Im Moment könnte ich fast jeden Tag einen neuen Artikel über irgendeine Sicherheitslücke schreiben.
Erst PHP. Dann kompromittierte SSL-Zertifikate. Jetzt Node.js. Und vermutlich kommt morgen bereits der nächste....
Das werde ich natürlich nicht machen. Sonst wird aus dem Dropshipping-Forum noch ein Security-Forum - und spätestens beim fünften Artikel schlafen alle ein 😁
DIESE sind nun aber wichtig. Was in den vergangenen Tagen vorgefallen ist, gehört für mich zu den heftigsten Security-Ereignissen, die ich in fast 30 Jahren Web- und IT-Business gesehen habe.
Darum mein einfacher Rat für dieses Wochenende:
Nimm Dir etwas Zeit und installiere Deine Updates!
Du verwendest WooCommerce oder WordPress? PHP unbedingt prüfen!
Am 21. Oktober wurden zwei kritische Sicherheitslücken in PHP geschlossen. PHP läuft unter sehr vielen Websites und Online-Shops - unter anderem unter WordPress und WooCommerce.
Das Gefährliche daran: Angreifer können von außen eigenen Code auf einem verwundbaren Server ausführen. Ohne sonstigen Zugang.
Das PHP-Team fordert deshalb ausdrücklich zur sofortigen Aktualisierung auf. Die vollständigen technischen Details findest Du in der offiziellen PHP-Sicherheitsmeldung.
Viele Behörden, Kliniken, Universitäten, Städte und Unternehmen nahmen ihre Websites vorsorglich offline. Nicht, weil sie bereits gehackt worden waren, sondern weil ein paar Stunden Downtime immer noch besser sind als ein kompromittierter Server.
Auch unser Dropshipping-Forum.de war mehrere Stunden nicht erreichbar.
Unser Provider verwendet eine spezielle Linux-Version, die stark auf Sicherheit ausgelegt ist. Er konnte deshalb nicht einfach irgendeinen allgemeinen Patch installieren, sondern musste auf das offiziell angepasste Update des Herstellers warten.
Seit dem 22. Oktober gegen 3 Uhr nachts sind wir wieder vollständig online.
Ärgerlich? Ja. Aber lieber ein paar Stunden offline als später Kundendaten, Datenbanken, Schadsoftware und irgendwelche Backdoors auf dem Server zu haben.
Was musst Du jetzt tun?
Wenn Dein WooCommerce-Online-Shop oder Deine WordPress-Website bei einem Hosting-Provider liegt, prüfe, ob dieser PHP bereits aktualisiert beziehungsweise die Sicherheitskorrekturen eingespielt hat.
Findest Du dazu keine Information, frag nach:
Bitte bestätigt mir, dass die kritischen PHP-Sicherheitslücken vom 21. Oktober 2026 auf meinem Hosting geschlossen wurden.
Wenn Du selbst hostest, solltest Du das bereits erledigt haben. Prüfe dabei auch alte Server, Testsysteme und vergessene Installationen.
Ein alter Server wird nicht ungefährlich, nur weil Du ihn gerade nicht aktiv verwendest.
Und wichtig: Nur WordPress, WooCommerce und die Plug-ins zu aktualisieren, reicht nicht. Das Problem steckt in PHP - also eine Ebene darunter.
Wie groß die Auswirkungen waren, kannst Du auch in den Berichten der Tagesschau nachlesen:
- Wer nun was tun muss (heise.de)
- Updates trudeln ein, viele Webseiten offline, Angriffe laufen (heise.de)
Und dann kam direkt Node.js
Fast gleichzeitig veröffentlichte auch das Node.js-Projekt neue Sicherheitsupdates. Node.js wird für Webanwendungen, APIs, Automatisierungen, Tools und viele moderne Plattformen verwendet.
Unter den geschlossenen Problemen befindet sich ebenfalls eine Sicherheitslücke, über die unter bestimmten Bedingungen fremder Code ausgeführt werden kann.
Für Dich als Online-Shop Betreiber ist das zwar selten ein Thema. Aber. Wenn Du eigene Server, Apps, APIs, Automatisierungen oder Entwicklungsumgebungen betreibst, solltest Du prüfen, ob Node.js verwendet wird und welche Version.
Bei einem Managed Hosting oder einer Plattform liegt diese Aufgabe normalerweise beim Anbieter. Bei einem eigenen Server liegt sie bei Dir oder Deinem Administrator.
Alle Details und die aktualisierten Versionen findest Du in der offiziellen Node.js-Sicherheitsmeldung.
Das SSL-Zertifikatsproblem betrifft mehr als Websites
Parallel dazu wurde bekannt, dass die privaten Schlüssel mehrerer Zertifizierungsstellen-Zertifikate aufgrund einer fehlerhaften Erzeugung zu schwach waren.
Vereinfacht erklärt: Diese Zertifikate gehören zum System, mit dem Browser und Geräte prüfen, ob eine Website wirklich die Website ist, die sie vorgibt zu sein.
Google blockierte die betroffenen Zertifikate schnell und verteilte Schutzmaßnahmen für Chrome und Android. Bei aktuellen Chrome-Versionen geschah das sogar ohne klassisches Browser-Update.
Damit ist das Problem aber nicht automatisch für jedes Gerät und jede Software erledigt. Server, Betriebssysteme, Apps, Router, NAS-Systeme, Smart-TVs und ältere Geräte verwalten ihre vertrauenswürdigen Zertifikate teilweise unterschiedlich.
Was bedeutet das für Dich?
Du musst jetzt nicht panisch jedes Gerät alle zehn Minuten auf Updates prüfen.
Wenn in den nächsten Tagen Updates angeboten werden, solltest Du sie aber zeitnah installieren. Das gilt unter anderem für Windows, macOS, iPhone, iPad, Android, Apple TV, Browser, Router, NAS, Smart-TVs und andere Geräte, die regelmäßig mit dem Internet verbunden sind.
Die offizielle Erklärung dazu findest Du im Beitrag von Google: Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates.
Warum das vermutlich noch eine Weile so weitergeht
Ich vermute, dass wir in den nächsten Tagen und Wochen noch weitere solche Meldungen sehen werden.
OpenAI betreibt mit Patch the Planet inzwischen ein Projekt, bei dem AI zusammen mit menschlichen Security-Experten gezielt nach Schwachstellen in wichtigen Open-Source-Projekten sucht.
Laut OpenAI wurden dabei bereits Hunderte Sicherheitsprobleme gefunden und zahlreiche Patches entwickelt. Auch eine der aktuellen Node.js-Lücken wurde von OpenAI Codex Security gemeldet.
Die Software ist dadurch nicht plötzlich unsicherer geworden. Viele Fehler waren schon lange vorhanden.
AI findet sie jetzt einfach wesentlich schneller.
Das ist langfristig eine gute Entwicklung. Kurzfristig bedeutet es aber, dass Administratoren, Provider, Entwickler und Nutzer häufiger Updates einspielen müssen.
Diese Sicherheitswelle war aber ungewöhnlich groß und betraf so viele Websites, Server, Anwendungen und Geräte, dass man sie nicht einfach ignorieren sollte.
Was Du dieses Wochenende konkret machen solltest?
- WooCommerce oder WordPress: Prüfe, ob Dein Provider PHP gepatcht hat.
- Eigene Server oder Apps: Prüfe PHP, Node.js und vergessene Testsysteme.
- Computer und Geräte: Installiere angebotene Updates für Betriebssysteme, Browser, Router, NAS, Smartphones und TV-Geräte.
Mehr musst Du als normaler Nutzer im Moment nicht tun.
Keine Panik. Nicht durchdrehen.
Aber auch nicht denken:
"Das wird schon irgendjemand erledigt haben!"
Denn das, ist eine ganz dumme Idee und kann Dich später viel kosten. Also los... Updates machen!
