PHP- und Brotli-Lücken geschlossen
Vielleicht haben Sie es in den Nachrichten gelesen: Im Oktober wurden innert weniger Tage mehrere schwere Sicherheitslücken in Software bekannt, mit der ein grosser Teil aller Websites weltweit läuft. Solche Meldungen klingen beunruhigend, und viele fragen sich: Ist meine Website auch betroffen?
Die kurze Antwort: Nein, Sie sind geschützt. Wir haben alle drei Lücken auf unseren Hosting-Servern geschlossen, jeweils schon am Tag, an dem sie bekannt wurden. Wenn Sie bei uns Webhosting haben, müssen Sie nichts tun.
Sicherheitslücke: Ein Fehler in einem Programm, durch den Unbefugte etwas tun können, das eigentlich verboten ist. Man kann es sich vorstellen wie ein Fenster, das sich von aussen öffnen lässt, obwohl es geschlossen aussieht.
Patch (Update): Die Korrektur für eine solche Lücke. Im Bild von oben: ein neues Schloss für das Fenster. «Gepatcht» heisst also: Die Korrektur ist eingespielt, das Fenster ist wieder dicht.
CVE: Steht für «Common Vulnerabilities and Exposures». Jede öffentlich bekannte Sicherheitslücke bekommt weltweit eine eindeutige Nummer, zum Beispiel CVE-2026-109618. Das ist wie ein Aktenzeichen: So wissen alle Hersteller und Hoster genau, von welcher Lücke die Rede ist.
PHP: Die Programmiersprache, mit der die meisten Websites funktionieren, zum Beispiel alle Seiten mit WordPress, Joomla oder Shopware. PHP läuft auf dem Server, Ihre Besucher sehen davon nichts.
Brotli: Ein Verfahren, um Daten kleiner zu machen, damit sie schneller übertragen werden. Ähnlich wie eine ZIP-Datei, nur unsichtbar im Hintergrund.
Die drei Lücken im Überblick
PHP2Shell: noch am selben Tag gesichert
Am 21. Oktober wurde eine besonders gefährliche Lücke in PHP veröffentlicht, die den Namen «PHP2Shell» erhielt. Gefährlich war sie vor allem deshalb, weil gleichzeitig eine fertige Anleitung für Angriffe im Internet auftauchte. Wir haben unsere Server darum innert weniger Stunden abgeschirmt und danach alle PHP-Versionen auf eine korrigierte Fassung aktualisiert.
Falls Ihnen an diesem Tag etwas aufgefallen ist: Zum Schutz waren das Hochladen von Dateien auf Websites und die Anmeldung bei Plesk (Ihrer Verwaltungsoberfläche) für einige Stunden eingeschränkt. Seit dem 22. Oktober funktioniert wieder alles wie gewohnt.
Ein Hinweis für Websites mit älteren PHP-Versionen (5.6 bis 8.1): Für diese Versionen liefern die Entwickler von PHP keine Korrekturen mehr. Damit Ihre Website trotzdem sicher bleibt, laufen diese Versionen bei uns jetzt in einer Fassung, die weiterhin Sicherheitsupdates erhält. Für Sie ändert sich nichts, nur der Name der PHP-Version in Plesk kann etwas anders aussehen. Wenn Sie ohnehin etwas an Ihrer Website machen, lohnt sich der Wechsel auf PHP 8.3 oder neuer.
Upload-Anzeige vorsorglich ausgeschaltet
Zwei Tage später, am 23. Oktober, wurde ein zweiter Fehler in PHP bekannt. Er steckt in einer kleinen, selten genutzten Zusatzfunktion: Sie kann melden, wie weit das Hochladen einer Datei schon ist. Für diesen Fehler gibt es noch keine Korrektur. Deshalb haben wir diese Zusatzfunktion einfach ausgeschaltet.
Das Hochladen von Dateien selbst funktioniert ganz normal. Fast alle Websites zeigen ihren Fortschrittsbalken ohnehin auf anderem Weg an und merken davon nichts. Sobald die Korrektur erscheint, schalten wir die Funktion wieder ein.
Brotli: alles aktualisiert
Am 26. Oktober folgte eine Lücke in Brotli, also im Verfahren zum Verkleinern von Daten. Normale Websites mit WordPress und Co. waren davon kaum betroffen, eher Web-Anwendungen, die mit Node.js oder .NET programmiert sind. Wir haben alle betroffenen Programme auf unseren Servern aktualisiert. Zusätzlich weisen unsere Server verdächtige, mit Brotli verpackte Anfragen ab. Ein normaler Browser schickt so etwas nie, Ihre Besucher merken also nichts davon.
Nur falls Sie eine eigene Web-Anwendung betreiben: Sehr alte Versionen (Node.js 21 und älter, .NET 7 und älter) werden von ihren Herstellern nicht mehr gepflegt und bekommen keine Korrektur. Stellen Sie Ihre Anwendung in diesem Fall bitte in Plesk auf eine aktuelle Version um.
Eigener Server? Dann sind Sie gefragt
Haben Sie bei uns einen eigenen Server (Rootserver oder virtuellen Server), verwalten Sie diesen selbst. Dort sollten Sie die neuesten Updates einspielen. Möchten Sie das lieber uns überlassen? Dann eröffnen Sie im Kundenbereich unter https://admin.firestorm.ch ein Ticket zu Ihrem Server und wählen die Kachel «Upgrade». Dieser Auftrag ist kostenpflichtig, die Kosten sehen Sie direkt beim Erstellen des Tickets.
Wir passen weiter auf
Neue Sicherheitsmeldungen prüfen wir laufend und automatisch, rund um die Uhr. Wird eine Lücke bekannt, die Ihre Website betreffen könnte, handeln wir sofort. So können Sie sich um Ihr Geschäft kümmern und wir uns um die Sicherheit.
