Kritische SPIP-Sicherheitslücke: Sofortschutz ausgerollt
Am 20. August 2026 veröffentlichte das SPIP-Team Version 4.4.21, um eine kritische Sicherheitslücke zu schließen, die eine nicht authentifizierte Ausführung von Code aus der Ferne ermöglichte. Zu diesem Zeitpunkt waren bereits Ausnutzungsversuche beobachtet worden; der übliche SPIP-Sicherheitsschirm schützte nicht vor dieser Schwachstelle.
Die Situation erforderte eine sofortige Reaktion. Zunächst erfassten wir sämtliche SPIP-Websites und -Kopien auf unseren Shared-Webhosting-Servern. Die Suche schloss bewusst auch alte Kopien, Archivverzeichnisse und Upgrade-Umgebungen ein, die noch unterhalb eines Webroots erreichbar waren.
Schutz in mehreren Schritten
Unsere erste Maßnahme war ein flottenweiter Schutz auf Apache-Ebene. Er blockiert den externen HTTP-Vektor der Schwachstelle, bevor eine Anfrage SPIP erreicht. Die Regel wurde getestet und anschließend auf allen acht Servern aktiviert, ohne das normale Verhalten der Websites zu verändern.
Diese Netzwerkbarriere ersetzte jedoch nicht die Korrektur des Codes. Ein sofortiges vollständiges Upgrade war nicht für jede Website realistisch: Unsere Hosting-Umgebung umfasst mehrere SPIP-Generationen, individuelle Entwicklungen und unterschiedliche PHP-Versionen.
Daher analysierten wir die offiziellen Sicherheitsänderungen von SPIP 4.4.21 und erstellten einen minimalen rückportierten Patch. Dieser wurde an die verschiedenen vorhandenen Codefamilien angepasst und über ein transaktionales Verfahren ausgerollt: Sicherung jeder Datei, SHA-256-Prüfsummen vor und nach der Änderung, Kontrolle der exakten Anzahl der Ersetzungen, Syntaxprüfung mit der passenden PHP-Umgebung und ein dokumentierter Rückweg.
Zunächst wurden repräsentative Pilot-Websites gepatcht und getestet. Danach erfolgte die Einführung Server für Server, jeweils mit Kontrollen des Codes, von Apache und der HTTP-Antworten.
Ergebnis der Intervention
Die Inventarisierung fand 100 SPIP-Verzeichnisbäume. Davon verwendeten 92 eine ältere Version als 4.4.21 und erhielten den rückportierten Patch; die acht bereits mit 4.4.21 betriebenen Installationen blieben unverändert. Nach Abschluss des Rollouts enthielt keiner der erfassten Verzeichnisbäume noch das bekannte verwundbare Muster.
Der Apache-Schutz bleibt als zusätzliche Verteidigungsebene aktiv.
Die Arbeit geht weiter
Dieser Notfallpatch neutralisiert diese konkrete Schwachstelle. Er macht jedoch aus einem alten SPIP-Zweig keine gepflegte Version und kann für sich allein eine frühere Kompromittierung nicht ausschließen. Deshalb setzen wir gezielte Kontrollen, die Entfernung exponierter historischer Kopien und die Planung vollständiger Upgrades mit den Verantwortlichen der betroffenen Websites fort.
Wer selbst eine SPIP-Website verwaltet, sollte die offizielle SPIP-Mitteilung lesen und unverzüglich auf eine gepflegte Version wechseln.