Was passiert ist
Am 20. Oktober hat das Sicherheitsteam von PHP ein dringendes Update angekündigt, nachdem Informationen über zwei Lücken im Netz aufgetaucht waren. Die Korrekturen sind am 21. Oktober am späten Nachmittag Schweizer Zeit erschienen. Über die beiden Lücken (CVE-2026-109618 und CVE-2026-109619, bewertet mit 9,2 von 10) lässt sich auf einem Webserver mit PHP Code ausführen, ohne sich anzumelden. Die ersten Angriffe wurden noch am selben Tag gemeldet.
PHP betreibt einen sehr grossen Teil des Webs, WordPress eingeschlossen. Deshalb haben die Medien so ausführlich darüber berichtet, und es ist normal, sich zu fragen, ob die Werkzeuge im eigenen Unterricht betroffen sind.
Warum Kwiiz nicht betroffen ist
Kwiiz ist nicht in PHP geschrieben. Unser Server läuft mit Node.js, und PHP ist auf unseren Maschinen nirgends installiert: Das haben wir gleich nach der Ankündigung geprüft. Diese beiden Lücken können also weder Kwiiz noch deine Kwiiz, deine Klassen oder die Ergebnisse deiner SuS treffen.
Das Update, das uns betraf, noch am selben Abend installiert
Am selben 21. Oktober hat Node.js ein eigenes Sicherheitsupdate veröffentlicht. Es schliesst unter anderem eine schwere Lücke in der Brotli-Dekompression, die im ganzen Web verwendet wird (CVE-2026-111497). Diese betraf uns.
Wir haben es noch am selben Abend installiert, nachdem die letzte Klasse fertig war.
Während des Eingriffs war Kwiiz gut anderthalb Minuten lang nicht erreichbar, gegen 19.20 Uhr. Keine Klasse hat gerade gespielt. Eine Hausaufgabe, die genau in diesem Moment abgegeben wurde, musste erneut gesendet werden: Sie ist wenige Minuten später angekommen, nichts ging verloren. Wir haben unser Vorgehen überarbeitet, damit das nächste Update dieser Art ohne Unterbruch abläuft.
Warum wir dir das schreiben. Eine Sicherheitswarnung beunruhigt, auch wenn sie uns gar nicht betrifft. Statt dich mit der Frage allein zu lassen, sagen wir dir lieber, was wir geprüft und was wir getan haben, mit allen Einzelheiten.
Warum du Kwiiz vertrauen kannst
- Updates, die wir verfolgen. Wir lesen die Sicherheitsmeldungen der Werkzeuge, auf denen Kwiiz aufbaut, und installieren Korrekturen rasch, ausserhalb der Unterrichtszeiten.
- Regelmässige Prüfungen. Wir lesen den Code von Kwiiz mehrmals im Jahr unter dem Blickwinkel der Sicherheit (zuletzt im August und im Oktober 2026). Jeder gefundene Punkt wird behoben oder eingeplant.
- SuS ohne Konto. Deine SuS treten mit einem Code und ihrem Vornamen bei. Sie haben bei uns weder eine E-Mail-Adresse noch ein Passwort: Da gibt es nichts dergleichen zu stehlen.
- Passwörter nie im Klartext. Die Passwörter der Lehrpersonen und Eltern werden unumkehrbar umgewandelt, bevor sie gespeichert werden. Zahlungen laufen über Stripe: Wir sehen nie eine Kartennummer.
- Eine abgesicherte Verwaltung. Die Konten des Teams, das Kwiiz verwaltet, verlangen eine Bestätigung in zwei Schritten.
- Daten in der Schweiz. Kwiiz und die Daten deiner SuS sind in Genf bei Infomaniak gehostet, mit dem Label swiss made software + swiss hosting. Die Sicherungen sind verschlüsselt, jede Nacht, und die Datenbank wird zusätzlich jede Stunde gesichert.
- Tests vor jeder Veröffentlichung. Jede Änderung durchläuft eine Reihe automatischer Tests, bevor sie bei dir ankommt, und ein Update des Servers wartet, bis keine Klasse spielt.
Eine Frage?
Wenn deine Schulleitung oder deine Informatik mehr wissen möchte, schreib uns an support@kwiiz.ch. Unser Datenschutz-Merkblatt für Schulen fasst zusammen, was eine Schule in der Regel wissen will: Hosting, Auftragsverarbeiter, Aufbewahrungsdauer, Auftragsverarbeitungsvertrag.