Kurz erklärt
PHP ist eine Software, auf der im Hintergrund die meisten Webseiten laufen, darunter viele WordPress-Seiten und Online-Shops. In dieser Software gibt es zwei schwere Sicherheitslücken. Über sie könnten Fremde per Internet Programme auf dem Server einer Webseite starten. Heute Nachmittag soll die Korrektur erscheinen.
Für Sie heißt das: Die Korrektur wird auf dem Server eingespielt, nicht in der Webseite selbst. Wenn ein Hoster Ihren Server betreibt, kümmert sich in der Regel dieser darum. Fragen Sie dort nach, ob und wann das Update kommt.
Das PHP-Projekt will heute, am 21. Oktober, um 16:00 Uhr MESZ ein Update veröffentlichen, das zwei kritische Sicherheitslücken schließt. Über die Lücken lässt sich nach Angaben von heise online Schadcode aus der Ferne ausführen („Remote Code Execution“). Ein Angreifer könnte also Programme auf einem Server starten, ohne dort angemeldet zu sein. Da PHP auf einem Großteil aller Webseiten läuft, betrifft das auch viele Kunden von Hostern und Agenturen.
Stand dieses Beitrags ist der Vormittag des 21. Oktober. Die Lage kann sich nach der Veröffentlichung der Updates schnell ändern.
Was bisher bekannt ist
Technische Details sind öffentlich noch nicht bekannt. Mehrere Organisationen, darunter CERT-EU, warnen vor den Lücken und raten zu zügigen Updates. Die heise-Redaktion kennt die Details nach eigener Aussage bereits, veröffentlicht sie aber erst nach 16 Uhr.
Die Fehler sollen laut heise in jeder PHP-Version seit PHP 5 stecken. Welche Versionen die Korrekturen enthalten werden, steht in dem Bericht nicht. Auch Kennungen (CVE-Nummern) oder ein offizieller Schweregrad liegen noch nicht vor.
Exploit im Umlauf, Schutzmaßnahme wirkungslos
Im Netz kursiert ein Proof-of-Concept-Exploit. heise konnte ihn in einer Laborumgebung nicht nachstellen. Er ist nur für die Server-API „lsphp8“ von LiteSpeed gedacht. Das ist kein Grund zur Entwarnung: heise rechnet damit, dass funktionierende Exploits innerhalb von Stunden bis spätestens einem Tag nach der Veröffentlichung der Details auftauchen.
Die Einstellung session.upload_progress.enabled = 0, die als Notbehelf genannt wurde, schützt nach heise-Kenntnisstand nicht vor den Lücken.
Was das für Ihre Webseite bedeutet
WordPress, WooCommerce, TYPO3, Joomla und viele andere Systeme laufen auf PHP. Die Lücken liegen aber nicht in diesen Systemen, sondern in PHP selbst. Ein Plugin- oder Theme-Update hilft deshalb nicht. Das Update muss auf dem Server eingespielt werden.
- Bei Shared Hosting und Managed Hosting spielt in der Regel der Anbieter das Update ein. Fragen Sie nach, ob und wann das geschieht, und lassen Sie sich die PHP-Version bestätigen.
- Wer einen eigenen Server betreibt, sollte die PHP-Pakete der Linux-Distribution aktualisieren, sobald sie bereitstehen. Das empfiehlt auch heise.
- heise nennt als einzige Alternative, PHP-betriebene Webserver bis dahin vom Netz zu trennen. Für eine Firmenwebseite oder einen Shop ist das meist keine praktikable Lösung, für selten genutzte Testsysteme schon.
Nach dem Update lohnt sich ein kurzer Test der Seite: Formulare, Login und Bestellvorgang sollten wie gewohnt funktionieren.
Mein Vorgehen bei betreuten Projekten
Bei Projekten, die ich betreue, beobachte ich die Veröffentlichung am Nachmittag und prüfe, wann die Hosting-Partner die korrigierten PHP-Versionen bereitstellen. Danach teste ich die Seiten und melde mich, falls Handlungsbedarf besteht. Haben Sie Fragen zu Ihrer Seite oder zu Ihrem Hosting? Schreiben Sie mir direkt.
Quelle: heise online, Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen
