Security-Schlaglöcher

Zu sagen, die vergangene Woche war mit Blick auf Online-Security abenteuerlich, wäre deutlich untertrieben. Ich könnte eine komplette Ausgabe des WP Letter nur mit den Security-Themen der vergangenen Woche füllen. Weil ich darauf aber keine Lust habe und wir uns heute Morgen auch einer Menge anderer Themen widmen könnten, hier die Kurzversion:

PHP: Die zwei PHP-Sicherheitslücken waren ganz klar der Fokus und haben über mehrere Tage die Abendnachrichten beschäftigt und sogar dazu geführt, dass verschiedene Verwandte bei mir nachgefragt haben.

de.WordPress.org: Kritisches PHP-Sicherheitsupdate →

KrautPress: Kritische Sicherheitslücken in PHP, das ist zu tun →

node.js: Praktisch zeitgleich am 21. Oktober wurde eine kritische Sicherheitslücke in node.js veröffentlicht. Sie ist im Fahrwasser der PHP-Meldung ziemlich untergegangen, scheint aber einfacher auszunutzen zu sein.

nodejs.org: Wednesday, October 21, 2026 Security Releases →

nginx: Schon etwas früher in der Woche gab es kritische Sicherheitsupdates für nginx, das als Alternative zum Apache-Webserver auf gute 30% Marktanteil weltweit kommt.

bleepingcomputer.com: F5 releases out-of-band patches for critical NGINX vulnerabilities →

Zertifikate: Die indische Zertifizierungsstelle eMudhra hat sich einen ordentlichen Schnitzer geleistet. Wie jetzt bekannt wurde, ist es durch acht stümperhafte Intermediate-Zertifikate jetzt quasi allen möglich, SSL/TLS-Zertifikate für beliebige Domains zu erzeugen. Die privaten Schlüssel dieser Intermediate-Zertifikate werden eigentlich mit schicker Mathematik erzeugt und sind 116 Zeichen lang. Die Schlüssel der fraglichen Zertifikate waren hingegen die Zahlen 4, 56, 66, 115, 155, 156, 230 und 237.

Ars Technica: The Internet goes on high alert after discovery of 8 compromised TLS certs →

GitLab: Das Open-Source-Versionskontrollsystem GitLab, das sich als Alternative zum kommerziellen GitHub positioniert hat, meldete am vergangenen Mittwoch ebenfalls eine schwere Sicherheitslücke und bietet eine Reihe von Updates für verschiedene Versionen an.

Heise: Kritische Codeausführung: GitLab veröffentlicht dringende Sicherheitsupdates →

Updraft: Und auch im WordPress-Universum gab es einige nennenswerte Vorfälle. Das beliebte Backup-Plugin Updraft kämpfte vergangene Woche mit einer schweren Sicherheitslücke in ihrem UpdraftCentral-Dienst. Um aktiv zu werden, müssen Websites, die das Updraft-Plugin einsetzen, zunächst verbunden werden. Anschließend akzeptieren sie Befehle des zentralen Services, zu dem sich nun leider Angreifer Zugang verschafft hatten und so massenhaft Malware installierten.

Patchstack: Stolen UpdraftCentral Keys Are Backdooring WordPress Sites →

Rank Math: Aber auch das Team von group.one kam nicht ungeschoren davon. Am 16. Oktober wurde bekannt, dass es Angreifern offenbar gelungen ist, Plugin-Code, der zwischen dem 15. und 16. Oktober heruntergeladen wurde, zu kompromittieren.

Wordfence: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads →

Sollten Sicherheitsmeldungen in dieser Schlagzahl weitergehen, werde ich wohl einen eigenen Bereich für Sicherheits-Kurzmeldungen einführen müssen.

WP Meetups der Woche

WP Meetup Halle (Saale)
WordPress Meetup 10/26
26. Oktober 2026 19:00

WP Meetup Salzburg
Debugging mit Ray & Help desk
27. Oktober 2026 18:00

WP Meetup Berlin
WordPress und Caching
28. Oktober 2026 19:00