Die vergangenen Tage haben uns ungewöhnlich stark gefordert. In rund zehn Tagen sind gleich drei schwerwiegende Schwachstellen bekannt geworden, die wir umgehend beheben mussten: in PHP, in mehreren Bibliotheken zur Datenkompression und schließlich im Linux-Kernel. Jede davon betraf einen anderen Teil unserer Systeme und verlangte ein eigenes Vorgehen. In dieser Dichte haben wir das bisher nicht erlebt.
Warum das kein Einzelfall bleiben dürfte
Wir rechnen damit, dass sich solche Phasen in Zukunft wiederholen. Künstliche Intelligenz wird inzwischen intensiv eingesetzt, um Software auf Fehler zu untersuchen, und fördert dabei auch Schwachstellen zutage, die über Jahre niemandem aufgefallen sind. Die Software selbst ist dadurch nicht schlechter geworden. Verändert hat sich das Tempo: Lücken werden schneller und systematischer gefunden, und zwar nicht nur von Sicherheitsforschern, sondern auch von Angreifern.
Für Sie als Website-Betreiber hat das eine ganz praktische Folge: Erscheint ein Sicherheitsupdate für Ihr CMS, ein Plugin oder ein Theme, sollten Sie es innerhalb von Stunden einspielen, nicht erst nach Tagen oder Wochen. Der Abstand zwischen dem Bekanntwerden einer Lücke und den ersten Angriffen darauf schrumpft zusehends.
Alte PHP-Versionen sind ein wachsendes Risiko
Noch immer laufen viele Websites mit PHP-Versionen, die seit Jahren keine Sicherheitskorrekturen mehr erhalten. Neu entdeckte Fehler bleiben dort offen, und sie nachträglich abzudichten, ist kaum noch mit vertretbarem Aufwand machbar. Einen sicheren Betrieb können wir deshalb nur gewährleisten, wenn auch die Software unserer Kunden mitzieht.
Diese Änderungen stehen an
Unsere älteren Server erhalten in den nächsten Wochen ein neues Betriebssystem. Für Websites auf diesen Servern bedeutet das:
MariaDB wird von 10.5 auf 10.11 angehoben. Nach unserer Einschätzung ist dafür auf Ihrer Seite nichts zu tun.
PHP 7.0 bis 7.3 sowie PHP 8.0 stehen danach nicht mehr zur Verfügung.
Welche Ihrer Domains und Subdomains noch eine dieser Versionen nutzen, sehen Sie im Account-Login. Unsere Empfehlung für die Umstellung ist PHP 8.3.
Kunden, deren Websites betroffen sind, erhalten vorab einen Newsletter. Weil wir zügig handeln müssen, liegen zwischen dieser Ankündigung und der eigentlichen Umstellung voraussichtlich nur ein bis zwei Wochen. Warten Sie deshalb bitte nicht auf die Benachrichtigung, sondern sehen Sie sich Ihre Projekte schon jetzt an.
Was Sie jetzt tun sollten
PHP-Version prüfen: Kontrollieren Sie im Account-Login, welche Version Ihre Domains verwenden.
Software aktualisieren: Bringen Sie CMS, Plugins, Themes und eigene Skripte auf den neuesten Stand, am besten noch vor dem Wechsel der PHP-Version.
Aufräumen: Alte Installationen, Testumgebungen und ungenutzte Plugins sind ein häufiges Einfallstor. Was nicht mehr gebraucht wird, sollte gelöscht werden.
Automatische Updates nutzen, wo Ihre Software sie anbietet, und gelegentlich prüfen, ob sie tatsächlich ausgeführt werden.
Rechtzeitig Hilfe holen: Hat eine Agentur oder ein Dienstleister Ihre Website umgesetzt, sprechen Sie ihn jetzt an. Eine geplante Umstellung ist immer sicherer als eine unter Zeitdruck.
Uns ist bewusst, dass das für viele von Ihnen zusätzliche Arbeit bedeutet. Sicherheit gelingt aber nur im Zusammenspiel: Wir kümmern uns um die Server, Sie um die Software, die darauf läuft.
Bei Fragen hilft Ihnen unser Support gerne weiter.
