Zwei kritische Sicherheitslücken in vier Tagen: Ihre Websites waren aktualisiert, bevor Sie davon hörten

Am Freitagabend räumen die meisten Menschen ihren Schreibtisch auf. Wir haben den Abend und einen Teil der Nacht damit verbracht, sämtliche Websites unserer Kunden zu aktualisieren. Drei Nächte später ging es auf der Serverebene von vorne los, diesmal gegen drei Uhr morgens.

Zwei kritische Sicherheitslücken in vier Tagen. Keiner unserer Kunden musste auch nur einen Finger rühren. Die meisten haben am Montagmorgen beim Lesen unseres Einsatzberichts davon erfahren.

Was am Freitag passiert ist

Im Kern von WordPress wurde eine Sicherheitslücke öffentlich gemacht. Nicht in einem obskuren Plugin, das vor sechs Jahren heruntergeladen wurde, sondern in WordPress selbst, bei einer Standardinstallation.

Die wp2shell getaufte Lücke erlaubt es einem Unbekannten, ohne Konto und ohne Passwort mit ein paar Anfragen Code auf Ihrem Server auszuführen. Von da an liest er Ihre Datenbank aus, greift Ihre Kontakte ab, installiert eine Hintertür und wartet in aller Ruhe ab.

WordPress betreibt weltweit rund 500 Millionen Websites. Eine derart kritische Lücke im Kern, ganz ohne Vorbedingungen, sieht man etwa alle fünf oder sechs Jahre.

WordPress hat zwar versucht, das automatische Update auf allen Websites zu erzwingen. Das Problem, und darin liegt das Paradoxe an der Geschichte: Dieses erzwungene Update schlägt unbemerkt fehl bei sauber aufgebauten professionellen Installationen: bei versionierten Installationen, bei solchen mit gesperrten Dateiberechtigungen und bei solchen, deren automatische Updates bewusst deaktiviert wurden, damit kein Patch an einem Sonntag eine Produktivwebsite lahmlegt.

Mit anderen Worten: Je professioneller Ihre Website gebaut ist, desto weniger schützt Sie das automatische Sicherheitsnetz. Es braucht jemanden, der sich darum kümmert.

Was heute Nacht passiert ist

Dasselbe Spiel noch einmal, aber eine Etage tiefer. Diesmal betrifft die Lücke NGINX, den Webserver, der die Seiten der großen Mehrheit unserer Hostings ausliefert. Schweregrad: 9,2 von 10.

Im besten Fall fällt die Website aus. Im schlimmsten Fall übernimmt ein Angreifer den Server. Und die betroffenen Versionen reichen bis 2011 zurück, was bedeutet, dass praktisch alle exponiert waren.

Der Forscher, der sie entdeckt hat, wird seinen Exploit-Code in drei Wochen veröffentlichen. Damit beginnt der Wettlauf: Zwischen dem Erscheinen eines Patches und dem Start automatisierter Angriffe liegen heute wenige Tage. Manchmal nur wenige Stunden.

Unsere Server wurden heute Nacht auf die korrigierte Version umgestellt. Nicht im nächsten Wartungsfenster. Heute Nacht.

Diesen Service bieten wir allen unseren Kunden an.

Warum es nicht besser wird

In NGINX wurden innerhalb von zwei Monaten drei kritische Lücken desselben Typs gefunden. Dazu eine schwerwiegende Lücke im WordPress-Kern, was seit Jahren nicht mehr vorgekommen war. Dieser Rhythmus ist kein Zufall.

Künstliche Intelligenz ist in einer ganz bestimmten Disziplin beängstigend gut geworden: Millionen Codezeilen lesen und darin aufspüren, was nicht stimmt. Ein Audit, für das ein Experte drei Wochen brauchte, ist heute in einer Nacht erledigt. Für Sicherheitsforscher ist das eine hervorragende Nachricht. Für Angreifer, die dieselben Werkzeuge nutzen, ist es genau dieselbe hervorragende Nachricht.

Für die kommenden Monate hat das zwei ganz konkrete Folgen. Die Zahl kritischer Lücken wird steigen, auch bei Software, die seit fünfzehn Jahren als solide galt. Und die Zeit bis zur massenhaften Ausnutzung wird weiter schrumpfen.

Eine monatliche Wartung ergibt in diesem Kontext keinen Sinn mehr. Eine wöchentliche ebenso wenig. Was eine Website heute schützt, ist ein Team, das Sicherheitsmeldungen kontinuierlich verfolgt, in dreißig Sekunden weiß, welche Server betroffen sind, und die Befugnis und die Kompetenz hat, um drei Uhr morgens in ein Produktivsystem einzugreifen.

Was Sie wirklich riskieren

Das Argument hört man oft: „Meine Website ist nur ein Schaufenster, da gibt es nichts zu stehlen.“ Das ist eine Fehleinschätzung.

Eine kompromittierte Website dient fast nie dazu, Ihr Unternehmen direkt anzugreifen. Sie dient dazu, Betrugsseiten unter Ihrem Domainnamen zu hosten, Spam von Ihrer Adresse zu versenden und Ihre Besucher auf andere Seiten umzuleiten. Das Ergebnis: Ihre Domain wird von Google als gefährlich eingestuft, Ihre geschäftlichen E-Mails landen bei Ihren eigenen Kunden im Spam, und es dauert anschließend Wochen, die Lage wieder in den Griff zu bekommen.

Und dann ist da noch das Datenleck. Ihre Datenbank enthält Ihre Abonnenten, Ihre Kontaktformulare, manchmal Lebensläufe oder Angebote. Nach der DSGVO haben Sie 72 Stunden Zeit, die Datenschutzbehörde zu benachrichtigen. Doch nicht das Bußgeld tut am meisten weh. Sondern die E-Mail, die Sie Ihren Kunden schreiben müssen, um ihnen mitzuteilen, dass ihre Daten in Umlauf sind.

Ein Ruf wird in zwanzig Jahren aufgebaut und an einem Wochenende zerstört.

Das ist das eigentliche Handwerk eines Hosters

Wir verkaufen keinen Speicherplatz. Den verkauft jeder für vier Euro im Monat, und zu diesem Preis steht niemand nachts für Sie auf.

Was wir verkaufen, ist ein Team, das am Freitagabend die Sicherheitswarnungen liest. Das genau weiß, was auf jedem Server läuft, ohne erst nachsehen zu müssen. Das einen Patch testet, bevor es ihn in die Produktion einspielt, denn ein blind eingespielter Patch kann eine Website genauso sicher lahmlegen wie ein Angriff. Und das bereit ist, eine Nacht zu opfern, wenn die Lage es erfordert.

Fünfundzwanzig Jahre Hosting für Presse- und Medienwebsites haben uns eine einfache Sache gelehrt: Sicherheit ist kein Produkt, das man einmal kauft. Sie ist menschliche Zeit, fortlaufend bezahlt, von Leuten, die wissen, worauf sie schauen. Je mehr KI die Entdeckung von Lücken beschleunigt, desto mehr wird diese menschliche Zeit zum entscheidenden Bestandteil eines Hostings. Und zum einzigen, der sich nicht automatisieren lässt.

Wenn Sie nicht wissen, wer Ihre Websites an diesem Wochenende aktualisiert hat, ist die Wahrscheinlichkeit groß, dass es niemand getan hat.

Wir sehen uns das gemeinsam mit Ihnen an

Wir bieten Ihnen ein kostenloses Audit Ihrer aktuellen Installation an: tatsächlich eingesetzte Versionen, Grad der Exposition, mögliche Spuren einer Kompromittierung und was vorrangig zu tun wäre. Unverbindlich, und auch dann, wenn Sie bei Ihrem bisherigen Dienstleister bleiben.

Schreiben Sie uns an [email protected] oder rufen Sie uns an unter +32 475 29 31 46.

Häufige Fragen

Wie finde ich heraus, ob meine Website betroffen ist? Prüfen Sie Ihre WordPress-Version unter Dashboard, Aktualisierungen. Liegt sie unter 7.0.2 bzw. 6.9.5, sind Sie exponiert. Gehen Sie nicht davon aus, dass das automatische Update durchgelaufen ist: Es schlägt in vielen Fällen unbemerkt fehl.

Ich habe eine Firewall, reicht das? Nein. Eine Firewall verringert das Risiko, bis Sie den Patch eingespielt haben, sie behebt aber nicht den verwundbaren Code. Sie ist ein Pflaster für ein paar Stunden, keine Lösung.

Meine Website lief das ganze Wochenende mit einer verwundbaren Version. Was tun? Aktualisieren, dann überprüfen. Eine bereits kompromittierte Website bleibt auch nach dem Patch kompromittiert: Administratorkonten, die Kerndateien von WordPress und die geplanten Aufgaben müssen kontrolliert werden. Diese Überprüfung ist nicht optional.

Ich bin kein ArtWhere-Kunde, können Sie mir trotzdem helfen? Ja. Wir beginnen immer mit einem Audit des Bestehenden und sagen Ihnen offen, ob eine Übernahme sinnvoll ist oder nicht.