PHP-Lücke PHP2Shell: Ist eure Website betroffen?

Am 21. Oktober hat das PHP-Projekt Notfall-Updates veröffentlicht. Das BSI hat am selben Tag gewarnt: Zwei kritische Lücken, bekannt als PHP2Shell, erlauben es Angreifern, Code auf dem Server auszuführen. Ohne Anmeldung und ohne dass jemand etwas anklickt.

Fast jede Website läuft auf PHP. WordPress, Shopware, TYPO3, Laravel und viele selbst gebaute Seiten gehören dazu.

In zehn Minuten prüft ihr, ob eure Seite betroffen ist. Was danach zu tun ist, steht weiter unten.

Was ist passiert?

Die PHP-Entwickler haben zwei Schwachstellen offengelegt und noch am selben Tag korrigierte Versionen veröffentlicht. Das BSI hielt einen großflächigen Angriffsversuch binnen Stunden für wahrscheinlich, weil sich aus den Korrekturen schnell Angriffe ableiten lassen. Nach Angaben des BSI-Vizepräsidenten gab es Angriffsversuche im zweistelligen Millionenbereich.

Kurz: Wer PHP nicht aktualisiert hat, ist angreifbar.

Wer ist betroffen?

Jede Website und Anwendung auf PHP, auch Webmail, Admin-Oberflächen und Geräte mit PHP-Weboberfläche. Versionen vor PHP 8.2 gelten als ausgelaufen und bekommen keine offiziellen Updates mehr. Das BSI rät außerdem, die Weboberfläche des Routers nicht ins Internet zu stellen.

Was müsst ihr jetzt tun?

1. PHP-Version herausfinden. Im Hosting-Panel steht sie meist unter "PHP-Einstellungen", auf dem Server hilft php -v.
2. Mit den Versionen vergleichen, die php.net als unterstützt führt. Alles darunter ist veraltet.
3. PHP aktualisieren oder beim Hoster schriftlich nachfragen, ob und wann das geschehen ist.
4. Den PHP-Dienst neu starten, sonst läuft die alte Version weiter, und die neue Version prüfen.
5. Läuft eure Version nicht mehr unter Support, braucht ihr einen Umzug auf eine unterstützte Version. Manche Anbieter liefern zurückportierte Korrekturen, das müsst ihr dort erfragen.

Wie sicher ist eure Website insgesamt? Webseitencheck starten

Woran erkennt ihr einen Einbruch?

Ein Update schließt die Lücke, räumt aber nichts auf, was vorher passiert ist. Sucht nach Dateien, die ihr nicht kennt, vor allem im Webverzeichnis und in Upload-Ordnern. Prüft Änderungsdaten von PHP-Dateien und die Zugriffsprotokolle seit dem 21. Oktober auf auffällige Anfragen.

Bei einem Verdacht gehört die Seite vom Netz, bis ein Fachmann sie geprüft hat. Danach ändert ihr alle Passwörter und Schlüssel, die auf dem Server liegen.

Fazit

Angreifer suchen automatisiert nach verwundbaren Seiten, ob ein Betrieb bekannt ist oder nicht. Wer seine Website bei einem Anbieter hostet, fragt schriftlich nach. Wer sie selbst betreibt, braucht jemanden, der die Version im Blick behält.

Wenn eure Website ohnehin erneuert werden soll, findet ihr unser Vorgehen bei Unternehmenswebsites.

Passend dazu: Webseitencheck: 5 Fehler, die Kunden kosten.

FAQ

Reicht es, WordPress oder meinen Shop zu aktualisieren?

Nein. Die Lücken liegen in PHP selbst, nicht in der Anwendung. Das BSI betont, dass die Laufzeit aktualisiert werden muss.

Mein Hoster macht das doch automatisch?

Möglich, aber nicht sicher. Fragt schriftlich nach, welche Version läuft und wann der Neustart stattgefunden hat.