Da uns auch dazu Anfragen erreichen, hier der Stand für unsere Hosting-Umgebung zur Sicherheitslücke „HTTP2Shell“ (CVE-2026-111497), die auch „Node2Shell“ genannt wird.
Was ist das Problem?
Die Lücke steckt im Brotli-Decoder von Google. Diese Programmbibliothek entpackt komprimierte Daten und ist weit verbreitet. Es handelt sich um einen Speicherfehler (Out-of-Bounds-Write) in den Brotli-Versionen 1.0.3 bis 1.2.0, bewertet mit 9.2 Punkten nach CVSS v4.0. Mit HTTP/2 hat die Lücke trotz des Namens nichts zu tun. Korrigiert ist der Fehler in Brotli 1.0.10, 1.1.1 und 1.2.1.
Ist WordPress betroffen?
WordPress selbst ist nicht verwundbar, kann aber ein Weg zur Lücke sein. Entpackt PHP über cURL eine Brotli-komprimierte Antwort von einem Server des Angreifers, ist das Ausführen von Schadcode möglich, etwa über einen XML-RPC-Pingback. Der Sicherheitsanbieter Wordfence hat das im Labor nachgestellt. Öffentlich überprüfbare Belege für erfolgreiche Angriffe über WordPress im echten Betrieb gab es laut Wordfence bis zum 02.11.2026 nicht.
Was haben wir getan?
- Alle unsere Webhosting-Server laufen mit der korrigierten Brotli-Bibliothek.
- Wir haben geprüft, dass kein laufender Dienst mehr die alte Version verwendet.
- Auch alle zusätzlichen PHP-Versionen haben wir geprüft. Sie nutzen ebenfalls die korrigierte Bibliothek des Systems und bringen keine eigene Brotli-Kopie mit.
- Node.js und die Brotli-Erweiterung für Python sind ebenfalls betroffen. Beide sind auf unseren Webservern nicht installiert.
Muss ich jetzt etwas tun?
Als Webhosting-Kunde nicht. Nach aktuellem Kenntnisstand besteht für Sie kein Handlungsbedarf.
Quellen
Wenn Sie Fragen haben, erreichen Sie uns wie gewohnt über unsere Supportanfrage.
Ihr Team von schnied.net