WP Letter #490
Security-Schlaglöcher
Zu sagen, die vergangene Woche war mit Blick auf Online-Security abenteuerlich, wäre deutlich untertrieben. Ich könnte eine komplette Ausgabe des WP Letter nur mit den Security-Themen der vergangenen Woche füllen. Weil ich darauf aber keine Lust habe und wir uns heute Morgen auch einer Menge anderer Themen widmen könnten, hier die Kurzversion:
PHP: Die zwei PHP-Sicherheitslücken waren ganz klar der Fokus und haben über mehrere Tage die Abendnachrichten beschäftigt und sogar dazu geführt, dass verschiedene Verwandte bei mir nachgefragt haben.
node.js: Praktisch zeitgleich am 21. Oktober wurde eine kritische Sicherheitslücke in node.js veröffentlicht. Sie ist im Fahrwasser der PHP-Meldung ziemlich untergegangen, scheint aber einfacher auszunutzen zu sein.
nginx: Schon etwas früher in der Woche gab es kritische Sicherheitsupdates für nginx, das als Alternative zum Apache-Webserver auf gute 30% Marktanteil weltweit kommt.
Zertifikate: Die indische Zertifizierungsstelle eMudhra hat sich einen ordentlichen Schnitzer geleistet. Wie jetzt bekannt wurde, ist es durch acht stümperhafte Intermediate-Zertifikate jetzt quasi allen möglich, SSL/TLS-Zertifikate für beliebige Domains zu erzeugen. Die privaten Schlüssel dieser Intermediate-Zertifikate werden eigentlich mit schicker Mathematik erzeugt und sind 116 Zeichen lang. Die Schlüssel der fraglichen Zertifikate waren hingegen die Zahlen 4, 56, 66, 115, 155, 156, 230 und 237.
GitLab: Das Open-Source-Versionskontrollsystem GitLab, das sich als Alternative zum kommerziellen GitHub positioniert hat, meldete am vergangenen Mittwoch ebenfalls eine schwere Sicherheitslücke und bietet eine Reihe von Updates für verschiedene Versionen an.
Updraft: Und auch im WordPress-Universum gab es einige nennenswerte Vorfälle. Das beliebte Backup-Plugin Updraft kämpfte vergangene Woche mit einer schweren Sicherheitslücke in ihrem UpdraftCentral-Dienst. Um aktiv zu werden, müssen Websites, die das Updraft-Plugin einsetzen, zunächst verbunden werden. Anschließend akzeptieren sie Befehle des zentralen Services, zu dem sich nun leider Angreifer Zugang verschafft hatten und so massenhaft Malware installierten.
Rank Math: Aber auch das Team von group.one kam nicht ungeschoren davon. Am 16. Oktober wurde bekannt, dass es Angreifern offenbar gelungen ist, Plugin-Code, der zwischen dem 15. und 16. Oktober heruntergeladen wurde, zu kompromittieren.
Sollten Sicherheitsmeldungen in dieser Schlagzahl weitergehen, werde ich wohl einen eigenen Bereich für Sicherheits-Kurzmeldungen einführen müssen.
Zwei-Faktor-Authentifizierung erweitert
Der Entwickler Dan Knauss hat sich entschieden, kein eigenes Zwei-Faktor-Authentifizierungs-Plugin für WordPress zu schreiben. So weit, so gut. Stattdessen hat er sich das hervorragende Plugin Two-Factor genommen und erweitert es mit zwei eigenen Plugins um einige wertvolle Funktionen.
Zwei-(oder Mehr-)Faktor-Authentifizierung macht den WordPress-Login nachweislich deutlich sicherer. Das „Two Factor“-Plugin für sich alleine muss aber manuell auf jeder Website aktiviert werden. Deshalb konzentriert sich eines von Dans Plugins darauf, automatisch mindestens E-Mail als zweiten Faktor für alle User einer Website einzustellen.
Ein Herz für Blogs
Und zum Abschluss noch ein kleiner Ausblick auf eine charmante Aktion für alle, die weiterhin Blogs pflegen oder zumindest lesen. Frank Westphal betreibt die kleine Blog-Suchmaschine Rivva. Jetzt ruft er zu einer Neuauflage einer Blog-Aktion von 2009 auf.
Seine Idee: Alle, die mitmachen wollen, veröffentlichen am 6.12. einen Beitrag mit dem Titel "Ein ♥ für Blogs" in dem sie andere lesenswerte deutschsprachige Blogs empfehlen. Ich habe mir den Termin in den Kalender eingetragen und bin auf weitere Einsendungen gespannt.
WP Meetups der Woche
WP Meetup Halle (Saale)
Wordpress Meetup 10/26
26. Oktober 2026 19:00
WP Meetup Salzburg
Debugging mit Ray & Help desk
27. Oktober 2026 18:00
WP Meetup Berlin
WordPress und Caching
28. Oktober 2026 19:00
Aktuelle WordPress-Jobs
Webentwickler mit Schwerpunkt WordPress (m/w/d)
Funke Medien – Viersen
WordPress-Entwicklung
VCAT – Potsdam (Remote)
Weitere Job-Listings nehme ich auf wpjobboard.de gerne – kostenfrei – entgegen.
Shortnews
- Automattic begins layoffs following board upheaval and executive departures
- Do we need a standard Accessibility Patterns Library for the Web?
- Predicting the past: how big was the internet?
- RSS ist nicht tot. Es ist der Widerstand
- Accessibility at Scale: How Equalize Digital Helped WooCommerce Meet WCAG 2.2 AA
- WordPress AI Team Moves to Make MCP a Default Part of WordPress, With 7.3 Floated as a Target
Support WP Letter
Unterstützt durch diese und viele weitere Supporter*innen auf Steady:
Christopher Kurth, Florian Brinkmann, Frank Neumann-Staude, Michaela Steidl, Roger Braatz