927, CVE-2026-8926, CVE-2026-8925, CVE-2026-8924, CVE-2026-8458 und CVE-2026-8286. Außerdem wurde c-ares auf 1.34.8-r0 aktualisiert, um CVE-2026-33630 zu beheben.
Behobene Fehler
Beim Entfernen eines Stacks wird nun die zugrunde liegende Helm-Release deinstalliert, die zuvor weiterlief. Edge-Stack-Workloads auf Kubernetes blieben nach dem Löschen aktiv; jetzt werden die Eintragsdatei und der Namespace beim Entfernen mitgesendet. Kollisionen beim Entfernen und Neuzuweisen von Edge-Stacks wurden behoben: Der alte Stack wird jetzt vor dem Deployment des neuen entfernt. Der Fehler „Lstat /data/edge_stacks/
Azure-Blob-Backup-Einstellungen wurden nicht gespeichert, weil redigierte Anmeldeinformationen beim Schreiben aufgelöst wurden; dies ist korrigiert. Die manuelle Team-Mitgliedschaftssynchronisierung wich von der Synchronisierung beim Login ab; beide nutzen nun eine gemeinsame Implementierung. Metadatenfelder von serververwalteten API-Schlüsseln wurden bei Richtlinienaktualisierungen gelöscht; dies wurde behoben. Leerzeichen in Setup-Richtliniennamen verursachten Kubernetes-Label-Fehler; das ist behoben. Die Richtlinienkarte im Kubernetes-Dashboard zählte nicht alle angewendeten Richtlinientypen; jetzt werden alle gezählt. Richtlinienoperationen liefern nun eine aussagekräftige Fehlermeldung, wenn die Richtlinie nicht gefunden wird, statt eines bloßen 404.
Der Bearbeiten-Button für einen von GitHub bereitgestellten Helm-Chart-Stack war deaktiviert; das wurde korrigiert. Die Browser-Titelleiste blieb nach einem Seiten-Reload auf „Loading“ hängen; jetzt wird sie korrekt aktualisiert. Mehrere Fehlertoasts für einen Metrik-Zeitraum über 31 Tagen wurden behoben und das übermäßige Wiederholen der Anfrage gestoppt. Die Validierung des Alarm-Modals war nicht synchron mit der Eingabe; das wurde behoben. Die Navigation „In OneUptime öffnen“ verwendete eine falsche URL; jetzt stimmt sie. Der Deinstallieren-Button war in der Add-on-Liste aktiviert, aber in der Detailansicht deaktiviert, während eine Installation lief; das wurde vereinheitlicht. Der Neustart-Button wird bei fehlgeschlagenen Add-on-Installationen nicht mehr angezeigt.
Veraltete und entfernte Funktionen
Es wurden keine Funktionen als veraltet markiert oder entfernt.
Community-Beiträge seit 2.39.0 LTS
Dieses LTS-Release bündelt die Arbeit aus den STS-Releases 2.40 bis 2.44 und enthält zahlreiche Korrekturen und Verbesserungen aus der Community. Dazu gehören unter anderem: Korrektur des OAuth-Scope-Platzhalterformats, Auflösung relativer env_file-Pfade relativ zum Compose-Dateiverzeichnis (behebt Git-Unterverzeichnis-Stacks), Anzeige von Umgebungsvariablen-Beschreibungen als Tooltips in Anwendungstemplates, Kürzung langer Listen veröffentlichter Ports mit einem „Mehr anzeigen“-Badge, Sichtbarmachen früher Fehler bei asynchronen Swarm-Deployments, Behebung eines Registry-Cache-Typfehlers, der Cache-Treffer verhinderte, Korrektur umgekehrter Markdown-Link-Syntax in den Beitragsdokumenten, Behebung eines Kubernetes-Absturzes bei fehlerhaften Web-Editor-Manifesten, Hinzufügen von Docker –security-opt-Unterstützung und Selbstheilung von Swarm-Clustern nach Manager-Ausfall sowie Toleranz gegenüber fehlerhaften OAuth-Content-Type-Headern von Ressourcen-Endpunkten. Ein herzliches Dankeschön an alle Beitragenden.
