Eine der schwersten Sicherheitslücken seit Jahren bahnt sich an !
Weltweit alle Webserver welche die Webtechnologie bzw. Programmiersprache PHP einsetzen betroffen.
Einige Institutionen hatten oder haben heute bereits präventiv alle darauf basierenden Anwendungen gestoppt.
Alle Webserver sollten noch heute Aktualisiert und die nun mittlerweile verfügbaren Patches eingespielt werden.
Das Gefahrenpotenzial dieser Lücken sei extrem hoch: Cyberkriminelle könnten die Schwachstelle ausnutzen, um aus der Ferne eigenen Schadcode auf den betroffenen Servern auszuführen und dabei Webseiten oder sogar Webserver zu übernehmen.
Alle PHP Version betroffen von 5 bis 8 !
Beachtet dass alte PHP Versionen welche bereits EOL (End of Life) sind, höchstwahrscheinlich keine Fixes bekommen werden.
Prüft eure Webseiten und Scripte auf Kompatibilität zu PHP 8.x. und updatet diese um mindestens PHP 8.2. auszuführen.
Schaltet nicht nötige PHP Dienste temporär ab wenn möglich.
Unsere Webserver wurden heute auf neuesten Stand gebracht und PHP Patches eingespielt.
Diese liegen für PHP 8.2 / 8.3 / 8.4 / 8.5 auf.
Info-Mail an Kunden ging heute raus !
Ob PHP 7.4. dass seit 2022 bereits veraltet und nicht mehr Supportet wird, noch einen Fix bekommt, ist derzeit unklar.
Zu Empfehlen wäre dennoch sobald wie möglich alle Systeme zu aktualisieren.
Auch unabhängig von diesen nun publizierten Sicherheitslücken, wird es nicht lange dauern bis die nächsten entdeckt werden.
Zudem gibt es bereits generell ansteigende versuchte Attacken und suchen nach Lücken auf Webservern.
*Update 22.10.26*
Security Fixes für PHP 7.4. und PHP 8.1. werden wohl doch zur Verfügung stehen.
Diese werden nun kompiliert und auch in unsere Systeme eingespielt.
Das heißt, dass Webseiten und Anwendungen welche noch auf PHP 7.4. liefen und nun aus Sicherheit deaktiviert sind, wieder bis auf weiteres zurückgestellt werden können.
Somit stehen diese Versionen danach wieder im Control Panel zur Auswahl.
Dennoch lautet die Empfehlung, bringen Sie ihre Software-Applikationen auf mind. PHP 8.2 lauffähig, denn PHP 7.4. ist schon einige Jahre Out of Date.
Medien Berichterstattungen:
Futurezone:
https://futurezone.at/digital-life/php2shell-luecke-openai-google-70-prozent-des-internets/403199916
ORF:
https://orf.at/stories/3445771/
Golem:
https://www.golem.de/news/noch-kein-patch-verfuegbar-kritische-php-luecken-gefaehrden-unzaehlige-webserver-2610-214332.html
Heise:
https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html






