Dumme Frage zur IT-Sicherheit

[jan]

Was in Dreiteufelsnamen hat Dein Thema mit Standardinstandsetzungen/how to, Unterforum Allgemeines und Wünsche zu tun, Jan?


Vorweg, ich habe wenig bis keine Ahnung von dem ganzen IT-Kram. Aber dass die phpBB-Software, unter der viele Internet-Foren laufen (auch dieses hier), in den letzten Tagen ein echtes Problem hatte, ging ja sogar durch Funk und Fernsehen.
Sowohl das englische als auch das deutsche Jampot-Forum sind derzeit "down", weil das aktuelle Sicherheits-/Reparatur-Patch aufgespielt wird.

Daher die ganz bescheidene und dumme Frage, ob das hier bereits gelaufen ist; so, wie ich das verstanden habe, sollte die php-Software wegen des Lecks dringend repariert werden.

Sorry, wenn mein Hinweis dämlich ist. Ich lege mich wieder hin.

Cheers, Jan

[Martin]

Wir haben das Thema auf dem Tisch mit erhöhter Priorität.
Wir arbeiten daran bzw. unser Spezialist.
Das Problem ist global und Sache des Providers.
Und auch noch mal gesagt: es ist aktuell nicht gefährlicher als bis zu dem Zeitpunkt, an dem es öffentlich wurde.
Wir wussten nur nichts davon.
Sollte etwas verkündet werden müssen, werden wir das tun. Wenn die Sicherheitslage gebietet, das Forum offline zu stellen, werden wir das auch tun

[jan]

Was in Dreiteufelsnamen hat Dein Thema mit Standardinstandsetzungen/how to, Unterforum Allgemeines und Wünsche zu tun, Jan? (...)

Ehrlich gesagt, finde ich diesen Hinweis - auch in seiner Formulierung - etwas übergriffig.

Ich habe lange geschaut und nachgedacht, wo ich meine Frage am besten platziere. Und im Unterforum, in dem ich sie letztlich platziert habe, fand ich die nachfolgend per Screenshot abgebildeten Threads. Nach reiflicher Überlegung fand ich mein Anliegen also dort zumindest nicht völlig falsch untergebracht. Zumal ich an anderer Stelle auch nichts Passenderes gefunden habe.

Und ist es nicht gerade die wunderbare Funktion der Anzeige neuer und/oder ungelesener Beiträge, die den geneigten Forums-User in die Lage versetzt, nichts zu verpassen - auch wenn sich ein Beitrag möglicherweise in ein unpassendes Unterforum verirrt hat?
Ehrlich gesagt fallen mir andere Dinge ein, bei denen ein Admin oder Mod. korrigierend eingreifen oder User maßregeln könnte.

Aber man lernt ja nie aus.

Screenshot 2026-10-23 131752.png

[jan]

Wir haben das Thema auf dem Tisch mit erhöhter Priorität.
Wir arbeiten daran bzw. unser Spezialist.
Das Problem ist global und Sache des Providers.
Und auch noch mal gesagt: es ist aktuell nicht gefährlicher als bis zu dem Zeitpunkt, an dem es öffentlich wurde.
Wir wussten nur nichts davon.
Sollte etwas verkündet werden müssen, werden wir das tun. Wenn die Sicherheitslage gebietet, das Forum offline zu stellen, werden wir das auch tun

Danke, Martin.

Das ist eine Information, mit der ich etwas anfangen kann.

[Phil]

Ehrlich gesagt, finde ich diesen Hinweis - auch in seiner Formulierung - etwas übergriffig.

Oh, das ist erstaunlich, weil übergriffig hat das sicher nicht sein sollen, eher maßregelnd.

Die Formulierung ist in erster Linie der Frustration meines alter ego Mod1 geschuldet, der in der Vergangenheit in den Standardinstandsetzungs-Foren sehr oft hat irgendwelche Beiträge/Fäden hat rausfeudeln dürfen, die da sowas von fehl am Platze waren.
Übrig geblieben sind jetzt Schreibrechte in den how to-Foren nur noch in Allgemeines und Wünsche, damit der geneigte Foristo eben Wünsche platzieren kann. Hehehehehe, und da hattest Du dann den verschobenen Beitrag reingeschrieben.

Am Ende geht es um Übersichtlichkeit im Forum durch eine möglichst zutreffende Zuordnung von Beiträgen zu Themenbereichen. Und bei der Übersichtlichkeit geht es meines Erachtens nach um Suchfunktionen und wenn mal einer von außen hier reinschnuffelt, um zu sehen, was hier so geschrieben wird.

Die Funktion neue/ungelesene Beiträge ist eher etwas für regelmäßige Leser hier.

Ich habe lange geschaut und nachgedacht, wo ich meine Frage am besten platziere. Und im Unterforum, in dem ich sie letztlich platziert habe, fand ich die nachfolgend per Screenshot abgebildeten Threads. Nach reiflichem Nachdenken fand ich mein Anliegen also dort zumindest nicht völlig falsch untergebracht. Zumal ich an anderer Stelle auch nichts Passenderes gefunden habe.

In den von Dir eingefügten Screenshot ist das eigentlich ganz gut zu sehen, mein lieber Jan.

Ich füge es nochmal per snip von Deinem snip ein.

how to.JPG

Es geht um Allgemeines und Wünsche zu Standardinstandsetzungen.

... Ehrlich gesagt fallen mir andere Dinge ein, bei denen ein Admin oder Mod. korrigierend eingreifen oder User maßregeln könnte.

Aber man lernt ja nie aus...

Hehehehe, hattest Du sogar nicht mal einen Mod-Account vor ein paar Jahren?

Feel free, Du kannst die Rolle gerne wieder wahrnehmen.

Ansonsten ist es meistens so hier im Forum, dass die von Dir benannten Eingriffe sehr selten notwendig sind.

Letztes Jahr hatten wir mal einen Foristo, der hier homophobe Bezeichnungen abgedrückt hat, die dann raus-editiert wurden und der Kollege deutlich drauf hingewiesen wurde, dass er das unterlassen möge, weil er sonst rausflöge.

Dieses Jahr hatten wir ein Ding. Ein Foristo, nennen wir ihn mal Foristo 1, der einen anderen Foristo, den wir jetzt Foristo 2 nennen, mit Fachausdrücken beschimpft hatte. Foristo 2 hatte dann auch arg gestänkert hatte, allerdings etwas eleganter als Foristo 1. Damals wurde editiert, ermahnt und verwarnt. Du magst Dich erinnern.

Diese Art der Moderation ist aber nur selten geboten, zumindest meiner Wahrnehmung nach.

Schöne Grüße

Ph.

[speedtwin]

Ich fand die Nachfrage von Jan durchaus berechtigt, insbesondere würde mich interessieren, inwiefern die Sicherheit von privaten Nachrichten davon betroffen sein könnte. Keinen Streß, aber gibt es dazu schon Meinungen ?

VG, Wolfram

[Martin]

Ich fand die Nachfrage von Jan durchaus berechtigt, insbesondere würde mich interessieren, inwiefern die Sicherheit von privaten Nachrichten davon betroffen sein könnte. Keinen Streß, aber gibt es dazu schon Meinungen ?

VG, Wolfram

Die Nachfrage wurde ja auch nicht kritisiert, lediglich das genutzte Forum.
Die Sicherheitslücke hat nichts mit der Forensoftware zu tun, also können wir hier gar nichts tun. Das ist Sache des Providers, dessen Datenbanken auf seinen Servern betroffen sein KÖNNEN.

Es ist ja nicht so, als wären nun alle php basierten Websites gehackt worden.
Bzgl. Deiner Frage, was wie bedroht werden könnte, kann ich nichts beitragen. Sicherheit im Netz ist doch immer ein sehr komplexes Thema. Ich gehe aber nicht davon aus.
Seid entspannt und lasst Euch nicht durch so eine Meldung, die ebenfalls gehörig aufgebauscht erscheint aus dem Konzept bringen. Hier arbeiten die Provider (bei uns all-inkl.com) schon längst an Lösungen bzw. haben da auch schon einiges getan.
Aber was auch sicher ist, irgendwo gibt es schon die nächste Sicherheitslücke. Das ist etwas, das es immer gibt. Bei Windows, bei Apple, bei Android... alle haben immer irgendwelche Schwachstellen. Soll uns das beruhigen? Nein! Soll uns das beunruhigen? Nein!

Diskutieren können wir hier lediglich Befürchtungen oder Meinungen. Kann man machen, macht aber keinen Sinn.

[speedtwin]

Ich fand die Nachfrage von Jan durchaus berechtigt, insbesondere würde mich interessieren, inwiefern die Sicherheit von privaten Nachrichten davon betroffen sein könnte. Keinen Streß, aber gibt es dazu schon Meinungen ?

VG, Wolfram

Diskutieren können wir hier lediglich Befürchtungen oder Meinungen. Kann man machen, macht aber keinen Sinn.

Naja, Befürchtingungen kann man ja schon äußern, finde ich. Aber wie gesagt, ich bin da schon entspannt, wüsste eben nur gern, welche Risiken da bestehen, wenn das dann bekannt ist... Betrifft ja nicht nur uns, ist schon klar

[TheMissingLink]

Mahlzeit,

Ich lasse jetzt mal den hauptberuflichen IT-ler und nebenberuflichen Foren-Admin raushängen.

Die in den letzten Tagen von den Medien ge-hypten Herausforderungen haben nichts mit der Forensoftware direkt zu tun.
Die auf den Servern (des Providers) laufende php-engine ist, auch in den neuen Versionen, seit Jahrzehnten (!) buggy.
Wenn eine Seite mit php-inhalt, so wie hier, aufgerufen wird, wird sie nicht in euren Browser geladen sondern von der php-engine auf dem Server des Providers ausgeführt. Erst danach wird eurem Browser z.b. eine html-seite übertragen die euer Browser anzeigen (rendern) kann.
Aufe Maloche hatte ich Donnerstag und Freitag nichts zu tun, als Systeme beim Kunden zu finden auf denen die engine installiert und aktiv ist. Sobald die Updates für das Betriebssystem da waren, wenige Stunden nach Bekanntwerden, wurden diese aktualisiert.
Das haben meines Wissens nach alle Provider innerhalb der ersten 12 Stunden erledigt, ganz normale Tätigkeiten. Safe so gut es geht.
Problem hier: es ist über die Medien gehyped und unendlich aufgeblasen worden: oooh, KI!!!! Wir werden alle sterben!!!
Bis dahin war die Lücke nicht einmal bekannt geschweige denn ausgenutzt.
Gleich darauf die Cracker (nicht "Hacker", ich bin einer, einer der guten): "oh, danke für den Tip und die Anleitung!"

Gedingst sind diejenigen, die die engine nicht aktualisieren KÖNNEN weil ihre php-Applikationen uralte, nicht mehr unterstützte engines benötigen. Mir fällt spontan eine Bank, ein Versandhaus und ein Logistikunternehmen ein, bei denen es so ist.
Eure Nachrichten sind wesentlich sicherer als WhatsApp-Nachrichten, M$-dokumente oder medizinische Befindlichkeiten die mit chatgpt geteilt werden.
Im Zweifelsfall hochsensible PM einfach löschen, wenn weg dann weg.
Ein Update der Forensoftware wird am grundlegend Problem des php nichts ändern.
Wir überlegten vor ein paar Monaten, auf ein anderes System zu migrieren. 1. Gibt es nicht viele passende Alternativen und 2. Der Aufwand der nacharbeiten wäre immens: "ich finde meinen Button nicht!" "Das sieht ganz anders aus!" ...

Also, generell war die obige Frage berechtigt. Einfache Antwort: ja, nach MOMENTANEM Ermessen sicher.
Es ist immer eine Frage der Geschwindigkeit. Mein persönlicher Provider hat innerhalb einer Stunde reagiert, ich habe bei knapp 500 Servern doppelt so lange gebraucht.

Bei Fragen fragen.
Der Horst

[Phil]

Hoi Wolfram,

wenn ich das Ganze richtig verstanden habe, ist das für das Forum zwar auch potentiell relevant, wenngleich auch zu einem deutlich geringerem Ausmaß, als das zum Beispiel bei einem Webshop mit persönlichen Daten, Bankverbindungen und Schnick und Schnack der Fall ist.

Die Daten, die hier im Forum hinterlegt sind, das sind für den gemeinen Foristo Nicknames und Email-Addys, teilweise auch vom Foristo angegebene Postleitzahlen in irgendeiner Datenbank und ggf. auch IP-Adressen.

Das ist meiner Meinung nach datenmäßig ein ziemlicher Kindergeburtstag.

Einer, der es wissen müsste, sagt, dass das Problem, über das das BSI eine Warnung ausgegeben hatte, nichts mit den Datenbanken des Forums, sondern mit den von den Providern genutzten php-Versionen zu tun hat, die die php-Seiten ausführen, aus denen das Forum besteht.
Selbiger Wissender geht davon aus, dass diese bereits am ersten Tag nach Aufkommen des Problems aktualisiert worden sind.

Martin hat auch schon geschrieben, dass die Nachfrage von Jan total okay ist, dem ist dem Grunde nach nichts hinzuzufügen.

Jan hatte sich aber an dem grünen Satz meines alter ego Mod1 gestoßen, das sollte aber mit meiner darauffolgenden Antwort bzw. Erläuterung auch gegessen sein.

Schöne Grüße

Ph.

Tante Edit sacht, dass Horst jetzt doch geschrieben hat, insofern ist Phils Beitrag php-inhaltlich bereits überholt.

[TheMissingLink]

Ph. schrub:
"Tante Edit sacht, dass Horst jetzt doch geschrieben hat, insofern ist Phils Beitrag php-inhaltlich bereits überholt."

Brauchst n neuen Job? Könnte dir n kuhlen admin-Job beim Kunden vermitteln

[Henrik]

Mahlzeit,

Ich lasse jetzt mal den hauptberuflichen IT-ler und nebenberuflichen Foren-Admin raushängen.

Die in den letzten Tagen von den Medien ge-hypten Herausforderungen haben nichts mit der Forensoftware direkt zu tun.
Die auf den Servern (des Providers) laufende php-engine ist, auch in den neuen Versionen, seit Jahrzehnten (!) buggy.
Wenn eine Seite mit php-inhalt, so wie hier, aufgerufen wird, wird sie nicht in euren Browser geladen sondern von der php-engine auf dem Server des Providers ausgeführt. Erst danach wird eurem Browser z.b. eine html-seite übertragen die euer Browser anzeigen (rendern) kann.
Aufe Maloche hatte ich Donnerstag und Freitag nichts zu tun, als Systeme beim Kunden zu finden auf denen die engine installiert und aktiv ist. Sobald die Updates für das Betriebssystem da waren, wenige Stunden nach Bekanntwerden, wurden diese aktualisiert.
Das haben meines Wissens nach alle Provider innerhalb der ersten 12 Stunden erledigt, ganz normale Tätigkeiten. Safe so gut es geht.
Problem hier: es ist über die Medien gehyped und unendlich aufgeblasen worden: oooh, KI!!!! Wir werden alle sterben!!!
Bis dahin war die Lücke nicht einmal bekannt geschweige denn ausgenutzt.
Gleich darauf die Cracker (nicht "Hacker", ich bin einer, einer der guten): "oh, danke für den Tip und die Anleitung!"

Gedingst sind diejenigen, die die engine nicht aktualisieren KÖNNEN weil ihre php-Applikationen uralte, nicht mehr unterstützte engines benötigen. Mir fällt spontan eine Bank, ein Versandhaus und ein Logistikunternehmen ein, bei denen es so ist.
Eure Nachrichten sind wesentlich sicherer als WhatsApp-Nachrichten, M$-dokumente oder medizinische Befindlichkeiten die mit chatgpt geteilt werden.
Im Zweifelsfall hochsensible PM einfach löschen, wenn weg dann weg.
Ein Update der Forensoftware wird am grundlegend Problem des php nichts ändern.
Wir überlegten vor ein paar Monaten, auf ein anderes System zu migrieren. 1. Gibt es nicht viele passende Alternativen und 2. Der Aufwand der nacharbeiten wäre immens: "ich finde meinen Button nicht!" "Das sieht ganz anders aus!" ...

Also, generell war die obige Frage berechtigt. Einfache Antwort: ja, nach MOMENTANEM Ermessen sicher.
Es ist immer eine Frage der Geschwindigkeit. Mein persönlicher Provider hat innerhalb einer Stunde reagiert, ich habe bei knapp 500 Servern doppelt so lange gebraucht.

Bei Fragen fragen.
Der Horst

Horst, danke für die Erläuterung.
Ich habe über das Thema mit unseren Admins in der Firma gesprochen - keiner versteht, warum das Thema so gehyped wurde...

[TheMissingLink]

Henrik, weil openai, anthropic und co das Thema KI ständig pushen, mystifizieren und ihren stochastischen Papageien menschliche Fähigkeiten zuschreiben. Hält den Aktienkurs hoch und verzögert deren Ableben

[Psycho-Ed]

weil openai, anthropic und co das Thema KI ständig pushen, mystifizieren und ihren stochastischen Papageien menschliche Fähigkeiten zuschreiben......

"Am 29. August 1997 um genau 2.14 Uhr nachts entwickelte das von der Firma Cyberdyne entwickelte globale
Verteidigungsnetzwerk namens Skynet ein eigenes Bewusstsein.!!!!"

WIR WERDEN ALLE STERBEN....!!!!!

[Henrik]

weil openai, anthropic und co das Thema KI ständig pushen, mystifizieren und ihren stochastischen Papageien menschliche Fähigkeiten zuschreiben......

"Am 29. August 1997 um genau 2.14 Uhr nachts entwickelte das von der Firma Cyberdyne entwickelte globale
Verteidigungsnetzwerk namens Skynet ein eigenes Bewusstsein.!!!!"

WIR WERDEN ALLE STERBEN....!!!!!

IMG_2322.jpeg