heise-Angebot: Nach PHP2Shell: Vom Notfall-Patch zum sicheren Upgrade

Für viele PHP-Entwickler und Webmaster bedeutet die Sicherheitslücke PHP2Shell mehr als ein schnelles Update. Behoben ist sie nur in den unterstützten Versionszweigen ab PHP 8.2. Backports von Linux-Distributionen und Drittanbietern verschaffen Nutzern älterer PHP-Version zwar Zeit, lösen das eigentliche Problem aber nicht – letztlich muss man seinen Code auf einen unterstützten Versionszweig bringen. Wie dieser Weg systematisch gelingt, zeigt Sebastian Bergmann, Erfinder und Maintainer von PHPUnit, am 6. November in dem 2,5-stündigen Webinar Vom Notfall-Patch zum Versionssprung: PHP nach PHP2Shell.

Checkliste für den Notfall-Patch

Bergmann zeigt, welche Installationen betroffen sind und was der Fix-Stand für die einzelnen Versionszweige bedeutet. Eine Checkliste behandelt die typischen Fallen beim Notfall-Patch: Versionsnummern, die sich nach einem Backport nicht ändern; Worker-Prozesse und Container-Images, die weiterhin alten Code ausführen; Mitigationen, die fälschlich für einen Fix gehalten werden. Auch die Frage, wie man nach dem Patch Hinweise auf eine Kompromittierung prüft, ist Thema.

Ein sicherer Upgrade-Pfad

Der Schwerpunkt des Webinars liegt auf dem Upgrade von PHP-Code auf eine aktuelle PHP-Version. Breaking Changes und Deprecations lassen sich mit statischer Analyse gegen die Zielversion, automatisierten Refactorings, Logging und PHPUnit systematisch aufspüren. Für Code ohne Tests stellt Bergmann Charakterisierungstests als Sicherheitsnetz vor. Eine CI-Matrix mit aktueller und Zielversion sichert den Umstieg ab.

Oft bestimmen allerdings Abhängigkeiten den Upgrade-Pfad stärker als der eigene Code. Das Webinar behandelt deshalb auch Frameworks und CMS, die Plattform-Konfiguration und Lock-Datei von Composer, verwaiste Pakete sowie PECL-Extensions und Loader für verschlüsselten Code. In einer Live-Demo zeigt Bergmann, wie man Legacy-Code mit den vorgestellten Werkzeugen sicher auf die Zielversion hebt. Zudem gibt es Raum für die Fragen der Teilnehmenden.

Das 2,5-stündige Live-Webinar richtet sich an alle, die PHP-Anwendungen entwickeln, warten, betreiben oder für ihre Sicherheit verantwortlich sind. Es findet am 6. November von 9:30 bis 12:00 statt. Detaillierte Informationen und Anmeldungen:

• iX-Webinar Vom Notfall-Patch zum Versionssprung: PHP nach PHP2Shell.