Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen
Zwei kritische Schwachstellen in PHP können Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Sicherheitsupdates sind jetzt verfügbar. Das Bundesamt für Cybersicherheit (BACS) empfiehlt, betroffene Systeme unverzüglich zu aktualisieren. Prüfen Sie neben Webservern auch Anwendungen und Geräte, die PHP als integrierte Komponente verwenden.
Auch eingebettete und interne PHP-Installationen prüfen
Die Prüfung darf sich nicht auf öffentlich erreichbare Webseiten beschränken. PHP kann auch Bestandteil von Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern oder Appliances sein. Dabei ist den Betreibern nicht immer bekannt, dass das Produkt im Hintergrund PHP verwendet.
Klären Sie mit Ihren Softwarelieferanten und Dienstleistern, welche Produkte betroffen sind und welche Updates benötigt werden. Priorisieren Sie Systeme, die aus dem Internet erreichbar sind, und Anwendungen mit Zugriff auf besonders schützenswerte Daten oder kritische Geschäftsprozesse. Prüfen Sie anschliessend auch interne Systeme.
Sicherheitsupdates sind verfügbar
Die Schwachstellen werden mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben. Installieren Sie die korrigierte Version für die jeweils eingesetzte Versionslinie oder ein entsprechendes Sicherheitsupdate Ihres Betriebssystem- oder Produktanbieters.
Bei Linux-Distributionen können Sicherheitskorrekturen in bestehende Paketversionen zurückübertragen werden. Eine unveränderte PHP-Hauptversion bedeutet deshalb nicht automatisch, dass der Patch fehlt. Entscheidend sind die genaue Paketversion und die Sicherheitsinformationen des jeweiligen Anbieters.
Ältere PHP-Versionen benötigen ebenfalls eine Lösung. Prüfen Sie, ob Ihr Anbieter Sicherheitskorrekturen bereitstellt, oder wechseln Sie auf eine unterstützte Version.
Die Schwachstellen
Empfehlungen
- Betroffene Systeme erfassen
Ermitteln Sie PHP-Installationen, eingesetzte Versionen, Erreichbarkeit und zuständige Betreiber. Berücksichtigen Sie integrierte Komponenten und extern betriebene Anwendungen. - Updates unverzüglich installieren
Spielen Sie die verfügbaren Sicherheitsupdates ein. Lassen Sie sich bei Hosting-Angeboten und Herstellerprodukten die Behebung bestätigen. - Laufende Dienste aktualisieren
Starten Sie nach dem Update die betroffenen PHP-Dienste und dauerhaft laufenden PHP-Prozesse neu. Container müssen gegebenenfalls neu gebaut und bereitgestellt werden. - Behebung überprüfen
Kontrollieren Sie, ob die tatsächlich laufenden Anwendungen die korrigierte PHP-Version oder ein vom Anbieter als behoben ausgewiesenes Paket verwenden. - Systeme auf Auffälligkeiten prüfen
Untersuchen Sie Protokolle und betroffene Systeme auf ungewöhnliche Anfragen, Abstürze, veränderte Dateien und unerwartete Prozesse. Ein Update beseitigt keine bereits erfolgte Kompromittierung.
Wenn ein sofortiges Update nicht möglich ist
Beschränken Sie den Zugriff auf die betroffenen Anwendungen möglichst auf die tatsächlich benötigten Personen und Systeme. Prüfen Sie insbesondere bei kritischen Anwendungen, ob eine vorübergehende Trennung vom Internet oder eine Ausserbetriebnahme erforderlich ist.
Die Hersteller-Advisories beschreiben zusätzliche Übergangsmassnahmen. Dazu gehören das Deaktivieren der PHP-Upload-Fortschrittsanzeige und, sofern betrieblich möglich, das Blockieren von Multipart-Anfragen am Webserver oder vorgeschalteten Proxy. Solche Änderungen können Uploads und Formulare beeinträchtigen und müssen zur jeweiligen Umgebung passen.
Diese Massnahmen reduzieren nur einzelne Angriffswege. Sie bieten keinen vollständigen Schutz und ersetzen die Sicherheitsupdates nicht. Auch eine Web Application Firewall allein genügt nicht.
Weitere Informationen
Das BACS aktualisiert seine technischen Informationen auf dem Cyber Security Hub (CSH). Für die Umsetzung sind die aktuellen Sicherheitsinformationen der PHP-Entwickler sowie der jeweiligen Betriebssystem-, Hosting- und Produktanbieter massgebend.