Cloudflare startet Zero Wire, einen öffentlichen Dienst zu kritischen CVEs in Internet-Software: Schweregrad und Ausnutzungsbelege getrennt, WAF-Treffer sind keine Kompromittierungszahlen

Am 3. November 2026 hat Cloudflare Zero Wire vorgestellt, einen öffentlichen Informationsdienst zu Sicherheitslücken innerhalb von Cloudflare Radar, im Bereich Sicherheit. Daniele Molteni und Celso Martinho schreiben, KI erhöhe sowohl die Menge als auch die Geschwindigkeit, mit der kritische Schwachstellen entdeckt werden, und Sicherheitsteams müssten „Sind wir betroffen, und was tun wir dagegen?“ beantworten, während schon die nächste Meldung eintrifft. Zero Wire soll ihnen nach Art eines Nachrichtendienstes einen Ausgangspunkt geben. Der Beitrag sagt, die Informationen seien nützlich, ob man Cloudflare-Kunde ist oder nicht.

Jede Kurzmeldung enthält eine leicht verständliche Erklärung, was passiert ist und warum es wichtig ist, wer ermitteln sollte, eine kurze Liste „Was jetzt zu tun ist“ sowie Links zu Belegen und Herstellerhinweisen. Cloudflare bietet außerdem einen vorgefertigten Prompt, den man dem eigenen KI-Agenten geben kann. Laut Beitrag verlangt der Prompt eine schreibgeschützte Bewertung der eingesetzten Software, relevanter Herstellerkorrekturen, der Exposition und kompensierender Maßnahmen, mit Belegen je Asset, offenen Punkten und nächsten Schritten, und das Kopieren des Prompts scannt oder ändert kein System. Das Ergebnis hängt also vom Zugriff und der Prüfung durch den eigenen Agenten und das eigene Team ab.

Der Umfang ist bewusst eng. Zero Wire ist kein Katalog aller CVEs und ersetzt weder Herstellerhinweise noch Schwachstellendatenbanken. Es behandelt kritische CVEs in aus dem Internet erreichbarer Software, etwa Webanwendungen, die Laufzeitumgebungen und Bibliotheken, von denen sie abhängen, und offene Dienste, bei denen ein Proxy helfen kann, Angriffe abzuschwächen. Cloudflare wählt die Themen aus, und ein eigener Cloudflare-Schutz, etwa eine Regel der Web Application Firewall (WAF), ist keine Voraussetzung für die Aufnahme. Manche Probleme erfordern Updates des Herstellers oder Änderungen jenseits des Datenverkehrs, den Cloudflare prüfen kann.

Die Startseite teilt die Meldungen in „Needs attention“ für Probleme, die aktive Bewertung oder Maßnahmen erfordern, und „Reference“ für solche, deren Hinweise stabil sind. Der Wechsel zu Reference heißt nicht, dass alle betroffenen Systeme gepatcht sind. Jede Karte zeigt einen Status und das Datum der letzten Prüfung, und der Beitrag warnt, dass bekannte Ausnutzung, laufende Untersuchung und verfügbare Herstellerkorrektur Verschiedenes beschreiben. Außerdem seien Schweregrad und Belege für aktive Ausnutzung zwei getrennte Dinge, und Leser brauchten beides.

Der Abschnitt über Belege ist der vorsichtigste im Beitrag. Die Meldungen verlinken CVE-Einträge, Forschung und Ausnutzungsbelege wie den Katalog bekannter ausgenutzter Schwachstellen der CISA und können Diagramme des Datenverkehrs ergänzen, der zu den verwalteten WAF-Regeln von Cloudflare passt. Der Beitrag stellt klar: Solche Anfragen sind keine Zählung kompromittierter Systeme oder erfolgreicher Angriffe, ein beobachteter Angriffsversuch zeigt nicht, dass eine bestimmte Organisation kompromittiert wurde, und fehlende Versuche im Cloudflare-Netz zeigen nicht, dass anderswo keine Ausnutzung stattfindet. Die Meldungen trennen, was die Quellen belegen, von dem, was unbekannt bleibt, und eine Änderungschronik hält neue Hinweise fest.

Das Beispiel ist php2shell, zwei Fehler in der PHP-Laufzeit. Ein früherer Cloudflare-Beitrag nennt die Fehler CVE-2026-109618 und CVE-2026-109619, die am 21. Oktober offengelegt wurden und Server mit PHP 5.4 oder neuer betreffen, und sagt, WAF-Schutz sei an diesem Tag ab 3:02 Uhr UTC standardmäßig für kostenlose und zahlende Kunden aktiv gewesen, etwa neun Stunden vor der Veröffentlichung. Zero Wires Punkt ist, dass das Aktualisieren von Anwendungscode oder einem Plugin einen Fehler in der Laufzeit nicht behebt; die Meldung führt Leser deshalb zu den richtigen Verantwortlichen und den PHP-Hinweisen. Der frühere Beitrag enthält auch eine Aktualisierung vom 23. Oktober zu einem verwandten Problem, CVE-2026-115560, das vollständig gepatchte Versionen betrifft und von der WAF-Regel nur erfasst wird, wenn die Seite den Standardnamen des Upload-Fortschrittsfelds behält.

Cloudflare ist offen über die eigene Rolle. Wenn eine WAF-Regel passt, sagt die Meldung das und nennt die Konfigurationsanforderungen, mit Links zum Dashboard, doch der Link aktiviert keine Regel und prüft keine Bereitstellung. Laut Beitrag ist eine WAF-Abschwächung eine kompensierende Maßnahme für den erfassten Datenverkehr und kein Ersatz für das Beheben der verwundbaren Software, und das Blockieren von Anfragen macht nicht rückgängig, was am Ursprungsserver schon ausgeführt wurde. Für Teams ist Zero Wire eine Triage-Hilfe, die neben den Herstellerhinweisen zu lesen ist, und der Beitrag nennt keine gemessenen Daten dazu, wie viel Zeit sie spart.