Prometheus 3.13.0 erschien am 1. Juli 2026 als Long-Term-Support-Release. Es schliesst eine XSS-Lücke in der Web-Oberfläche (CVE-2026-44990) und schickt Zugangsdaten bei Redirects auf andere Hosts nicht mehr mit. Das betrifft Scraping, Remote Read und Write, Alerting und Service Discovery. Dazu kommen mehrere Breaking Changes, etwa bei relativen Pfaden in HTTP-Konfigurationsdateien. Der Artikel erklärt, was vor dem Update zu prüfen ist.
Prometheus 3.13 ist seit dem 1. Juli 2026 verfügbar und trägt das Label Long-Term Support. Das Update bringt einen Sicherheits-Fix und ein geändertes Redirect-Verhalten, das bestehende Konfigurationen treffen kann.
Das Wichtigste in Kürze
- Prometheus 3.13.0 ist ein LTS-Release. Es erhält laut Projekt bis zum 31. Juli 2027 Fehlerkorrekturen für schwere Probleme.
- Eine XSS-Lücke in der Web-Oberfläche ist behoben. Sie trägt die Kennung CVE-2026-44990 und stammt aus der UI-Abhängigkeit sanitize-html.
- Zugangsdaten gehen bei Redirects auf andere Hosts nicht mehr mit. Das gilt für Authorization-Header, Basic Auth, Bearer-Token und OAuth2.
- Es gibt mehrere Breaking Changes. Prüfe vor dem Update die Konfiguration, besonders relative Pfade.
Sicherheit: XSS und Redirects
Die Web-Oberfläche nutzt die Bibliothek sanitize-html. Eine Aktualisierung schliesst die Lücke CVE-2026-44990 vom Typ Cross-Site Scripting. Wer die Oberfläche im Netz bereitstellt, sollte das Update deshalb zügig einplanen.
Die zweite Änderung betrifft die HTTP-Clients. Sie schicken bei einer Weiterleitung auf einen anderen Host keine Zugangsdaten mehr mit. Die Release Notes verweisen auf die Kennungen CVE-2025-4673 und CVE-2023-45289 und auf die Bibliothek prometheus/common in Version 0.69.0. Betroffen sind Scraping, Remote Read und Write, Alerting und Service Discovery.
Damit entfällt der Weg, auf dem Zugangsdaten bei einer Weiterleitung zu einem fremden Host gelangen. Zugleich kann es dazu führen, dass ein bisher funktionierendes Ziel nach dem Update keine Daten mehr liefert, wenn es hinter einer Weiterleitung auf einen anderen Host liegt.
Breaking Changes im Überblick
| Änderung | Betrifft | Was das bedeutet |
|---|---|---|
| Rule-Group-Pagination-Tokens nutzen SHA-256 statt SHA-1 | API | Clients sollten Tokens nicht zwischen Versionen speichern |
| Relative Pfade in HTTP-Konfigurationsdateien beziehen sich auf den Ordner der Datei | Konfiguration | Pfade zu Zertifikaten oder Tokens prüfen |
min() und max() als experimentelle Dauerfunktionen heissen min_of() und max_of() |
PromQL | Nur bei experimenteller Nutzung anpassen |
Lizenzen der npm-Pakete stehen in /assets/third-party-licenses.txt |
Auslieferung | Das Archiv npm_licenses.tar.bz2 entfällt |
Angaben aus den Release Notes von Prometheus 3.13.0. Die Spalte „Was das bedeutet“ ist eine Einordnung.
Neuerungen
Zu den Funktionen gehören experimentelle Such-Endpunkte für Metrik-, Label-Namen und Label-Werte, ein Filter für AWS-RDS-Instanzen, Unterstützung für Native Histograms bei geglätteten Rate-Berechnungen und Statistiken zu gelesenen Samples pro Abfrage. Zudem lassen sich Scrape-Einstellungen pro Ziel über interne Labels überschreiben.
Was Admins jetzt tun
Liste zuerst alle Scrape-Ziele und Remote-Endpunkte auf, die eine Weiterleitung auf einen anderen Host nutzen. Teste sie mit Version 3.13 in einer Stagingumgebung. Passe notfalls das Ziel an die endgültige Adresse an, statt Zugangsdaten über Hosts hinweg weiterzureichen.
Prüfe danach relative Pfade in HTTP-Konfigurationen und PromQL-Ausdrücke mit den umbenannten Funktionen. Laut der Release-Seite des Projekts endet der Support der vorherigen LTS-Linie 3.5 am 31. Juli 2026. Wer noch darauf läuft, hat also einen festen Termin. Eine Einführung in Monitoring mit anderen Werkzeugen findest du im Artikel zu Netdata und Claude fürs Homelab-Monitoring.
Zeitplan der Quelle
Das Release wurde am 1. Juli 2026 veröffentlicht. Die Quelle nennt kein späteres Update zu dieser Version. Der Stand dieses Beitrags ist damit der 1. Juli 2026.
Fazit
Prometheus 3.13 verbindet LTS-Support mit einem Sicherheits-Fix und einem strengeren Umgang mit Zugangsdaten. Das Update lohnt sich, verlangt aber einen Blick auf Redirects und relative Pfade. Teste es zuerst in Staging und plane den Wechsel von 3.5 rechtzeitig.
Quellen: Prometheus v3.13.0 auf GitHub, Prometheus Release Cycle. Foto: dlohner / Pixabay. Stand: 1. Juli 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.