Am 21. Oktober hat das PHP-Projekt zwei Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Beide gelten als kritisch und betreffen nach Angaben von heise online sämtliche PHP-Versionen der vergangenen 20 Jahre. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Server ausführen.
Warum das fast jede Firmenwebsite betrifft
WordPress, Joomla, TYPO3 und die meisten Shopsysteme laufen auf PHP. Ob eine Seite angreifbar ist, entscheidet deshalb die PHP-Version auf dem Server. Ein aktuelles WordPress allein schützt nicht, solange darunter eine alte PHP-Version läuft.
- 1Die Website läuft auf einer alten PHP-Version
- 2Ein Angreifer schickt automatisiert zehntausende Anfragen
- 3Fremder Code läuft auf dem Server
- 4Erst das PHP-Update schließt die Lücke
Die Angriffe laufen bereits. Cloudflare zählte laut Reuters Millionen Versuche, heise berichtet auch von erfolgreichen Einbrüchen. Mehrere Anbieter haben ihre Seiten vorübergehend abgeschaltet, bis die Updates bereitstanden.
Wer das Update einspielen muss
Abgesichert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Versionszweige stehen nicht in der Liste, wer noch damit arbeitet, braucht ein Upgrade.
| Gemieteter Webspace | Eigener Server, NAS, Container | |
|---|---|---|
| Zuständig | Ihr Hoster | Sie oder Ihr Dienstleister |
| Ihr Schritt | Update schriftlich bestätigen lassen | Update einspielen, PHP-Dienste neu starten |
| Nachweis | Antwort des Hosters | Versionsanzeige mit php -v |
Heikel sind ältere Agenturprojekte ohne Wartungsvertrag. Dort spielt oft niemand mehr Updates ein, und genau diese Seiten sind jetzt das leichteste Ziel.
- Hoster oder Dienstleister fragen, ob PHP auf eine abgesicherte Version aktualisiert ist
- Die Antwort schriftlich ablegen
- Eigene Server, NAS-Geräte und Container aktualisieren und PHP-Dienste neu starten
- Prüfen, ob auf vergessenen Geräten wie einem Raspberry Pi noch PHP läuft
Wenn Sie Hosting und Updates nicht selbst im Blick behalten wollen, übernehme ich das im Website-Abo.