Zwei kritische Sicherheitslücken in der Programmiersprache PHP könnten Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Entsprechende Updates sind bereits verfügbar und sollten dringend installiert werden.
Betroffen sein können nicht nur öffentlich zugängliche Webseiten, sondern auch interne Anwendungen, Verwaltungsoberflächen und Hosting-Plattformen. Oft ist Betreibern gar nicht bekannt, dass ihre Systeme PHP verwenden.
"Heute" auf Google als bevorzugte Quelle festlegen
Diese Updates schließen die Lücken
Die Schwachstellen wurden mit den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Betreiber sollten ihre Installationen überprüfen und die entsprechenden Aktualisierungen durchführen.
Vorrang haben Systeme, die über das Internet erreichbar sind oder sensible Daten verarbeiten. Anschließend sollten auch interne Anwendungen kontrolliert werden. Nach den Updates müssen betroffene Dienste neu gestartet werden.
Zudem sollten Betreiber auf ungewöhnliche Anfragen, Abstürze oder veränderte Dateien achten. Denn eine Aktualisierung beseitigt keine bereits erfolgten Angriffe.
Das tun, wenn kein Update möglich ist
Können Systeme nicht sofort aktualisiert werden, sollte der Zugriff eingeschränkt werden. Bei kritischen Anwendungen kann auch eine vorübergehende Trennung vom Internet oder Abschaltung notwendig sein.
Zusätzliche Schutzmaßnahmen können einzelne Angriffswege verhindern, bieten aber keine vollständige Sicherheit. Auch eine Web Application Firewall allein reicht nicht aus.
Bei älteren PHP-Versionen sollten Betreiber verfügbare Sicherheitskorrekturen prüfen oder auf eine unterstützte Version wechseln. Bei Linux-Systemen können Updates auch in ältere Softwarepakete integriert sein.
