Produktsicherheit

Sicherheit ist Teil des Produkts: Unsere WBox-Gateways verbinden reale Anlagen, und so behandeln wir sie auch. Diese Seite bündelt unseren Sicherheitskontakt, unsere Richtlinie zur koordinierten Offenlegung und unsere Sicherheitshinweise.

Eine Schwachstelle melden

Sie glauben, eine Schwachstelle in einem WBox-Gateway, einer Weble-Software oder dieser Website gefunden zu haben? Schreiben Sie an security@weble.ch — mit Produkt und Version, Schritten zur Reproduktion und geschätzter Auswirkung.

Unsere Zusage (koordinierte Offenlegung):

  • Eingangsbestätigung innerhalb von 2 Arbeitstagen;
  • Analyse, Korrektur und Veröffentlichung mit Ihnen koordiniert;
  • keine rechtlichen Schritte gegen gutgläubige Forschung;
  • öffentliche Nennung, wenn gewünscht.

Dieser Kontaktpunkt ist auch in /.well-known/security.txt veröffentlicht.

Sicherheitshinweise

Bis heute wurde keine Weble-spezifische Schwachstelle veröffentlicht. Wir verfolgen auch die mitgelieferten Drittkomponenten; die relevante öffentliche Historie (Website, Laufzeitumgebung, VPN-Komponente) ist unten aufgeführt.

Oktober 2026 — Node.js-Laufzeitumgebung (Brotli-Decoder)
CVE-2026-111497 (veröffentlicht am 22. Oktober 2026, CVSS 9.2): Pufferüberlauf im in Node.js enthaltenen Brotli-Decoder, auslösbar durch einen manipulierten komprimierten Datenstrom (Denial of Service, Speicheroffenlegung, mögliche Codeausführung). Upstream behoben in Node.js 22.23.4, 24.22.1 und 26.12.1; keine Korrektur für Node.js 18.
Status: WBox-Gateways nicht exponiert — die Firmware (Node.js 18) nutzt den Brotli-Decoder nicht: keine Brotli-Dekomprimierung empfangener Inhalte, und Brotli-Kompression wird in den HTTP-Headern nicht ausgehandelt. Der Dienst Weble AI, die einzige Komponente, die solche Datenströme verarbeiten könnte, wurde vorsorglich gestoppt. Die Migration der Gateways und der Infrastruktur auf Node.js 24 (LTS) ist geplant.
Oktober 2026 — Website www.weble.ch (PHP, „php2shell“)
CVE-2026-109618 (CVSS 9.8) und CVE-2026-109619 (CVSS 8.1), veröffentlicht am 21. Oktober 2026: nicht authentisierte Remote-Codeausführung im Kern des PHP-Interpreters (Behandlung von Speicherfehlern und veralteter globaler Zustand zwischen Anfragen).
Status: behoben — der Webserver wurde am 22. Oktober vorsorglich vom Netz genommen und am 23. Oktober 2026 mit einer PHP-Version, die die Korrektur enthält, wieder in Betrieb genommen. WBox-Gateways enthalten kein PHP: nicht betroffen.
Oktober 2018 — VPN-Komponente (tinc ≤ 1.0.34)
CVE-2018-16758 (ein Man-in-the-Middle konnte die Verschlüsselung deaktivieren, CVSS 5.9), CVE-2018-16737 und CVE-2018-16738 (Schwächen im Authentisierungsprotokoll, CVSS 5.3 / 3.7). Upstream behoben in tinc 1.0.35 und 1.1.
Status: nicht betroffen — die Weble-VPN-Infrastruktur und aktuelle Gateways nutzen den 1.1-Zweig.
April 2013 — VPN-Komponente (tinc < 1.0.21, 1.1 < 1.1pre7)
CVE-2013-1428: Pufferüberlauf, ausnutzbar durch einen bereits authentifizierten Peer (Denial of Service, mögliche Codeausführung, CVSS 6.5). Upstream behoben in tinc 1.0.21 / 1.1pre7.
Status: behoben.
2002 — CVE-2002-1755 (tinc 1.0pre3/pre4)
Ein Jahrzehnt vor den ersten Weble-Gateways (2012). Nicht betroffen.
Komponente — Node.js-Laufzeitumgebung
Aktuell verkaufte WBox-Gateways betten Node.js 18 ein; die Migration auf Node.js 24 (LTS) ist geplant. Frühere Generationen (Node.js 8) werden nicht mehr verkauft — kontaktieren Sie uns für Upgrade-Möglichkeiten. Die Laufzeitumgebung bedient die Weboberfläche des Gateways sowie die aktivierten Protokolldienste (zum Beispiel Modbus- oder BACnet-Server) im Anlagennetz. Upstream-Schwachstellen werden in diesem Kontext bewertet; ein Hinweis erscheint hier, sobald ein Produkt tatsächlich betroffen ist — mit Korrektur oder Gegenmassnahme, statt den rohen CVE-Feed zu spiegeln, der unlesbar und sofort veraltet wäre.

Empfehlungen für den Einsatz

Die Netzwerk-Exposition eines Automations-Gateways wird zuerst über die Architektur beherrscht:

  • Niemals ein Gateway direkt ins Internet stellen — weder die Weboberfläche noch die Protokolldienste: Modbus und BACnet haben konstruktionsbedingt keine Authentisierung;
  • segmentiertes Automationsnetz (dediziertes VLAN, Firewall) für Gateways und ihre Geräte;
  • Fernzugriff über das WBox-VPN statt Portweiterleitungen (NAT);
  • Firmware aktuell halten.

Updates

Korrekturen werden über die Updates der WBox-Gateways verteilt — direkt über die Oberfläche der Box oder aus der Ferne via VPN. Wir empfehlen, die Gateways aktuell zu halten; Dokumentation auf wiki.weble.ch.

Secure by Design

  • Ende-zu-Ende-Verschlüsselung, Peer-to-Peer: Ihre Daten laufen über keine Dritt-Cloud;
  • lokale Ausführung auf dem Gateway — kein Middleware, kein Zwischen-PC;
  • minimale Angriffsfläche Richtung Internet: ausgehende Verbindungen, kein offener eingehender Port;
  • Segmentierung: Topologie und Zugriffsrechte definieren Sie — je Standort und Benutzer.

Cyber Resilience Act (EU)

Weble bereitet die Konformität mit der Verordnung (EU) 2024/2847 („Cyber Resilience Act“) vor. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten seit dem 11. September 2026; die meisten übrigen Pflichten ab dem 11. Dezember 2027. Diese Seite ist der erste Baustein: zentraler Kontaktpunkt, koordinierte Offenlegung, öffentliche Hinweise. Die Support-Dauer jedes Gateways ist auf seiner Produktseite angegeben (garantiert mindestens bis Ende 2030); Weble-Software-Updates bleiben laufend verfügbar, und das System lässt sich durch Neuflashen des Speichers (SD-Karte oder eMMC je nach Modell) erneuern.