Supply-Chain-Attacke: Polyfill.io verteilt Schadcode über CDN

Sie befinden sich: Home > News Archiv > Webmaster > Supply-Chain-Attacke...

Mehrere Sicherheitsforscher warnen vor einer aktiven Bedrohung durch das Content Delivery Network von Polyfill.io. Über 100.000 Websites weltweit sind betroffen und Google sperrt bereits Werbung von Seiten, die Schadcode über Polyfill.io einbinden.

Eine Supply-Chain-Attacke hat in den letzten Tagen zahlreiche Websites getroffen, die das Content Delivery Network (CDN) cdn.polyfill.io verwenden. Polyfills sind essenziell im Web, um Inhalte auf älteren Browsern auszuführen, die moderne Funktionen nicht unterstützen. Sie bilden nicht unterstützte APIs ab, sodass die Anwendung so gut wie möglich im Browser läuft. Das Ziel des Polyfill.io-Projekts ist es, die Einbindung zu vereinfachen, indem es die für den jeweiligen Browser benötigten Polyfills bereitstellt.

Hintergründe zur Supply-Chain-Attacke

Supply-Chain-Attacken, auch als Lieferkettenangriffe bekannt, zielen darauf ab, Schwachstellen in der Lieferkette eines Unternehmens auszunutzen, um Schadcode in legitime Software einzuschleusen. In diesem Fall hat die Attacke Websites getroffen, die auf das CDN von Polyfill.io angewiesen sind. Laut Berichten von Sicherheitsforschern sind über 100.000 Websites weltweit betroffen. Diese Websites haben unwissentlich Schadcode integriert, der über das CDN von Polyfill.io verteilt wird.

Was sind Polyfills?

Polyfills sind JavaScript-Bibliotheken, die fehlende Funktionen in älteren Browsern emulieren. Sie ermöglichen es Entwicklern, moderne Webtechnologien zu nutzen, ohne sich um die Unterstützung älterer Browser kümmern zu müssen. Polyfill.io ist ein beliebter Dienst, der die benötigten Polyfills basierend auf den Fähigkeiten des Browsers des Benutzers bereitstellt. Dies vereinfacht die Entwicklung und sorgt dafür, dass Websites in möglichst vielen Browsern korrekt funktionieren.

Erste Warnungen und Reaktionen

Im Februar dieses Jahres wurde die Site Polyfill.io von der chinesischen Firma Funnull übernommen. Zuvor wurde die Site von der Financial Times unterstützt. Der Betreiber des Polyfill-Projekts, Andrew Betts, der bei Fastly arbeitet, hatte bereits im Februar auf X (ehemals Twitter) dazu aufgerufen, Abhängigkeiten zu polyfill.io umgehend zu entfernen. Seinerzeit gab es Diskussionen in einem Issue des zugehörigen GitHub-Projekts, der inzwischen gelöscht wurde, aber noch auf der Wayback-Machine web.archive.org einsehbar ist.

Cloudflare und Fastly reagierten prompt auf die Übernahme. Cloudflare warnte Ende Februar in seinem Firmen-Blog vor Risiken für die Software Supply Chain und richtete einen alternativen CDN-Endpunkt ein. Auch Fastly bot Alternativen für Nutzer von Polyfill.io an. Diese Maßnahmen zielten darauf ab, die Sicherheit und Integrität der Software-Supply-Chain zu gewährleisten.

Schadcode-Analyse und Verbreitung

Der Schadcode, der über cdn.polyfill.io verteilt wird, ist besonders heimtückisch. Er wird nur unter bestimmten Bedingungen aktiviert, um einer schnellen Entdeckung zu entgehen. Laut dem Blog des JavaScript-Security-Anbieters c/side ist der Schadcode in den HTTP-Headern versteckt und wird nur auf bestimmten mobilen Geräten aktiv. Der Code ist nicht nur verschleiert, sondern setzt auch auf verzögerte Ausführung und andere Techniken, um unentdeckt zu bleiben.

Der Security-Scanner-Anbieter Sansec hat ebenfalls vor der Polyfill-Supply-Chain-Attacke gewarnt. Laut Sansec blockt Google bereits Google-Ads von Websites, die Polyfill.io einbinden. Der Beitrag von Sansec zeigt auch Teile des Schadcodes, der eine Fake-Google-Analytics-Domäne verwendet und mobile Nutzer auf eine Website für Sportwetten umleitet.

Maßnahmen und Empfehlungen

Wer Abhängigkeiten zur Domain polyfill.io in seiner Webanwendung hat, muss diese umgehend entfernen. Das Open-Source-Projekt selbst ist nicht betroffen, sondern nur die Site Polyfill.io. Alternativen zum CDN von Polyfill.io stehen bereits seit Februar zur Verfügung. Sowohl Fastly als auch Cloudflare bieten entsprechende Lösungen an, die genutzt werden sollten, um die Integrität der eigenen Website zu gewährleisten.

Es ist wichtig, dass Webentwickler und Site-Betreiber regelmäßig ihre Abhängigkeiten überprüfen und sicherstellen, dass sie nur vertrauenswürdige Quellen verwenden. Die aktuelle Situation zeigt einmal mehr, wie wichtig es ist, wachsam zu bleiben und auf aktuelle Bedrohungen schnell zu reagieren.

Haben Sie Erfahrungen mit der Nutzung von Polyfill.io gemacht? Wie gehen Sie mit der aktuellen Bedrohung um? Teilen Sie Ihre Gedanken und Erfahrungen in den Kommentaren unten!

polyfill chain supply delivery schadcode verteilt

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Barrierefreie Website 2026: WCAG 2.2 richtig umsetzen Fast jede Website hat Barrieren, und die meisten davon gehen auf nur s...

• WordPress gehackt 2026: Website retten und bereinigen Weiterleitungen auf Spam-Seiten, fremde Admin-Konten, Warnungen von Go...

• Strukturierte Daten 2026: mit Schema zu Rich Snippets Sterne, Preise und Bilder direkt im Google-Ergebnis bringen mehr Klick...

• Impressum und Datenschutz 2026: rechtssichere Website Ein fehlerhaftes Impressum oder eine lückenhafte Datenschutzerklärung ...

• WordPress schneller machen 2026: Caching und Tuning WordPress erzeugt jede Seite bei jedem Aufruf neu, das kostet Tempo un...

• Bilder fürs Web optimieren 2026: schneller mit AVIF Bilder sind auf den meisten Seiten der größte Bremsklotz für die Ladez...

• WordPress absichern 2026: Schutz vor Hackerangriffen WordPress ist das beliebteste Ziel automatisierter Angriffe, neue Lück...

• Website umziehen 2026: ohne Ausfall und Ranking-Verlust Ein Hosting-Wechsel kann die Seite tagelang lahmlegen oder das Google-...

• E-Mail-Zustellbarkeit 2026: Raus aus dem Spam-Ordner Bestellbestätigungen, Newsletter und Kontaktmails landen plötzlich im ...

• Website-Backups 2026: Die Strategie gegen Datenverlust Ein Hack, ein fehlgeschlagenes Update, ein Serverausfall, und die Seit...