Nach dem grossen Release von Version 1.5 im Juni stand das dritte Quartal 2026 ganz im Zeichen von Stabilität und Sicherheit. Sechs Releases, mehrere Sicherheits-Korrekturen, neue Alpine-Docker-Images und weiter steigende Zahlen bei der Verbreitung: Wir geben Ihnen heute einen umfassenden Überblick über alles, was zwischen Juli und September 2026 rund um mosparo und die mosparo Association passiert ist.

Sechs Releases im dritten Quartal

Zwischen dem 11. Juli und dem 28. September 2026 haben wir die Versionen 1.5.4 bis 1.5.9 veröffentlicht. Der Überblick:

  • v1.5.4 (11. Juli): Bugfix im Update-Prozess und angepasste Logging-Konfiguration
  • v1.5.5 (5. August): Sicherheits-Release zur API-Authentifizierung
  • v1.5.6 (17. September): Wartungs-Release mit aktualisierten Abhängigkeiten und neuen Khmer-Übersetzungen
  • v1.5.7 (24. September): Sicherheits-Release mit zwei behobenen Schwachstellen
  • v1.5.8 (28. September): Sicherheits-Release mit mehreren Sicherheits- und Logikkorrekturen sowie neuen Alpine-Docker-Images
  • v1.5.9 (28. September): Bugfix-Release zu v1.5.8

Sicherheit: Was korrigiert wurde

Drei der sechs Releases waren Sicherheits-Releases. Uns ist wichtig, dass Sie transparent erfahren, was passiert ist und was es für Ihre Installation bedeutet.

v1.5.5: Timing-Angriff bei der API-Authentifizierung

Die Backend-API-Endpunkte (Verifizierung von Einsendungen, Statistiken, Regelpakete) verglichen die Hashes mit einem einfachen String-Vergleich. Theoretisch hätte sich der private API-Schlüssel damit über Zeitmessungen erraten lassen. Das Risiko war überschaubar: Ein Angreifer hätte tausende Anfragen und günstige Netzwerkbedingungen benötigt. Wir haben auf die dafür vorgesehene PHP-Funktion hash_equals umgestellt. Gemeldet wurde das Problem von senti-man über die GitHub Security Advisories.

v1.5.7: API-Debug-Modus und Rechteausweitung

Zwei Schwachstellen, gemeldet von 5afagy:

  • Bei aktiviertem API-Debug-Modus konnten die ausgegebenen Informationen für eine gültige API-Autorisierung missbraucht werden. Der Debug-Modus maskiert sensible Werte jetzt, zeigt einen zusätzlichen Warnhinweis und markiert betroffene Projekte in der Projektliste mit einem Ausrufezeichen.
  • Projektmitglieder mit der Rolle «Reader» konnten Einsende- und Feldregeln ansehen und verändern. Die Berechtigungen wurden angepasst.

Zusätzlich wird nun die Formular-Signatur im Verifizierungsprozess geprüft. Wichtig: In beiden Fällen konnten keine Formular- oder Benutzerdaten abgefragt werden.

v1.5.8: Interne Überprüfung und weitere Korrekturen

Nach v1.5.7 haben wir intern nochmals gründlich geprüft und weitere Probleme gefunden und behoben. Dazu gehören fehlende Routen im Berechtigungssystem (zum Beispiel bei den erweiterten Projekteinstellungen, Übersetzungen, Projektmitgliedern und Projektgruppen), eine ungeschützte Setup-Route, die strengere Prüfung der Schlüssel beim Web-Cron-Job sowie Anpassungen beim Import und beim Wechsel des Design-Modus. Ausserdem wurde ein Logikfehler im stillen Modus behoben, der die Ergebnisse von Honeypot und Proof-of-Work ungültig machte.

Die meisten dieser Korrekturen betreffen nur Installationen mit Projektmitgliedern in den Rollen “Bearbeiter” oder “Leser” oder mit aktiviertem Web-Cron-Job. Wer nicht sofort updaten kann, kann als Zwischenlösung den Zugriff auf /setup/* sperren sowie die Projektmitglieder mit der Rolle “Leser” entfernen.

Was sich in Version 1.6 ändert

Für die Zukunft haben wir bessere Lösungen gefunden: Das Berechtigungssystem wird auf «deny by default» umgestellt, sodass neue Funktionen für Leser standardmässig gesperrt sind. Der API-Debug-Modus wird entfernt und durch einen API-Antwortverlauf in der Administration ersetzt.

Unsere klare Empfehlung: Aktualisieren Sie auf die neueste Version. Mit updates.mosparo.io/v/stable.txt können Sie die aktuelle Versionsnummer übrigens auch automatisiert überwachen.

Neu: Alpine-basierte Docker-Images

Mit v1.5.8 stehen neue Docker-Images auf Basis von Alpine zur Verfügung. Sie haben einen deutlich kleineren Fussabdruck, was kleinere Downloads und weniger potenzielle Sicherheitsprobleme bedeutet. Wenn Sie mosparo mit Docker betreiben, empfehlen wir den künftigen Einsatz der Alpine-Images. Der Wechsel sollte problemlos möglich sein.

Ein grosses Dankeschön geht an uluzox, der die Anpassungen als Pull Request beigesteuert hat. Wir freuen uns über eine solch aktive Mitarbeit.

Kurz nach Quartalsende: v1.5.10, v1.5.11 und v1.5.12

Am 4. Oktober 2026 ist bereits Version 1.5.10, am 10. Oktober 1.5.11 und am 19. Oktober 1.5.12 erschienen. Sie bringen zahlreiche Bugfixes, unter anderem bei der Berechnung von Sperrzeiten, im Proof-of-Work, bei der Zählung von Spam-Einsendungen im stillen Modus sowie bei Feldregeln, und verbessern die Docker-Images zusätzlich. Auch das Hardening wurde erweitert: Projektmitglieder können nicht mehr mehrfach zum selben Projekt hinzugefügt werden, und das eigene Benutzerkonto lässt sich nicht mehr löschen. Weiter wurden die Import- und Export-Kommandos korrigiert, die noch nicht auf die Version 1.5 aktualisiert wurden, sowie weitere Optimierungen über alle Bereiche von mosparo durchgeführt. Version 1.5.12 korrigiert ein Problem, welches mit 1.5.10 eingeführt wurde und das Erstellen von Benutzern verhindert hat.

Nach den Updates muss mosparo vorbereitete Werte und Hashes neu berechnen. Öffnen Sie dazu nach den Updates die Weboberfläche und warten Sie, bis der Vorgang abgeschlossen ist.

Dank an die Community

Viele Verbesserungen dieses Quartals gehen auf Hinweise aus der Community zurück: Danke an alle, die Fehler gemeldet haben, unter anderem zum Update-Prozess (#432), zum Logging (#435) und zur Formularvalidierung (#450), sowie an alle, die Übersetzungen beisteuern. Besonders danken wir den verantwortungsvollen Meldungen von Sicherheitsproblemen über die dafür vorgesehenen Kanäle.

Die Erkennungsrate: Ehrlich statt Marketing

Im August haben wir den Artikel «The detection rate» veröffentlicht. Die Kernaussage: Keine Spam-Schutz-Methode erreicht über längere Zeit 100 Prozent. mosparo startet bewusst bei 0 Prozent, weil noch keine Regeln existieren. Sobald Sie die erste nicht erkannte Spam-Einsendung sehen, legen Sie eine Regel an, zum Beispiel für ein Schlüsselwort, eine IP-Adresse oder eine AS-Nummer. Diese Spam-Quelle kommt dann nicht mehr durch.

Wie gut das in der Praxis funktioniert, zeigt ein Beispielprojekt aus der Community: In einem Monat wurden 8’312 Spam-Einsendungen und 71 gültige Einsendungen verarbeitet. Mit nur drei Regeln (AS-Nummern, IP-Adressen und der neuen Einsende-Regel für Zufallswerte) lag die Erkennungsrate nach wenigen Tagen über 95 Prozent. Der Aufwand für die Regelpflege liegt typischerweise bei rund 15 Minuten, einmal täglich oder wöchentlich, und das ganz ohne Rätsel, Tracking oder unnötige Datensammlung.

Mit Version 1.6 wird das noch einfacher: Werte lassen sich künftig bequemer zu Feldregeln hinzufügen, und neue Feldregeln können direkt aus der Einsendungs-Detailansicht erstellt werden.

Verbreitung und Einsatz in Zahlen (mit der nötigen Vorsicht)

Wie bereits in den vorherigen Berichten betont, sind die folgenden Zahlen mit Vorsicht zu geniessen. Sie stammen aus einer externen, öffentlichen Auswertung und verändern sich laufend.

Zum Stichtag 7. Oktober 2026 zeigt sich folgendes Bild (in Klammern der Stand aus dem Q2-Bericht):

  • 955’578 Webseiten enthalten das Wort «mosparo» (Q2: 876’518)
  • 628’357 Webseiten weisen eine tatsächliche mosparo-Integration auf (Q2: 396’563)
  • 3’042 Domains enthalten das Wort «mosparo» (Q2: 2’447)
  • 2’313 Domains (inklusive Subdomains) setzen mosparo aktiv ein (Q2: 1’839)

Besonders erfreulich: Die Zahl der Domains mit aktiver Integration ist innerhalb eines Quartals um rund ein Viertel gestiegen. 

Ausblick auf Version 1.6

Die Planung für die nächste grössere Version läuft. Für Version 1.6 sind unter anderem vorgesehen:

  • Anhebung der Mindest-PHP-Version von 8.1.10 auf 8.2.0
  • Upgrade auf Symfony 7.4 sowie Aktualisierung aller Backend- und Frontend-Abhängigkeiten
  • Neue Anmeldemethoden: OpenID Connect (OIDC) und Passkeys, als Teil eines Ausbaus der Authentifizierung
  • Kombinierte Regeln: Mehrere Regeln lassen sich zu einer einzigen, individuell gewichteten Regel zusammenfassen
  • Einfachere Regelpflege: Werte schneller zu Feldregeln hinzufügen und Feldregeln direkt aus der Einsendungsansicht erstellen
  • Neues Berechtigungssystem nach dem Prinzip «deny by default» und ein API-Antwortverlauf anstelle des API-Debug-Modus
  • Möglicherweise weitere Funktionen, die im Laufe der Entwicklung dazukommen

Alle geplanten Punkte können Sie auf GitHub im Meilenstein v1.6 mitverfolgen. Wir halten Sie über den weiteren Fortschritt selbstverständlich auf dem Laufenden.

Community und Verein

Wir arbeiten nach wie vor daran, die Bekanntheit von mosparo und damit der mosparo Association zu steigern.

Möchten Sie die Entwicklung von mosparo unterstützen? Werden Sie Mitglied der mosparo Association oder unterstützen Sie das Projekt mit einer Spende.

Fazit

Das dritte Quartal 2026 war ein Quartal der Sorgfalt: Drei Sicherheits-Releases, zahlreiche behobene Fehler, neue Alpine-Docker-Images und ein ehrlicher Blick auf die Erkennungsrate. Gleichzeitig wächst die Verbreitung von mosparo weiter, mit über 2’300 Domains mit aktiver Integration. Mit Version 1.6 steht bereits die nächste grosse Etappe an.

Haben Sie eine Erfolgsgeschichte mit mosparo oder Ideen, wie wir es verbessern können? Schreiben Sie uns unter contact@mosparo-association.org oder teilen Sie Ihr Feedback in den GitHub Discussions.