Software-update: Pi-hole FTL 6.7.1

Versie 6.7.1 van Pi-hole FTL is verschenen. Pi-hole Core en Pi-hole Web zijn ongewijzigd en zitten nog op respectievelijk 6.4.3 en 6.6. Pi-hole is een advertising-aware dns- en webserver bedoeld om te draaien op een Raspberry Pi in het netwerk. Als op de router naar Pi-hole wordt verwezen voor dns-afhandelingen, zullen alle apparaten binnen het netwerk er automatisch gebruik van maken zonder dat er instellingen hoeven te worden aangepast. Vervolgens worden advertenties niet meer opgehaald, waardoor pagina's sneller laden. In potentie kan er ook malware mee buiten de deur worden gehouden. Voor meer informatie verwijzen we jullie door naar de uitleg en video's op deze pagina, deze handleiding van tweaker jpgview, of dit topic op ons forum. De releasenotes voor deze uitgave kunnen hieronder worden gevonden.

Security Fixes

• GHSA-2794-hrj8-5jg9 - Remote code execution and arbitrary file read via webserver.advancedOpts (High) reported by keithlinneman
• GHSA-ww5x-xx4x-qvjr - Remote code execution via exec-capable options in misc.dnsmasq_lines (High) reported by keithlinneman
• GHSA-gx63-h4w6-f46g - Configuration validators can be bypassed via Teleporter import, combined changes and document-root relocation (High)
• GHSA-7997-2868-rjfg - Stack buffer overflow in the blocked-answer path (Moderate) reported by 010011110

Behavior changes

• misc.dnsmasq_lines and webserver.advancedOpts can no longer be changed through the API or the web interface. They can still be set in pihole.toml, through environment variables and with pihole-FTL --config.
• Wrong-method API requests now return 405 with an Allow header, and OPTIONS names only the methods of the endpoint that fits the URI best.
• The CAP_NET_RAW startup warning is gone, dnsmasq reports it when it actually needs the capability.
• database.maxDBdays is an unsigned value now. A negative value kept the queries forever and is migrated to 4294967295, which continues to do so.

Fixes of note

• pi.hole and the local host name were answered with NODATA until restart once the interface cache went stale (#3050)
• An infinite loop in the dnsmasq config test when debug.config is enabled
• Webserver workers spinning at 100% CPU in the mbedTLS debug callback (#3106)
• Async-signal-safety in the real-time signal handler and the TCP worker terminator
• Query indices that went stale while the shared memory lock was released, and a domain lookup that gave up at once when a list change was being committed
• Database connection leaks and counter skew, gravity regex and search-term handling, config write races, API error paths and response correctness
• Memory-safety hardening in the netlink parsers, get_api_string(), base64_decode_update() and arp-scan

Versienummer	FTL 6.7.1
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	Pi-hole
Download	https://github.com/pi-hole/FTL/releases/tag/v6.7.1
Licentietype	GPL

Reacties (22)

[CH4OS]

Sinds een tijdje ben ik overgestapt op Technitium vanaf Pi-Hole. Ik begon te merken dat ik meer DNS functionaliteiten wilde met daarbij ad-blocking in begrepen, ipv een ad-blocker dat een beetje met DNS erbij doet. Nu ik die overstap heb gemaakt, vind ik een en ander net dat beetje fijner werken en kan ik (qua interne DNS) letterlijk alles wat ik wil.

Ik begrijp dat zoiets niet voor iedereen weggelegd is en dat ad-blocking met (basis) DNS functionaliteiten an sich prima kan zijn. Maar mocht je net dat ene beetje meer willen, dan geeft een andere tool gebruiken (zoals Technitium of Blocky), maar wat dan ook ad-blocking kan, wellicht net dat beetje meer vrijheid. Wat ik vooral wil aangeven: Kijk of bedenk dus wel goed wat je precies wilt en gebruik de tool die daar het beste bij past, in mijn ervaring zie ik veel mensen om mij heen een bepaalde tool gebruiken vanwege een functionaliteit (zoals ad-blocking) maar vervult het eigenlijk net de wens(en) niet volledig.

Pi-Hole is wat dat betreft ook echt wel een goede ad-blocking tool, maar voor andere mogelijkheden werkt het (imo) net niet goed genoeg. Denk dan aan DNS en/of DHCP. Ja, het zit ook in Pi-Hole, het werkt, maar je hebt wel een basale DNS en/of DHCP en daardoor werkt het tot op zekere hoogte. Dan kun je mijns inziens beter kijken naar een tool die dergelijk primaire (netwerk) taken goed doet en ad-blocking dan als extraatje erbij heeft, in mijn ervaring werkt dat net wat beter. Primair zou de functionaliteit immers DNS en/of DHCP moeten zijn, niet ad-blocking.

[Reactie gewijzigd door CH4OS op 20 september 2026 12:20]

[Klaus_1250]

Ik gebruik zelf Unbound in combinatie met Adguard op een Raspberry Pi. Voor mij is Adblocking wel echt een primaire functionaliteit. Idealiter gebruik je gewoon gespecialiseerde apps voor elke functie. Één tool die alles doet, daarmee lever je altijd ergens iets in.

[DikkieDick]

HIer draai ik al aantal jaren met Pihole icm Unbound. Er was ooit een Dockerimage waarin beiden zaten maar dat werd niet meer actief onderhouden dus ben toen zelf gaan stoeien na het ding geforked te hebben. En gebruik het nog steeds. Overigens de nieuwste Unbound-versie zit er bij mij nog niet in. Te druk met andere dingen maar met deze nieuwe Pihole zal ik weer eens er in duiken. Of misschien ook eens rondkijken naar de andere tips. Want idd als pihole eruit ligt dan heb ik hier een paar mekkerende mensen dat het internet het niet doet. Op de 1 of andere manier werkt de fallback in de router (nog) niet echt goed.

[Toet3r]

Ik heb dit zelf opgelost door pihole/unbound op 2 pi's te draaien in docker in combinatie met keepalived.
Op beide pi's heb ik hetzelfde virtuele ip adres aangemaakt. pi1 (master) heeft hogere prioriteit dan pi 2 (backup). Als pi1 down gaat dan neemt pi2 het over en wordt dan de master, totdat pi1 met hogere prioriteit weer online komt.
Het virtuele ip heb ik op mijn router in de dhcp servers als de dns server ingesteld.
Zo hoef ik maar 1 ip door te geven aan mijn clients en wordt automatisch de pi die reageert gekozen.
vond deze tutorial erg handig.

En om beide pi's gesynchroniseerd te houden gebruik ik nebula-sync maar dit zou ook met de teleport functie van pihole kunnen als je geen docker gebruikt.

[DikkieDick]

Thanx. Ik ga daar eens induiken. Pihole/Unbound draait nu op mijn NAS in docker. De pi4 is er nog en die zou dan idd als backup kunnen dienen.

[CH4OS]

Natuurlijk is ad-blocking een belangrijke functie, maar zonder DNS resolving, kun je ook geen ad-blocking doen, daarom noem ik DNS en DHCP primair en ad-blocking een extraatje. Zonder DHCP en DNS werkt het hele netwerk immers niet. Ad-blocking is dan een extra laag bovenop de DNS. Of je dat dan als aparte app doet, of het inbegrepen hebt in een tool zoals Technitium of Blocky is dan om het even natuurlijk.

[Reactie gewijzigd door CH4OS op 20 september 2026 14:13]

[Muncher]

Het is mij nu niet helemaal duidelijk:

1. Waar Technitium “een beetje beter” in is
2. Welke functionaliteit Technitium biedt die je gebruikt t.o.v. pi-hole.

Kan je dit toelichten? Want het klinkt wel interessant!

[CH4OS]

Technitium draait de rollen om. Dat is een volledige DNS (en eventueel ook DHCP) server, wat ook ad-blocking mogelijkheden biedt. Pi-Hole heeft in dat opzicht ook wel DNS functionaliteit, maar is veel beperkter ten opzichte van een "full fledged" DNS server.

Met Technitium draai je dus de rollen om, primair is dat dan de DNS server (wat ook bijvoorbeeld DOT/DOH doet), maar heeft ad-blocking als extraatje inbegrepen, waar Pi-Hole primair ad-blocking is en maar beperkte DNS (en eventueel DHCP) mogelijkheden heeft, die niet altijd hoeven te werken. Zo heb ik met Linux wat meer DNS issues gehad toen ik Pi-Hole als DNS draaide, maar je kunt veel soorten records bijvoorbeeld niet aanmaken en je hebt extra tools nodig om bijvoorbeeld DOT/DOH te laten werken (Unbound bijvoorbeeld).

[jb044]

Wat DOT/DOH betreft, er was een poos een docker image die simpelweg cloudflared aan de pihole image toevoegde. 127.0.0.1 + cloudflared poort aan pihole toevoegen als upstream dns provider en een DOH endpoint in de cloudflared config file instellen en gaan. Leek een beetje stil te staan dus ik heb dat toen simpelweg omgezet naar PiHole 6 (alpine) en op docker hub gezet:

jb044/pihole-doh | Docker Hub

Zal m ff updaten

Zelf uiteindelijk toch voor unbound + gluetun gekozen. Maar als je alleen DOH wilt is dat met PiHole ook niet zo spannend wil ik maar zeggen

[CH4OS]

Ik snap dat eea toevoegen aan Pi-Hole ook de wereld niet is, maar ik merkte op mijn eigen netwerk en gebruik wel, dat ik intussen Pi-Hole ontgroeid was en op zoek was naar wat meer. Uiteindelijk de stoute schoenen aan getrokken en Technitium geïnstalleerd, maar heb daarna eigenlijk ook geen moment meer omgekeken. Daarin zit DOT/DOH zover ik begrepen heb ook standaard inbegrepen. Voor mij was het dus niet alleen voor DOT/DOH toevoegen, ik wilde ook meer met DNS in mijn interne netwerk doen en Pi-Hole is daarin gewoon te beperkend.

[Ruvetuve]

Hier ook de overstap gemaakt en met name de zone splitsingen zijn veel gedetailleerder.

en de high availability (cluster) was een must voor mij. 1 server kan offline en netwerk blijft gewoon functioneren. Ideaal met upgrades.

Ik merkte echt dat als pihole plat ging voor onderhoud er hele gekke dingen gebeurden in mijn netwerk. DNS is dan zo cruciaal

probeer het eens. Geef Technitium hetzelfde ip adres, sluit pihole af en je kan altijd terug als fallback

[HaveBlue]

Ik heb hetzelfde pad bewandeld. Pi-Hole is een prachtig project wat ik jarenlang naar tevredenheid gebruikt heb. En Technitium maakt geavanceerde DNS-functionaliteit zoals primary/secondary zones, standaard recursive resolver, TSIG, DoH/DoT beschikbaar voor mensen die IT niet als dagbesteding hebben.

[GeeBee]

Is dat dan niet andersom?

PiHole is voor mensen die de IT niet als dagbesteding hebben? En dus tevreden zijn met standaard adblocking?

Het enige dat ik nog mis is adblocking op ipv6, dat krijg ik nog niet voor elkaar op PiHole.

[sweetdude]

ondanks dat ik IT wel als dagbesteding heb, is networking toch altijd weer anders dan de standaard dagbesteding

Maar met gezond boeren verstand kom je altijd heel ver heb ik gemerkt.
Om PiHole op IPv6 werkend te krijgen dien je natuurlijk een pihole te hbeben draaien met een IPv6 adres. onder "tools" -> "interfaces" zie je alle adressen die je nodig hebt.
Kopieer het Link local IPv6 adres naar je router en zet deze als IPv6 dns. Voor OpenWRT:
Ga naar Network > DNS (of Network > Interfaces > WAN / WAN6
Voeg bij de optie voor "Use custom DNS servers" het IPv6-adres van je Pi-Hole toe.

[pandit]

Ik draai PiHole in een dockercontainer op een intel Ubuntu server. Kan dat ook met deze?

[CH4OS]

Jazeker, dat kan ook met Technitium. Sterker nog, dat doe ik zelf ook. Verschil is dat ik het op Debian draai.

[pandit]

Ik Ubuntu server. Dus geen probleem. Dank je. Ik zie Technitium nu in de meuktracker.

[digibaro]

Ik heb 2 Pi-Hole waarmee alles praat (soort van HA), deze forwarden naar unbound / bind server voor het resolven op Internet (Root Servers) en resolven van de lokale domeinen. Doet op zich ook zijn ding en gebruik van DNS over secure paden ben ik zelf nog niet enthousiast van geworden, of alle informatie bij de lokale provider, of alle informatie bij de DNS provider.

[Reactie gewijzigd door digibaro op 20 september 2026 20:01]

[Jacco011]

Zoals ik het zie kan ik met Technitium DNS zowel de DHCP-Server als ook AdGuard/Pi-Hole weglaten. Zeer interessant. Ook heeft het een GUI, iets wat Unbound niet heeft. Ik ga het zeker uitproberen.

[Reactie gewijzigd door Jacco011 op 21 september 2026 10:49]

[Mitchell4you.]

hmm.. ik ben van pi-hole over gegaan naar IpFire

het heeft block list optie's.. en veel meer

[xxs]

Van een DNS Adblocker/DHCP naar een firewall?

Tja het kan.

[Mitchell4you.]

ja, rasberry weggegeven (en aangesloten) aan sister

Ipfire geinstallerd op een j4125/8gb ram die ik aantrof bij de kringloop

en nu..lol heb ik umbrelOs geinstalleerd..op een thinclient en weer een pi-hole op het netwerk

en zo blijf je tweaken