Lücke, Status, Maßnahme.
Jede sicherheitsrelevante Lücke, die unsere Plattform betrifft, steht hier als datierter Eintrag: was sie tut, was wir getan haben, was für dich offen bleibt. Kein Marketing, nur der Stand der Dinge.
OVSwrap: Root-Lücke im Linux-Kernel, auf allen Servern entschärft
Mitigiert
Am 28. Juli wurde eine neue Sicherheitslücke im Linux-Kernel veröffentlicht, zusammen mit einer funktionierenden Anleitung zum Ausnutzen. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte sich darüber volle Administrator-Rechte verschaffen. Die endgültigen Kernel-Updates der Hersteller sind noch in Arbeit. Unsere Server sind trotzdem bereits dagegen abgesichert.
Was ist passiert?
Die Lücke steckt in Open vSwitch Netzwerk-Modul im Linux-Kernel, das virtuelle Netzwerke zwischen Servern verbindet. Auf Webservern normalerweise ungenutzt. , einem Kernel-Modul, das in fast jedem aktuellen Linux enthalten ist. Das Tückische: Das Modul muss gar nicht in Benutzung sein, seine bloße Anwesenheit reicht für einen Angriff. Deshalb sind praktisch alle gängigen Linux-Systeme betroffen, von AlmaLinux über CloudLinux bis Ubuntu.
Was wir getan haben
Unsere Server brauchen dieses Modul nicht. Wir haben es deshalb noch am Tag der Veröffentlichung auf allen Systemen deaktiviert, ohne Neustart und ohne Unterbrechung. Damit läuft der Angriff ins Leere, bevor die Hersteller ihre endgültigen Kernel-Updates fertig haben.
Was du tun musst
Nichts. Deine Anwendungen laufen unverändert weiter, es gab keine Unterbrechung. Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust, solltest du dort handeln: Die Ein-Zeilen-Mitigation zum Deaktivieren des Moduls steht im unten verlinkten CloudLinux-Beitrag.
Die vollständige technische Analyse findest du in den Quellen unter diesem Eintrag.
RefluXFS: Root-Lücke im Linux-Kernel, auf allen Servern gepatcht
Gepatcht
Am 22. Juli wurde eine Sicherheitslücke im Linux-Kernel veröffentlicht, die dort seit neun Jahren unentdeckt geschlummert hat. Wer auf einem betroffenen Server ein normales Benutzerkonto hat, könnte darüber geschützte Systemdateien überschreiben und volle Administrator-Rechte übernehmen. Besonders unangenehm: Die Manipulation übersteht Neustarts und ist in den System-Protokollen praktisch unsichtbar. Unsere Server sind seit dem 24. Juli gepatcht.
Was ist passiert?
Die Lücke steckt im XFS-Dateisystem Dateisystem, das viele Linux-Server zum Ablegen und Verwalten von Dateien nutzen. und existiert seit 2017 in praktisch jedem Linux-Kernel. Über eine Race-Condition Fehler, bei dem zwei gleichzeitige Vorgänge sich in die Quere kommen und einen unerwarteten Zustand hinterlassen. beim gleichzeitigen Schreiben kann ein Angreifer mit normalem Benutzerkonto jede lesbare Datei im Dateisystem verändern, auch solche, die das System eigentlich schützt. Damit lassen sich Root-Rechte übernehmen, selbst wenn zusätzliche Sicherheits-Schichten wie SELinux aktiv sind.
Was wir getan haben
Wir haben die Kernel-Fixes am 24. Juli ausgerollt, zwei Tage nach der Veröffentlichung. Auf Servern mit aktivem Livepatching kam der Fix ohne Neustart und ohne Unterbrechung; die übrigen Systeme haben wir in einem koordinierten Wartungsfenster neu gestartet. Den Verlauf haben wir über die Status-Seite begleitet.
Was du tun musst
Nichts. Der Rollout ist abgeschlossen, deine Anwendungen laufen unverändert weiter. Wenn du eigene Linux-Maschinen außerhalb unserer Plattform betreust, gilt dort: nicht nur das Kernel-Update einspielen, sondern bei Verdacht auch prüfen, ob wichtige Systemdateien unverändert sind, denn die Manipulation übersteht Neustarts. Unabhängig davon sichern unsere täglichen Plattform-Backups den Stand vor dem Veröffentlichungs-Datum, falls eine Wiederherstellung nötig würde.
Die vollständige technische Analyse mit allen Kernel-Details findest du in den Quellen unter diesem Eintrag.
GhostLock und drei weitere Root-Lücken im Linux-Kernel, alle gepatcht
Gepatcht
Im Juli sind kurz hintereinander vier Sicherheitslücken im Linux-Kernel bekannt geworden, die alle auf dasselbe hinauslaufen: Aus einem normalen Benutzerkonto lassen sich volle Administrator-Rechte machen. Für die bekannteste, „GhostLock”, kursierte schon zur Veröffentlichung eine fertige Angriffs-Anleitung. Ein einziges Kernel-Update schließt alle vier Lücken auf einmal. Unsere Server laufen seit dem 9. Juli mit dem abgesicherten Kernel, die Neustarts sind abgeschlossen.
Was ist passiert?
Die vier Lücken (GhostLock, Bad Epoll, pedit COW, DirtyClone) stecken in unterschiedlichen Teilen des Kernels, GhostLock zum Beispiel seit rund 15 Jahren. Für Multi-Tenant-Umgebungen Server, auf denen mehrere Kunden nebeneinander laufen, wie beim geteilten Webhosting. ist diese Art Lücke die kritischste Kategorie: Als Einstiegspunkt reicht ein gekapertes CMS-Plugin in einem einzelnen Kunden-Account, danach stünde der ganze Server offen.
Was wir getan haben
Wir haben das Kernel-Update am 9. Juli auf allen Servern eingespielt, wenige Stunden nach der Veröffentlichung. Weil die Fixes im Kernel sitzen, brauchte es Neustarts; die haben wir noch am selben Tag koordiniert durchgeführt. Ganz glatt lief es nicht: Auf einem Teil der Systeme wurde das Update zunächst unvollständig installiert, einige Webseiten zeigten vorübergehend Fehler. Zwei Nachkorrekturen später lief alles sauber, den Verlauf haben wir live auf der Status-Seite dokumentiert.
Was du tun musst
Nichts. Deine Anwendung läuft auf dem gepatchten Kernel weiter. Zwischen Veröffentlichung und Neustart lag ein kurzes Zeitfenster, in dem die Lücken theoretisch ausnutzbar waren; Hinweise auf eine Ausnutzung auf unseren Systemen haben wir nicht. Auf Managed Servern und Clustern haben ohnehin nur du und unser Team Shell-Zugriff. Eigene Linux-Maschinen außerhalb unserer Plattform: Kernel-Update einspielen und neu starten.
Die technischen Details stehen in den verlinkten CloudLinux-Beiträgen unter diesem Eintrag.
Ältere Sicherheits-Advisories (bis Juli 2026) stehen als ausführliche Beiträge im Blog, Kategorie Sicherheit. Akute Störungen und Wartungsfenster laufen über die Status-Seite.
Wie unsere Plattform gegen solche Lücken aufgestellt ist: Unsere Server (Hardware-Firewall, IPS/IDS) und Disaster Recovery & Backup. Fragen zum Patch-Stand deines Systems beantwortet der Support im Kundencenter oder über das Kontaktformular.