Veröffentlichungen

ReportedIP Hive 2.1.49: Sicherheits-Audit, Einstellungs-Standard und Fleet-Management

27. August 2026 · Aktualisiert 1. September 2026 · Patrick Schlesinger

Zwischen dem 14. und dem 26. August 2026 sind acht Releases erschienen. Die Reihe beginnt mit einem Sicherheits-Release, das drei nachgewiesene Umgehungen in der Firewall und in der 2FA-Schicht geschlossen hat, und endet mit Fleet-Management: eine Sicherheitsrichtlinie, ausgerollt auf jede Website, die Sie betreiben, aus MainWP oder aus Ihrem reportedip.com-Konto.

Was sich zwischen Hive 2.1.41 und 2.1.49 geändert hat

• 2.1.44 hat neun Sicherheitsbefunde geschlossen, drei davon nachgewiesene Umgehungen des Block-Gates, der Firewall und der 2FA-Anmeldung.
• 2.1.45 lässt jede API-Anfrage ihre Installation ausweisen, so wie es die Update-Abfragen von wordpress.org tun, und hat dem Dashboard eine Karte für lizenzierte Domains hinzugefügt.
• 2.1.46 hat Plugin-Updates für Remote-Management-Dashboards wiederhergestellt, die seit 2.1.32 keine Hive-Updates mehr gesehen haben.
• 2.1.47 bringt die Einstellungs-Registry und ein versioniertes Remote-Settings-Protokoll, damit ein Dashboard Hive-Einstellungen mit Validierung je Schlüssel lesen und anwenden kann.
• 2.1.48 hat Cloud-Fleet-Management für Business ergänzt, einen Ed25519-signierten Transportweg, über den reportedip.com Richtlinien auf Ihre Websites anwendet.
• 2.1.49 hat diesen Endpunkt gehärtet, sodass ein nicht authentifizierter Aufrufer nicht mehr erkennen kann, ob eine Website die Funktion aktiviert hat.

Alles Genannte steckt im kostenlosen Plugin, sofern eine Zeile nichts anderes sagt. Die Schutz-Engine bleibt kostenlos, wie immer.

2.1.44 hat drei Umgehungen geschlossen, die an einer Live-Website nachgewiesen wurden

Dieses Release ist aus einem vollständigen Audit des Request-Pfads entstanden. Drei Befunde waren nicht theoretisch. Jeder einzelne wurde an einer laufenden Installation reproduziert, bevor der Fix eingebaut wurde.

admin-ajax.php lag außerhalb des Block-Gates

Das IP-Gate und die Firewall liefen beide auf init, aber admin-ajax.php galt als Admin-Anfrage und wurde übersprungen. Eine gesperrte Adresse konnte weiterhin jede öffentliche AJAX-Aktion aufrufen, und Plugins, die Logik über AJAX anbieten, waren erreichbar, während dieselbe Adresse im Frontend ausgesperrt war. Beide Schichten prüfen admin-ajax-Verkehr jetzt mit.

Eine Firewall-Ausnahme konnte jede nachfolgende Regel verdecken

Ausnahmen sollen eine einzelne Regel für einen einzelnen Pfad freistellen. Ein fehlerhafter Geltungsbereich hat die Engine daran gehindert, die folgenden Regeln überhaupt auszuwerten, sodass ein einziger falscher Eintrag stillschweigend einen Teil des Regelwerks abgeschaltet hat. Der Ausnahme-Abgleich ist jetzt je Regel begrenzt und kann den Durchlauf nicht mehr beenden.

Prozent-kodierte Sonden sind an drei Sensoren vorbeigelaufen

Der Scan-Detektor, der Schutz gegen Benutzer-Enumeration und die Hide-Login-Sonde haben Pfade allesamt nach sanitize_text_field() verglichen, was Prozent-Escapes unangetastet lässt. Eine Anfrage auf %2E%2E%2Fwp-config.php passte damit nicht auf die Honeypot-Liste. Der Pfadvergleich findet jetzt auf dem dekodierten Wert statt.

Sechs weitere Befunde im selben Release

• Eine übermittelte 2FA-Methode wurde nie gegen die tatsächlich hinterlegten Faktoren des Benutzers geprüft. Eine Anmeldung konnte eine Methode nennen, die das Konto nie eingerichtet hatte.
• TOTP-Codes waren nicht einmalig. Ein abgefangener Code blieb für den Rest seines 30-Sekunden-Fensters gültig.
• Beide öffentlichen 2FA-REST-Routen enden in wp_set_auth_cookie() und haben Cross-Origin-Aufrufe akzeptiert. Sie weisen ein Browser-Formular von einer fremden Herkunft jetzt ab.
• Sperren und Entsperren haben bis zu fünf Minuten gebraucht, weil das Zugriffsurteil zwischengespeichert war. Der Cache wird bei jeder Sperr-Änderung verworfen.
• Ein konfigurierter Client-IP-Header wurde von jedem Gegenüber akzeptiert. Vertrauenswürdige Proxy-Quellbereiche entscheiden jetzt darüber, ob der Header überhaupt gelesen wird.
• Ein fehlerhaftes CIDR-Präfix hat dazu geführt, dass der Schutz vor dem WordPress-Start auf jede Adresse passte.

Wenn Sie Hive auf einer Website mit öffentlichen AJAX-Endpunkten oder hinter einem Reverse-Proxy betreiben, ist 2.1.44 das Release, das Sie nicht überspringen wollen.

Remote-Dashboards waren seit 2.1.32 blind für Hive-Updates

Eine Performance-Änderung in 2.1.32 hat den Update-Checker bei Frontend-Anfragen übersprungen. MainWP, ManageWP und vergleichbare Werkzeuge synchronisieren über genau diese Anfragen, haben also nie eine neue Hive-Version gesehen und konnten sie weder melden noch installieren. Websites, die sich für Updates auf ein Management-Dashboard verlassen haben, blieben ohne Warnung auf alten Ständen.

2.1.46 führt den Update-Checker wieder in jedem Request-Kontext aus und schaltet die WordPress-Auto-Updates für das Plugin ein. Ein Sicherheits-Plugin, das sich nicht selbst aktualisieren kann, ist ein Risiko, deshalb ist das nicht mehr optional. Wenn Ihre Installationen auf 2.1.32 bis 2.1.45 aktuell aussahen, prüfen Sie die installierte Version jetzt.

Jede Anfrage nennt jetzt ihre Installation

Seit 2.1.45 trägt jeder API-Aufruf die Adresse der Website sowie die Plugin- und WordPress-Version, im selben Format, das die Update-Abfragen von wordpress.org seit Jahren verwenden. Im Multisite-Betrieb wird die Netzwerk-Adresse einmal gesendet, sodass ein Netzwerk als eine Domain zählt und nicht als eine pro Untersite.

Das Security-Dashboard hat eine Karte für lizenzierte Domains bekommen, die zeigt, wie viele Domains Ihr Tarif abdeckt und wie viele belegt sind. Stillgelegte Websites lassen sich im Kontobereich freigeben, und Domains, die nicht mehr melden, werden nach 60 Tagen automatisch freigegeben. Drittanbieter-Dienste erhalten diese Identität nie. Die HIBP-Passwortprüfung bekommt insbesondere nur das nackte Produkt-Token und sonst nichts.

Ein Einstellungs-Standard für jeden Schreiber

Hive-Einstellungen wurden früher an vier verschiedenen Stellen validiert. Die Einstellungsseite hatte eigene Sanitizer, der Einrichtungsassistent einen zweiten Satz, der Import einen dritten, und keiner davon existierte außerhalb von wp-admin. Ein Remote-Schreibvorgang konnte in der Datenbank landen, ohne die Prüfungen zu durchlaufen, die ein Formular-Absenden ausgelöst hätte.

2.1.47 hat das durch eine einzige deklarative Registry ersetzt. Jede verwaltete Option benennt einmal ihre Art, ihren Wertebereich, die erlaubten Werte, die Tarif-Voraussetzung und ihre Nebenwirkungen. Die Einstellungsseite, der Assistent, der Import und jeder Remote-Transportweg validieren über dieselbe Kette, und die Registry lädt in jedem Request-Kontext. Rewrite-Regeln und Cache-Resets greifen jetzt für jeden Schreiber, der den Wert geändert hat, WP-CLI eingeschlossen.

Darüber liegt ein versioniertes Remote-Settings-Protokoll. Ein Dashboard fragt bei einer Website das Schema der Einstellungen ab, liest die aktuellen Werte und wendet einen Stapel an. Jeder Schlüssel kommt mit einem eigenen Ergebnis zurück, sodass eine tarifgebundene Option als übersprungen gemeldet wird, statt den gesamten Vorgang scheitern zu lassen. Der Vertrag ist im Plugin-Repository dokumentiert, und beide Dashboards setzen ihn um.

Fleet-Management: eine Richtlinie für jede Website, die Sie betreiben

2.1.48 hat aus diesem Protokoll eine Funktion gemacht. Definieren Sie eine Sicherheitsrichtlinie einmal, überschreiben Sie einzelne Felder dort, wo eine Website etwas anderes braucht, und rollen Sie sie aus. Das Dashboard verwaltet 63 Einstellungen in sieben Gruppen: Erkennungsschwellen, Sperren und Eskalation, Firewall-Stufe, Hide-Login, 2FA-Richtlinie, Protokollierung und Aufbewahrung sowie Benachrichtigungen.

Jede Website meldet bei jedem API-Aufruf einen Fingerabdruck ihrer verwalteten Einstellungen. Ändern Sie etwas direkt auf einer Website, erscheint sie als abgewichen, bis Sie erneut ausrollen. Eine Vergleichsansicht stellt den Zielwert neben den Wert, den die Website tatsächlich hat, live abgerufen.

Es gibt zwei Wege, das zu steuern. Die MainWP-Brücke steckt in Hive selbst, eine mit Ihrem MainWP-Dashboard verbundene Website ist also ohne zusätzliches Child-Plugin und ohne zugekaufte Erweiterung verwaltbar. Das Fleet-Dashboard auf reportedip.com leistet dasselbe aus Ihrem Konto unter Domains und braucht überhaupt kein MainWP. Dieser Weg gehört zum Business-Tarif.

Wie der Cloud-Transportweg abgesichert ist

Einem Dienst das Schreiben von Einstellungen in Ihre Website zu erlauben, ist nur vertretbar, wenn die Website nachweisen kann, wer da fragt. Der Transportweg ist standardmäßig aus, und jede Anfrage muss sieben Prüfungen bestehen, bevor irgendetwas geschrieben wird.

• Der Website-Betreiber schaltet ihn ein. Ohne den Schalter, Community-Modus und einen Zugriffsschlüssel wird jede Anfrage abgewiesen.
• Ratenbegrenzung je IP auf der Website.
• Eine Ed25519-Signatur über exakt diese Nutzlast, geprüft gegen einen im Plugin mitgelieferten öffentlichen Schlüssel. Der private Schlüssel verlässt den Dienst nie.
• Ein Fünf-Minuten-Fenster für den Zeitstempel der Anfrage.
• Einmalige Anfrage-Kennungen, sodass eine abgefangene Anfrage nicht wiederholt werden kann.
• Eine Adressatenbindung, sodass ein an eine Website gerichteter Umschlag von jeder anderen abgelehnt wird.
• Ein Nachweis, der aus dem Zugriffsschlüssel der Website abgeleitet ist und die Anfrage an das Konto bindet, dem die Website gehört.

2.1.49 hat eine weitere Eigenschaft ergänzt. Eine Anfrage, die an der Signaturprüfung scheitert, und eine Anfrage an eine Website, die die Funktion nie aktiviert hat, erhalten jetzt denselben generischen Fehler, sodass ein Scan des Internets nicht mehr verrät, welche Websites Fleet-Management eingeschaltet haben. Der tatsächliche Grund steht im Sicherheitsprotokoll der Website.

Kleinere Korrekturen, die erwähnenswert sind

• Die Netzwerk-Aktivierung im Multisite-Betrieb bricht nicht mehr mit einem Fatal ab, wenn der erweiterte Schutz aktiv ist.
• Fehlgeschlagene XML-RPC-Anmeldungen mit App-Passwort zählten doppelt gegen die Brute-Force-Schwelle. Ein Versuch auf der Leitung ist jetzt ein Versuch.
• Der Protokoll-Filter kennt den Ereignistyp „App Password Failed”.
• Die Release-Highlights im Update-Banner brachen mitten im Satz ab, wenn die Release-Notes lang waren.
• Die Schaltfläche zum Zurücksetzen der API-Statistik im Security-Dashboard hat nichts getan. Ihr Handler war nur auf der Seite „System Status” gebunden.
• Admin-Seiten scrollen auf Telefonen nicht mehr seitlich. Tabellen scrollen in ihrem eigenen Container, und Karten-Kopfzeilen brechen um.

So aktualisieren Sie auf Hive 2.1.49

Updates kommen über die normale WordPress-Update-Seite. Seit 2.1.46 sind Auto-Updates für das Plugin aktiv, die meisten Installationen sind also bereits auf 2.1.49 oder erreichen es innerhalb eines Tages. Um es sofort zu holen, öffnen Sie die Plugin-Seite und nutzen den Link zur Update-Prüfung, oder aktualisieren Sie aus Ihrem Management-Dashboard.

Konfigurationsänderungen sind nicht nötig. Cloud-Fleet-Management bleibt aus, bis Sie es je Website einschalten, und die Einstellung für vertrauenswürdige Proxys behält ihr bisheriges Verhalten, bis Sie die Quellbereiche eintragen. Wenn Sie irgendetwas zwischen 2.1.32 und 2.1.45 betrieben haben, prüfen Sie die installierte Version einmal von Hand, da Ihr Dashboard eine veraltete Nummer gemeldet haben könnte.