Kritische Schwachstellen in PHP: So reagierst du jetzt

• Betreiber müssen PHP jetzt aktualisieren, sonst können Angreifer ohne Anmeldung Schadcode ausführen.
• Das Bundesamt für Cybersicherheit (Bacs) warnt vor zwei kritischen Schwachstellen und empfiehlt sofortige Updates.
• Die Prüfung soll auch Verwaltungsoberflächen, Fachanwendungen, Hosting-Plattformen und Container umfassen.

Zwei kritische Schwachstellen in PHP können Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Sicherheitsupdates sind jetzt verfügbar. Das Bundesamt für Cybersicherheit (Bacs) empfiehlt, betroffene Systeme unverzüglich zu aktualisieren.

«Die Prüfung darf sich nicht auf öffentlich erreichbare Webseiten beschränken», heisst es dazu in einer Mitteilung. «PHP kann auch Bestandteil von Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern oder Appliances sein. Dabei ist den Betreibern nicht immer bekannt, dass das Produkt im Hintergrund PHP verwendet.»

So verhältst du dich richtig

Diese Massnahmen reduzieren gemäss dem Bacs nur einzelne Angriffswege. Sie bieten keinen vollständigen Schutz und ersetzen die Sicherheitsupdates nicht. Auch eine Web Application Firewall allein genügt nicht.

• Ermittle PHP-Installationen, eingesetzte Versionen, Erreichbarkeit und zuständige Betreiber. Berücksichtige integrierte Komponenten und extern betriebene Anwendungen.
• Die Schwachstellen werden mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Installiere die korrigierte Version für die jeweils eingesetzte Versionslinie oder ein entsprechendes Sicherheitsupdate deines Betriebssystem- oder Produktanbieters.
• Kläre mit deinen Softwarelieferanten und Dienstleistern, welche Produkte betroffen sind und welche Updates benötigt werden.
• Priorisiere Systeme, die aus dem Internet erreichbar sind, und Anwendungen mit Zugriff auf besonders schützenswerte Daten oder kritische Geschäftsprozesse.
• Prüfe anschliessend auch interne Systeme.
• Starte nach dem Update die betroffenen PHP-Dienste und dauerhaft laufenden PHP-Prozesse neu. Container müssen gegebenenfalls neu gebaut und bereitgestellt werden.
• Kontrollieren Sie, ob die tatsächlich laufenden Anwendungen die korrigierte PHP-Version oder ein vom Anbieter als behoben ausgewiesenes Paket verwenden. 
• Untersuchen Sie Protokolle und betroffene Systeme auf ungewöhnliche Anfragen, Abstürze, veränderte Dateien und unerwartete Prozesse. Ein Update beseitigt keine bereits erfolgte Kompromittierung.
• Ältere PHP-Versionen benötigen ebenfalls eine Lösung. Prüfen Sie, ob Ihr Anbieter Sicherheitskorrekturen bereitstellt, oder wechseln Sie auf eine unterstützte Version.
• Bei Linux-Distributionen können Sicherheitskorrekturen in bestehende Paketversionen zurückübertragen werden. «Eine unveränderte PHP-Hauptversion bedeutet deshalb nicht automatisch, dass der Patch fehlt. Entscheidend sind die genaue Paketversion und die Sicherheitsinformationen des jeweiligen Anbieters», schreibt der Bund.

Wenn ein sofortiges Update nicht möglich ist

Beschränke den Zugriff auf die betroffenen Anwendungen möglichst auf die tatsächlich benötigten Personen und Systeme. Prüfe insbesondere bei kritischen Anwendungen, ob eine vorübergehende Trennung vom Internet oder eine Ausserbetriebnahme erforderlich ist.

Die Hersteller-Advisories beschreiben zusätzliche Übergangsmassnahmen. Dazu gehören das Deaktivieren der PHP-Upload-Fortschrittsanzeige und, sofern betrieblich möglich, das Blockieren von Multipart-Anfragen am Webserver oder vorgeschalteten Proxy. Solche Änderungen können Uploads und Formulare beeinträchtigen und müssen zur jeweiligen Umgebung passen.

Bist du oder ist jemand, den du kennst, von Cybercrime betroffen?

Hier findest du Hilfe:

Meldestellen:

Aufklärung:

Justin Arber (jar), Jahrgang 1999, arbeitet seit 2022 als Redaktor am Newsdesk. Zeitweise übernimmt er da die Schichtleitung im Früh- und Spätdienst.