Wenn du PHP auf einem Server betreibst, solltest du dir heute Nachmittag Zeit freihalten. Das PHP-Projekt veröffentlicht am 21. Oktober um 16:00 Uhr deutscher Zeit (14:00 Uhr UTC) ein Sicherheitsupdate, das zwei kritische Lücken schließt. Laut Ankündigung lässt sich darüber beliebiger Code aus der Ferne ausführen. Das ist die Kategorie Fehler, bei der man nicht bis zum nächsten Wartungsfenster wartet.
Warnungen ohne Details
Mehrere Stellen, darunter das CERT-EU, haben ihre Abonnenten bereits gewarnt und zu schnellem Patchen aufgerufen. Technische Einzelheiten halten sie bis zur Veröffentlichung zurück. Klar ist aber schon jetzt, dass die Schwachstellen nicht auf eine bestimmte Version beschränkt sind: Sie stecken nach bisherigem Stand in jeder PHP-Version seit PHP 5.
Im Netz kursiert bereits ein Proof of Concept. Der zielt allerdings nur auf eine bestimmte Server-API, nämlich die von LiteSpeed (lsphp8), und ließ sich in Laborumgebungen bislang nicht nachstellen. Darauf solltest du dich trotzdem nicht verlassen. Sobald die Details öffentlich sind, dürften funktionierende Exploits innerhalb von Stunden, spätestens Tagen auftauchen.
Kein Workaround, nur das Update
Eine verbreitete Empfehlung lautet, session.upload_progress.enabled = 0 zu setzen. Nach aktuellem Kenntnisstand schützt das aber nicht. Es gibt also keine Konfigurationsschraube, mit der du dich bis zum Patch absichern kannst.
Was du jetzt konkret tun kannst:
- Leg dir eine Liste aller Systeme an, auf denen PHP läuft, auch Entwicklungs- und Staging-Server.
- Behalte die Paketquellen deiner Distribution im Blick und spiel die neuen PHP-Pakete ein, sobald sie verfügbar sind.
- Vergiss Container-Images nicht. Die müssen neu gebaut und ausgerollt werden.
- Prüfe nach dem Update mit
php -v, ob wirklich die gepatchte Version läuft, und starte PHP-FPM bzw. den Webserver neu.
Wer das Risiko einer Kompromittierung bis dahin gar nicht tragen will, hat nur eine harte Option: PHP-basierte Webserver vorübergehend vom Netz nehmen. Für die meisten wird es darauf hinauslaufen, das Update am Nachmittag zügig einzuspielen und die Logs danach genauer anzuschauen.