Protocol Labs verlängert die Finanzierung des Teams nicht, das Kubo, Helia und die öffentlichen IPFS-Gateways pflegt. Am 30. September 2026 endet diese Arbeit. Knapp drei Wochen vorher greift in der EU die erste Meldepflicht des Cyber Resilience Act.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die IPFS-Wartung bei Interplanetary Shipyard endet am 30. September 2026. In den Release-Notes zu Kubo 0.43.0 steht der Satz inzwischen im Klartext: Nach diesem Datum pflegt bei Shipyard niemand mehr Kubo.[2] Shipyard beziffert die Reichweite seiner kostenlosen IPFS-Werkzeuge auf über 75 Millionen aktive Nutzer im Monat.
Das Wichtigste in Kürze
- Protocol Labs verlängert die Finanzierung von Interplanetary Shipyard nicht; die IPFS-Arbeit endet am 30. September 2026.
- Neun Projekte stehen danach ohne Zuständige da, darunter die Referenzimplementierungen Kubo und Helia.
- Auch die öffentlichen Adressen ipfs.io und dweb.link sowie die Bootstrap-Knoten schaltet Shipyard ab.
- Ab dem 11. September 2026 verlangt der Cyber Resilience Act erste Meldungen zu ausgenutzten Schwachstellen.
Was fällt zum 30. September konkret weg?
Kein fester Betreuer. Die Liste reicht von den Referenzimplementierungen Kubo und Helia über die Bibliothek Boxo bis zur Browser-Erweiterung IPFS Companion. Neue Funktionen, Fehlerkorrekturen und Releases übernimmt dort niemand mehr. Auch die Beiträge zu go-libp2p und js-libp2p enden, ebenso die Arbeit an den IPFS-Spezifikationen.[1]
Öffentliche Knoten. Shipyard schaltet die selbst betriebene Infrastruktur ab: die Gateways ipfs.io und dweb.link, den Prüfdienst check.ipfs.network, den Routing-Dienst delegated-ipfs.dev, die Bootstrap-Knoten sowie den Cluster hinter Wikipedia-on-IPFS. Über die Zukunft dieser Adressen entscheidet Protocol Labs als Eigentümer der Domains.[1]
Warum trifft das mehr als die Web3-Szene?
Konzentration. Cloudflare stellte sein eigenes öffentliches IPFS-Gateway am 14. August 2024 ein. Den Verkehr von cloudflare-ipfs.com sowie cf-ipfs.com leitete der Anbieter auf ipfs.io und dweb.link um.[3] Genau diese zwei Adressen verschwinden nun. Betroffen sind damit auch Anwendungen, deren Betreiber nie einen eigenen IPFS-Knoten aufgesetzt haben.
Offene Lücken. Kubo 0.43.0 schloss vier Schwachstellen. Bei CVE-2026-46679 abonniert ein fremder Knoten endlos neue Pubsub-Themen und trennt danach die Verbindung; der Speicherbedarf wächst mit jeder Runde.[2] Ein veröffentlichter Patch liefert Angreifern zugleich die Bauanleitung, wie zuletzt die GitLab-Lücke CVE-2026-19478 zeigte. Wie dünn die Personaldecke im Open-Source-Betrieb ausfällt, führte ein einzelner Maintainer mit 86 Prozent der C++-Beiträge bei OpenTelemetry vor.
Ein Protokoll übersteht den Rückzug seines Geldgebers, eine gepflegte Implementierung braucht dagegen jeden Monat Arbeitszeit. Betriebe, die Inhalte über ipfs.io ausliefern, haben jetzt eine Frist bis zum 30. September.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Betriebe im DACH-Raum?
Neue Rolle. Der Cyber Resilience Act führt in Artikel 24 den Verwalter quelloffener Software als eigene Kategorie ein. Betriebe, die Kubo oder Helia in ein eigenes Produkt einbauen und dieses in der EU verkaufen, gelten dagegen als Hersteller und tragen die vollen Pflichten. Die Meldepflicht für aktiv ausgenutzte Schwachstellen greift ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027.[4] Die IPFS Foundation, seit 2024 eine unabhängige Non-Profit-Organisation, fördert die Entwicklung über gezielte Zuwendungen und Kooperationen.[5]
Eigenes Gateway. Prüfen Sie zuerst, ob Ihre Anwendungen Inhalte über ipfs.io oder dweb.link auflösen. Richten Sie bis Ende September einen eigenen Knoten ein oder wechseln Sie den Anbieter. Kubo und Helia gehören danach auf dieselbe Beobachtungsliste wie jede Abhängigkeit ohne Herstellersupport; das Support-Ende bei Aristas Appliance-Software lieferte im August die Vorlage dafür, wie früh ein solches Datum in die Planung gehört. Für fremde Pakete gilt dieselbe Vorsicht wie beim Angriff auf die npm-Lieferkette rund um Keyv. Weitere Grundlagen liefern die Cybersecurity-Grundlagen für KMU.
Quellen
[1] Interplanetary Shipyard: „The end of IPFS at Shipyard“, 24. August 2026
[2] Kubo: Release v0.43.0
[3] Cloudflare: „Cloudflare’s public IPFS gateways and supporting Interplanetary Shipyard“
[4] Europäische Kommission: Cyber Resilience Act, Verordnung (EU) 2024/2847
[5] IPFS Foundation: „About“
Mehr Newshunger?
- OpenTelemetry: Ein Maintainer übernimmt 86 Prozent der C++-Beiträge
- Support-Ende bei Arista: Die Patches enden zwei Jahre vor dem Gerät
- Keyv kompromittiert: Der Angriff auf die npm-Lieferkette läuft noch
- Schädliches Rust-Paket arrayref: Der Schadcode startet beim Kompilieren
- GitLab-Lücke CVE-2026-19478: Der Patch lieferte die Bauanleitung
- Dependabot wartet jetzt drei Tage: GitHubs neue Standard-Wartezeit
