Seit Dienstag patchen Hoster weltweit ihre Server. Zwei Lücken in PHP, zusammengefasst unter dem Namen “php2shell”, erlauben es, ohne Anmeldung fremden Code auf einem Webserver auszuführen. PHP läuft auf einem Großteil aller Websites und selbst das BSI warnt mit Stufe Orange.
Die meisten Hoster haben schnell reagiert und ihre Systeme aktualisiert. Wer eine aktuelle PHP-Version nutzt, war oft binnen Stunden geschützt, ohne selbst etwas tun zu müssen. Für PHP 7.4, 8.0 und 8.1 gibt es dagegen keine fertigen Updates mehr. Diese Versionen sind abgekündigt, manche schon seit Jahren. Wer immer Boch darauf setzt, hat kein Update-Problem, sondern ein strukturelles: Die Seite ist nicht mehr reparierbar.
Nur, diese Seiten waren nicht erst seit Dienstag unsicher. Sie waren es auch vorher schon. Üblicherweise wird das als Risiko des Betreibers verhandelt. Seine Webseite, seine Entscheidung, sein Schaden. Nur stimmt das leider nicht. Auf der Seite liegen möglicherweise Adressen, Bestellungen und Passwörter. Und nicht selten verschickt ein übernommener Server Spam, hostet Schadcode oder greift andere an.
Der Schaden kann alle betreffen und geht deshalb auch alle an. Das ist der Grund, warum wir es zum Beispiel bei Gebäuden anders halten: Brandschutz ist keine Geschmacksfrage des Eigentümers, weil Feuer nicht an der Grundstücksgrenze halt macht. Und einzelne Hoster sperren bereits Seiten, die noch auf veralteten PHP-Versionen laufen.
Vielleicht ist jetzt genau der richtige Zeitpunkt, um über ein umfassendes Konzept für veraltete, unbetreute und unsichere Webseiten zu sprechen. Denn die Angriffe werden in Zukunft nicht seltener und die Zahl der Seiten, die niemand mehr betreut, wächst mit jedem Jahr.
“php2shell” ist in ein paar Wochen wieder vergessen. Die Seiten auf PHP 7.4 laufen weiter.