Veraltete Software mit bekannten Lücken

Ihre Seite besteht aus vielen Bausteinen, die andere geschrieben haben: ein Webserver, WordPress, eine Bibliothek wie jQuery. Wird in einem davon eine Sicherheitslücke bekannt, können Angreifer gezielt nach Seiten suchen, auf denen die alte Version noch läuft. Meist behebt eine neuere Version die Lücke. Läuft bei Ihnen noch eine alte, melden wir das.

Woran wir Versionen erkennen

Nur an dem, was Ihre Startseite ohnehin mitschickt:

• am Server-Header, zum Beispiel nginx/1.18.0
• am Header X-Powered-By, zum Beispiel PHP/7.4.3
• am generator-Eintrag im HTML, den etwa WordPress setzt
• an den Adressen eingebundener Skripte, zum Beispiel jquery-3.4.1.min.js oder ?ver=3.4.1

Bei Skripten kennen wir 22 verbreitete JavaScript-Bibliotheken, darunter jQuery, Bootstrap, React, Vue, Angular, Lodash und Moment. Die Version lesen wir nur aus dem Namen oder der Adresse der Datei, nicht aus ihrem Inhalt. Steht dort keine Nummer, erkennen wir keine Version. Das ist bei gebündelten Apps aus Vite oder Next.js meist so, dort stecken die Bibliotheken in Dateien mit Namen wie index-B7x2kQ9a.js. Mehr dazu in Technik-Erkennung.

Woher wir die Lücken kennen

Für JavaScript-Bibliotheken fragen wir mit Name und Version bei OSV.dev nach. OSV steht für Open Source Vulnerabilities, auf Deutsch etwa offene Sicherheitslücken. Die Datenbank führt Meldungen aus vielen Quellen zusammen und nennt alle bekannten Einträge für diese Version. Im Befund sehen Sie, wie viele es sind (wir zählen höchstens sechs), die Beschreibung des ersten Eintrags im englischen Original und die Kennungen, meist CVE-Nummern, unter denen Sie mehr finden. Ihre Seite bekommt von dieser Abfrage nichts mit.

Ist OSV.dev gerade nicht erreichbar, nehmen wir für jQuery und Bootstrap eine kleine eigene Liste. Als Quelle steht dann „Liste“ statt OSV.dev.

Wir schreiben „möglicherweise betroffen“ und nicht „betroffen“, weil wir von außen einiges nicht wissen:

• Viele Lücken greifen nur, wenn Ihre Seite eine bestimmte Funktion der Bibliothek nutzt.
• Manche Anbieter flicken alte Versionen, ohne die Nummer zu ändern. Bei Linux-Servern ist das üblich.
• Die Nummer in einer Adresse kann von der echten Version abweichen. Siehe Versionsnummer nur im Dateinamen.

Ob eine Lücke bei Ihnen ausnutzbar ist, sehen wir also nicht. Nehmen Sie den Befund als Anlass nachzusehen. Jeder Fund kostet 8 Punkte, zusammen höchstens 20.

PHP, WordPress und Webserver

PHP und WordPress selbst gleichen wir mit unserer eigenen Liste ab. Wir melden PHP unter Version 8.1, weil es dafür keine Sicherheits-Updates mehr gibt, und WordPress unter Version 6.4.

Versionen von Webservern wie nginx oder Apache gleichen wir nicht ab. Wir melden nur, dass die Version sichtbar ist. Einzelne WordPress-Plugins und Themes prüfen wir nicht.

Was Sie tun können

• Bibliothek aktualisieren. Binden Sie sie über eine Adresse ein, ändern Sie dort die Versionsnummer. Steckt sie in Ihrem Projekt, aktualisieren Sie sie dort. In Lovable, Bolt, Cursor oder Claude Code können Sie den Assistenten bitten: „jQuery auf die aktuelle Version aktualisieren und prüfen, ob alles noch läuft.“
• WordPress. Lassen Sie Kern, Plugins und Themes automatisch aktualisieren. Die PHP-Version stellen Sie im Panel Ihres Hosters um. Machen Sie vorher eine Sicherung.
• Nummer verstecken hilft nicht. Der Befund verschwindet dann vielleicht, die Lücke bleibt.

Prüfen Sie danach neu. Sind für die neue Version keine Lücken bekannt, verschwindet der Befund.

Noch Fragen? Schreiben Sie uns.