PwnEscape

    Hier muss ich aber wirklich mal Debian loben. Während andere sog. Enterprise Distributionen (RHEL, SUSE, Ubuntu) noch keinerlei Updates zur Verfügung stellen, hat Debian bereits gepatcht. Das war in den letzten Monaten schon ein wenig auffällig, dass Debian hier immer sehr schnell war und andere Distributionen eigentlich viel zu lange gebraucht haben. Wollte nämlich gerade mal meine eigenen Systeme patchen und musste feststellen, dass ich das noch gar nicht kann.

    Zitat von Paul

    Hier muss ich aber wirklich mal Debian loben. Während andere sog. Enterprise Distributionen (RHEL, SUSE, Ubuntu) noch keinerlei Updates zur Verfügung stellen, hat Debian bereits gepatcht.

    Ja, selbst Canonicals/Ubuntus "Livepatch"-Dienst bringt hier keinerlei Besserung; wenn man sieht, dass QEMU/KVM-Ausbruch-spezifische CVEs (bspw. CVE-2026-74580, vgl. Analyse) seit knapp zwei Monaten für die aktuellen LTS-Versionen offen sind, fragt man sich schon, ob hier seitens der Distribution die Schwerpunkte richtig gesetzt sind:

    Code
    # canonical-livepatch status
last check: 13 minutes ago
kernel: 7.0.0-39.39~24.04.1-generic
server check-in: succeeded
kernel state: ✓ kernel series 7.0 is covered by Livepatch
patch state: ✓ no livepatches available for kernel 7.0.0-39.39~24.04.1-generic
tier: updates (Free usage; This machine beta tests new patches.)

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    2 Mal editiert, zuletzt von m_ueberall (18. Oktober 2026 um 17:26)

    Zitat von Paul

    Hier muss ich aber wirklich mal Debian loben. Während andere sog. Enterprise Distributionen (RHEL, SUSE, Ubuntu) noch keinerlei Updates zur Verfügung stellen, hat Debian bereits gepatcht. Das war in den letzten Monaten schon ein wenig auffällig, dass Debian hier immer sehr schnell war und andere Distributionen eigentlich viel zu lange gebraucht haben. Wollte nämlich gerade mal meine eigenen Systeme patchen und musste feststellen, dass ich das noch gar nicht kann.

    Ich hab auch für einen moment gedacht jetzt muss ich eine Patchsession machen... aber Debian hat das schon ne Weile gepatcht.

    Hi,

    ist bei euch so, dass ihr euch über 5 Stunden nicht anmelden könnt auf einem Server? Mein anderer Server (auch Standort Nürnberg) läuft hingegen einwandfrei. Der andere ist auch gestern über 5h nicht erreichbar gewesen...

    Danke schonmal!

    Zitat von m_ueberall

    Wird es (dennoch) E-Mails mit Vorankündigung/Zeitfenstern an die Kunden geben?

    Und ist geplant, die Hosts "kreuz und quer" und nicht nach VPS/RS-Typ/Generation "sortiert" neu zu starten?

    🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣


    Zitat von [netcup] Alexander W.

    Ja, es wird eine Mail an Nutzer geben, aber das ist eher eine Ankündigung "wir rebooten jetzt im Anschluss" als eine große Vorankündigung, da wir ungerne Zeit verlieren würden, da das Risiko einfach zu hoch ist.

    Der Rollout ist schon größtenteils durch, die Reboots planen wir gerade durch.

    Sorry für die Umstände, aber Sicherheit geht bei so einer Lücke vor - desto schneller das erledigt ist, desto besser für uns alle :)

    Problem is that it took you at least 3/4 of a day to do that, in which time you could have... guess?... NOTIFIED YOUR CUSTOMERS.

    Zitat von m_ueberall

    Und ist geplant, die Hosts "kreuz und quer" und nicht nach VPS/RS-Typ/Generation "sortiert" neu zu starten?

    Zitat von dimecadmium

    🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣🤣

    This is not necessarily funny. Strictly speaking, a “mixed” restart of the different host generations—or even a restart in a random order—would increase the likelihood that not all instances of a small, homogeneous cluster could be taken offline at the same time.

    VServer IOPS Comparison Sheet: https://docs.google.com/spreadsheets/d/1w38zM0Bwbd4VdDCQoi1buo2I-zpwg8e0wVzFGSPh3iE

    Einmal editiert, zuletzt von m_ueberall (18. Oktober 2026 um 21:10)

    Zitat von dimecadmium

    NOTIFIED PEOPLE BEFORE RESTARTING

    Es wird weit länger als das dauern, obwohl pro Tag mehr als eine vierstellige Anzahl Server gepatcht wird.

    Und: Es IST seit dem 16. angekündigt.

    Was ist dir wichtiger, eine Rebootvorwarnung mit Wartezeit und dann die Mitteilung dass durch das Warten dein Server gehackt und deine Daten geleakt wurden, oder ein sofortiges Schließen der Sicherheitslücke?

    3 Mal editiert, zuletzt von ASS (18. Oktober 2026 um 21:18)

    Zitat von dimecadmium

    Probably a lot, which is all the more reason that they COULD HAVE NOTIFIED PEOPLE BEFORE RESTARTING ANY OF THEM SINCE IT WOULD TAKE THEM 3/4 OF A DAY TO RESTART ALL OF THEM.

    I understand your frustration.

    We decided that securing the systems as fast as possible was more important than risking a security incident that would have affected all of you, and I still believe that was the right decision.

    That said, we learned a lot from this operation for next time, and we will try to send an additional notification by email in such cases.

    By the way, we did inform everyone from the very beginning on our official status page, netcup-status.de. I’d recommend subscribing to the RSS feed there as well.

    Zitat von ASS

    Was denkst du, wieviele Server NC hat? 2? 3?

    Rhetorische Fragen beantworte ich am liebsten:

    Laut Video sind es allein an dem einen Standort in Wien eine knappe 5-stellige Anzahl physischer Server. Also sagen wir mal grob 10.000 Hosts.

    Allein in diesem RZ in Wien ist es eine sechsstellige Anzahl VPS, sagen wir mal grob 200.000 VPS.

    Gestern beim Community Event ging es kurz um den VPS 10 und Alexander bzw. Olli erwähnte glaub' was von 2 TB RAM pro Server.

    Nehmen wir mal 20 GB NVMe pro 1 GB RAM an, landen wir vereinfacht bei min. 40 TB NVMe pro physikalischem Server.

    Nehmen wir pro Server 8 NICs mit je 25 GBit/s (gestern hieß es bei der Frage zu >250 GBit/s VLAN for free, dass es viel 'bezahlbare' 25 GBit/s Verbindungen gibt und 100 GBit/s in der Kalkulation nicht abbildbar sind) landen wir bei 200 GBit/s bzw. 25 GByte/s pro Server.

    Eine Live-Migration dauert damit für 40 TB eine knappe halbe Stunde.

    10.000 Hosts in Wien sind dann 400 Petabyte. Das lässt sich natürlich parallelisieren, wir reden hier aber nur von den Wiener Zahlen. Wie groß Nürnberg ist, habe ich nirgends gefunden...

    Zitat von [netcup] Alexander W.

    I understand your frustration.

    Clearly not.

    Zitat von [netcup] Alexander W.

    We decided that securing the systems as fast as possible was more important than risking a security incident that would have affected all of you, and I still believe that was the right decision.

    That has nothing to do with the issue at hand. I have no issue with the fact that you had to reboot your servers to resolve a vulnerability. I have an issue with the fact that you DID NOT NOTIFY ANYONE in advance and then tried to excuse your failure to notify anyone by claiming that you didn't know in advance when you clearly did.

    Zitat von [netcup] Alexander W.

    That said, we learned a lot from this operation for next time, and we will try to send an additional notification by email in such cases.

    You're not a new host. In fact, you've been through this scenario before, with Spectre/Meltdown.

    Zitat von [netcup] Alexander W.

    By the way, we did inform everyone from the very beginning on our official status page, netcup-status.de. I’d recommend subscribing to the RSS feed there as well.

    I don't have an RSS feed reader. If I did, I don't speak German. I'm not sure why you're incapable of sending an email notification when you become aware that you'll have to reboot every server that simply says "Your server will have to be restarted in the next day or two"? (Especially since you're clearly capable of sending such emails, see also "Activate 2FA in the Server Control Panel now.", or "Collective invoice - improvement of the billing system")