Am 21. Mai 2026 hat Proxmox Server Solutions Proxmox VE 9.2 veröffentlicht — das zweite Minor-Release der 9er-Reihe und das bisher umfangreichste Update seit dem 9.0-Sprung im Sommer 2025. Im Mittelpunkt stehen ein echter dynamischer Load Balancer für HA-Cluster, WireGuard als verschlüsseltes SDN-Fabric-Protokoll, Ceph Tentacle 20.2 als neuer Default und der Schritt auf Linux Kernel 7.0. Daneben über fünfzig kleinere Verbesserungen quer durch VM-, Container-, Storage- und Backup-Stack.

Technische Basis

Komponente	Version
Debian	Trixie 13.5
Linux Kernel	7.0 (neuer Standard)
QEMU	11.0
LXC	7.0
ZFS	2.4
Ceph	Tentacle 20.2.1 (Default) — Squid 19.2.3 weiterhin verfügbar

Mit Kernel 7.0 macht Proxmox einen größeren Sprung als zuletzt mit 6.17 in 9.1 — neuer Treiber-Stack, MBEC- und GMET-Support für Hardware-Virtualization-Branch-Targets, Spectre-/VMScape-Härtung und überarbeitete AppArmor-Pfade.

Die fünf großen Highlights

1. Dynamic Load Balancer für den Cluster Resource Scheduler

Der neue Dynamic Load Balancer (DLB) ist die größte Cluster-Funktion seit Einführung der CRS-Regeln. Bisher hat der CRS nur statisch entschieden, wo ein HA-Guest gestartet wird. Jetzt überwacht der CRS Echtzeit-Metriken (CPU- und Memory-Druck pro Node) und migriert HA-Guests aktiv, wenn ein Node aus dem Gleichgewicht gerät.

Was das praktisch bedeutet:

Keine manuellen Live-Migrationen mehr nach Failover oder Lastspitzen
Automatischer Lastausgleich nach Maintenance-Reboots
Konfigurierbare Schwellenwerte (Hysterese und Cool-Down, damit nichts „pendelt”)

2. HA Arm / Disarm für geplante Wartung

Zwei neue CRM-Befehle — arm-ha und disarm-ha — entschärfen ein chronisches Problem im HA-Stack: geplante Wartungen ohne unerwünschtes Fencing.

ha-manager disarm-ha <node>
# … Wartung am Node …
ha-manager arm-ha <node>

Im „disarmed”-Zustand erkennt der HA-Stack temporäre Node-Ausfälle, fenct aber nicht. Für Rolling-Upgrades, Firmware-Patches oder Netzwerk-Umbauten ein deutlicher Gewinn — vorher war der einzige sichere Weg, den kompletten HA-Dienst zu stoppen.

Wichtig: Ein Node muss vor dem Cluster-Upgrade wieder armed sein oder die Migration der HA-Ressourcen muss abgeschlossen sein — sonst kann der HA-Manager beim Upgrade stehen bleiben. Bereits in 5.2.4+ adressiert.

3. WireGuard als SDN-Fabric-Protokoll

SDN bekommt verschlüsselte Underlays. Neben den bestehenden OSPF- und BGP-Fabrics steht jetzt WireGuard als Fabric-Protokoll bereit:

Automatisches Key-Management zwischen Cluster-Nodes
Verschlüsselte Node-to-Node-Tunnel — ideal für Multi-Site-Cluster über öffentliche WANs oder Hosting-Provider ohne L2-Verbindung
BGP-/EVPN-Fabric läuft transparent darüber

Dazu kommt ein eBGP-Unnumbered-Underlay mit Per-ASN-Konfiguration pro Node sowie OSPF-Route-Redistribution für Connected-, Local-, Kernel- und BGP-Routen.

4. BGP/EVPN-Filterung mit Route-Maps und Prefix-Lists

Für alle, die SDN ernsthaft im Datacenter einsetzen: feingranulare Filterung kommt nativ ins Proxmox-Web-UI. Route-Maps und Prefix-Lists lassen sich pro Fabric definieren — perfekt für Multi-Tenant-Setups, in denen nicht jedes Tenant alle EVPN-Routen sehen darf. Ergänzt wird das durch Multi-EVPN-Controller-Support für Inter-AS-Szenarien und IPv6-Underlays für EVPN.

Neu ist auch ein Dry-Run-Modus, bevor SDN-Änderungen scharf geschaltet werden — Konfigurationsfehler in EVPN sind erfahrungsgemäß schwer rückgängig zu machen.

5. Ceph Tentacle 20.2 als neuer Default

Frische Cluster setzen ab 9.2 standardmäßig auf Ceph Tentacle 20.2.1. Squid 19.2.3 bleibt als Alternative wählbar und wird weiter mit Sicherheits-Patches versorgt. Tentacle bringt unter anderem:

Verbesserte RGW-Performance
Stabilere OSD-Recovery in großen Clustern
Konsolidierte Telemetry- und Crash-Reporter

Zusätzlich repariert 9.2 mehrere Ceph-spezifische GUI-Bugs: die Pool-Edit-Dialog-Replikationsgröße, falsch zugewiesene Monitor-Log-Owner auf frischen Clustern und das robustere OSD-Anlegen, wenn auth_client_required in der ceph.conf fehlt.

Virtual Machines (QEMU 11.0)

Bereich	Neuerung
Custom CPU Models	Eigene CPU-Modelle jetzt im Web-Interface anlegen und verwalten — inklusive Cluster-weiter Kompatibilitäts-Indikatoren
TPM-Snapshots	TPM-State-Speicherung jetzt auch auf Storages mit Volume Chains
VNC Clipboard	Live-Migration des VNC-Clipboards (Machine-Version 10.1+)
Intel TDX	Initialer Support für Trust Domain Extensions (Confidential Computing)
Nested-Virt-Flag	Selektive CPU-Feature-Exposure ohne kompletten `host`-CPU-Typ
OVMF Boot Menu	Boot-Menü hat jetzt Vorrang vor dem Firmware-Setup
UEFI 2023 Keys	Neue EFI-Disks bekommen Microsoft UEFI CA 2023 Keys
PCI Passthrough	Treiber-Targeting für Passthrough-Geräte via neuer `driver`-Option

LXC 7.0 — der vielleicht größte Container-Sprung seit Jahren

LXC 7.0 ist der Hauptgrund für die LXC-Versionsnummern-Wende:

OCI-Image-Support jetzt sowohl für System- als auch Application-Container
Per-Mountpoint-UID/GID-Mapping über die idmap-Option — der saubere Weg, um Volumes zwischen Containern mit unterschiedlichen User-Mappings zu teilen
Per-Mountpoint-Attribute-Inheritance via keepattrs
cgroup-v1-Deprecation-Warnings — der finale Schritt vor dem Cgroup-v1-Abschied
OCI-Image-User-Property-Enforcement
AF_ALG-Seccomp-Filtering — verhindert eine bekannte Privilege-Escalation-Klasse in unprivileged Containern (siehe PSA-2026-00018-1)
systemd-networkd-Support für SUSE-basierte Distros
tmpfs-Mount unter /dev/shm für Application-Container

Storage und Backup

Shared LVM mit qcow2-Volumes: Größenabfragen ohne Aktivierung — schneller bei vielen Snapshots
ZFS-Blocksize-Validierung: 512B bis 16 MiB, Power-of-Two erzwungen — keine kaputten Datasets mehr durch Tippfehler
CIFS mit Kerberos: Erkennung und nativer Auth-Pfad
PBS-API-Tokens: bessere Name- und Realm-Validierung
Volume-Chains für Thick-LVM-Provisioning: Snapshots-as-Volume-Chains für klassische LVM-Setups ohne Thin-Pool

Für Backup-Jobs wurde der Guest-Auswahl-Dialog überarbeitet (Suche, Review-Toggle, Auswahl-Counter), und die alten Parameter starttime / dow sind deprecated — schedule ist jetzt der einzige offiziell unterstützte Weg.

Sicherheit — und ein paar kritische Patches

9.2 adressiert mehrere ernste Findings:

PSA-2026-00014-1: VNC-Session-Hijacking und Passwort-Guessing (VNC-API-Clients müssen ggf. angepasst werden)
PSA-2026-00015-1: HA-Ressourcen-Erstellung erfordert jetzt Sys.Console-Privileg
PSA-2026-00018-1: AF_ALG-Socket-Privilege-Escalation in Containern
Cloud-init-Passwort-Dump benötigt VM.Config.Cloudinit
VM-Start nach Create/Restore erfordert VM.PowerMgmt

Dazu Kernel-CVE-Backports (vblank-Timeout, vmalloc-Warnings, mpt3sas-Crashes, USB-HID-Regression, ZFS-Cgroup-OOM, AppArmor-NULL-Deref) und Patches für Crackarmor, copy.fail, DirtyFrag, Fragnesia, ssh-keysign-pwn und pintheft.

Installer und Auto-Installer

Feature	Beschreibung
PXE/iPXE Auto-Install	Neue Flags `--pxe` und `--pxe-loader` für die ISO-Generierung
HTTP-Auth-Token	Antwortdateien per Authentifizierung schützen
IPv6-only	SLAAC und Router-Advertisement-Support
inspect-iso	Neuer Subcommand zur ISO-Verifikation
subscription-key	Antwortdatei-Property für automatische Subscription-Aktivierung
Post-Hook	Daten landen in `/run/proxmox-installer/post-hook-data.json`
Debug-Shell	Ctrl-C öffnet Debug-Shell während der Installation

GUI / UX

Quer durchs Interface kamen viele kleine, aber im Alltag spürbare Verbesserungen:

Parallel-Worker-Count für alle Bulk-Aktionen (Default: auto)
Task-Viewer-Download ohne Popup
Deep-Link-Fragment bleibt nach OpenID-Login erhalten
Snapshot- und Backup-Erstellung direkt aus dem Kontextmenü
Genestete Pool-Gruppierung in der Resource-View
Architektur-Spalte im Resource-Store
Mobile UI: Firewall-View, Container-Netzwerk-Panels, OIDC-Redirect-Decoding
Korrekte Europe/Kyiv-Zeitzone (IANA-Name)
Bond ohne bond-primary anlegen erlaubt
CPU-Utilization-Dashboard zeigt jetzt wieder korrekte Werte

Bekannte Probleme

HA Disarm und Upgrade: Cluster-Upgrade mit disarmed HA-Stack kann hängen — Workaround: HA armed lassen oder Migration abwarten. Behoben in 5.2.4+.
VNC-API-Clients: Breaking Change durch PSA-2026-00014-1 — Custom-Integrationen prüfen.
cgroup v1: Raw-Entries sind deprecated. Wer noch alte LXC-Konfigurationen pflegt, sollte jetzt migrieren — in einer der nächsten Releases fliegt der Support raus.
Legacy-Backup-Job-Parameter: starttime und dow sind deprecated zugunsten von schedule.

Support-Zeitschiene

Version	Sicherheits-Updates bis
Proxmox VE 8.4	August 2026
Proxmox VE 9.x	mindestens 2030 (entlang Debian Trixie LTS)

Damit gibt iX/Proxmox knapp ein Jahr Überlappung zwischen 8.4-Updates und 9.x — genug Zeit für die meisten Production-Cluster.

Upgrade-Pfad

Von 9.1 → 9.2: Standard-Update über apt update && apt full-upgrade aus dem Enterprise- (empfohlen) oder No-Subscription-Repo. Web-GUI-basiertes Update funktioniert ebenfalls.

Von 8.4 → 9.2: Erst auf 8.4 mit allen aktuellen Updates, dann mit pve8to9 prüfen, dann auf 9.x — Sprung von 8.4 direkt auf 9.2 wird unterstützt.

Wer Tentacle auf bestehenden Clustern einführen will: Squid bleibt der sichere Default für Upgrades. Tentacle-Migration nur auf frischen Pools oder nach gründlichem Test.

Fazit

Proxmox VE 9.2 ist kein Maintenance-Release, sondern ein echtes Feature-Update mit zwei Schwergewichten: Dynamic Load Balancing schließt die letzte große Lücke gegenüber kommerziellen Hypervisoren wie vSphere DRS, und WireGuard-SDN-Fabric macht Multi-Site-Cluster ohne dediziertes Backbone praktikabel. Dazu Kernel 7.0, Ceph Tentacle und ein erwachsen gewordenes LXC 7.0.

Für bestehende 9.1-Cluster ein klares Upgrade-Empfehlung. Wer noch auf 8.4 sitzt, sollte den Sprung auf 9.x jetzt planen — die Überlappungs-Phase endet im August 2026.

DATAZONE bei Upgrade und Migration

Wir betreuen Proxmox-Cluster vom 3-Node-KMU-Setup bis zur Multi-Site-EVPN-Fabric. Bei Upgrade-Planung, Ceph-Migration auf Tentacle, SDN-Design mit WireGuard-Fabric oder dem Sprung von VMware auf Proxmox 9.2 unterstützen wir herstellerneutral. Mehr zu unseren Proxmox-Services oder direkt eine Erstberatung anfragen.

Proxmox VE 9.2 — Dynamic Load Balancer, WireGuard-SDN & Kernel 7.0