Weaviate spielt nach eMudhra-Zertifikatsleck Patches für die gesamte Umgebung binnen 17 Stunden ein
Weaviate hat nach eigenen Angaben seine gesamte Kundenumgebung und Infrastrukturplattform in weniger als 17 Stunden gepatcht, um das Risiko durch acht geleakte Zertifikate der Zertifizierungsstelle eMudhra zu verringern. Enterprise-Kunden seien laut Unternehmen innerhalb von sechs Stunden versorgt worden.
- Weaviate hat Kundenumgebung und Infrastruktur nach dem Leak von acht eMudhra-Zertifikaten gepatcht.
- Der gesamte Prozess dauerte laut Weaviate weniger als 17 Stunden.
- Enterprise-Kunden wurden innerhalb von sechs Stunden gepatcht.
- Die Umgebung wurde auf die Go-Version 1.27.3 umgestellt.
- Engineering-, Plattform-, Agents- und Support-Teams arbeiteten gemeinsam an der Umsetzung.
Was Weaviate getan hat
In einem Blogbeitrag beschreibt das Engineering-Team von Weaviate, dem Anbieter einer Vektordatenbank, seine Reaktion auf die Kompromittierung von eMudhra-Zertifikaten. Das Unternehmen gibt an, die gesamte Kundenumgebung und Infrastrukturplattform gepatcht zu haben, um das Risiko durch die acht geleakten Zertifikate der Zertifizierungsstelle zu mindern.
Die Lösung bestand darin, nahezu alle Teile der Umgebung auf die Go-Version 1.27.3 umzustellen. Weaviate erklärt, der gesamte Prozess von Anfang bis Ende habe weniger als 17 Stunden gedauert, Enterprise-Kunden seien innerhalb von sechs Stunden gepatcht worden.
Teamübergreifende Zusammenarbeit
Laut Weaviate ist die Geschwindigkeit der Reaktion nur ein Teil der Geschichte. Eine Task Force aus allen Engineering-Teams übernahm die Arbeit: Core-Entwickler, Console-, Plattform- und Agents-Teams, zusammen mit dem Produkt-Support. Nach Angaben des Unternehmens koordinierte die Gruppe den Rollout als ein Team.
Der Beitrag schildert die einzelnen Schritte: Das Team erstellte und prüfte Pull Requests, pushte Tags, überwachte Promotions und sah zu, wie die Tests seiner Services erfolgreich durchliefen. Weaviate betont zudem, Sicherheit und Zuverlässigkeit der Datenbank hätten höchste Priorität, und das Vertrauen der Kunden baue darauf auf.
Das Unternehmen lobte außerdem seine Ingenieure, von der Applied-Research-Abteilung bis zu den Plattform-Ingenieuren, die Rechenleistung, Sicherheit, Observability und Deployment-Infrastruktur bei drei Cloud-Anbietern verantworten.
Meldung von Sicherheitslücken und aktuelle Releases
Der Beitrag wiederholt Weaviates Verfahren zur Meldung von Schwachstellen. Wer glaubt, eine entdeckt zu haben, wird auf die Seite „Security Report“ des Unternehmens verwiesen. Weaviate sagt zu, sich beim Melder zu melden, den Eingang zu bestätigen und über die nächsten Schritte zu informieren. Forschende werden gebeten, Schwachstellen erst öffentlich zu machen, wenn sie behoben und angekündigt wurden, es sei denn, das Weaviate-Sicherheitsteam hat dies erlaubt.
Der Beitrag verlinkt auf weitere aktuelle Sicherheitshinweise. Am 15. Oktober 2026 veröffentlichte Weaviate eine Release Note zu einem Fix mit mittlerem Schweregrad für eine Offenlegung von Vektoren über Collections hinweg im nearObject-Operator, die CVE-Nummer steht noch aus. Am 1. Oktober 2026 folgte ein Hinweis zu einem Fix mit hohem Schweregrad für die Offenlegung von Zugangsdaten in den Google-Modulen. Beide sind in Weaviate v1.39.3 als behoben aufgeführt.
Was das für Kunden bedeutet
Zu der Frage, wie die Zertifikate geleakt wurden oder ob sie ausgenutzt wurden, macht die Quelle keine Angaben. Belegt ist der von Weaviate genannte Zeitplan: ein Patch der gesamten Umgebung in unter 17 Stunden und die Absicherung der Enterprise-Kunden innerhalb von sechs. Für Weaviate-Nutzer lautet die praktische Botschaft, dass das Unternehmen seine Umgebung nach eigenen Angaben bereits auf Go 1.27.3 aktualisiert hat. Der Beitrag fordert Kunden daher nicht zu weiteren Maßnahmen auf.
Weaviate: How Weaviate responded to the eMudhra certificate compromise
