PHP-Panik!

Wegen PHP2Shell weiß seit gestern die ganze Welt, was PHP ist. Auch meine kleine Website hier benötigt diese wundersame Skriptsprache, da ich ProcessWire als CMS verwende. Viel tun konnte ich gestern aber nicht, denn es lag in den Händen meines Hosters All-Inkl, die aktuelle PHP-Version auf dem Server zu installieren.

• BSI warnt vor kritischen Schwachstellen
• Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP
• Updates trudeln ein, viele Webseiten offline, Angriffe laufen
• PHPocalypse – Security im Zeitalter von KI

Zwischendurch sah es düster aus, denn die Website von All-Inkl selbst war offline, ebenso die technische Verwaltung «KAS», die Kunden nutzen können, aber gestern nicht nutzen konnten. Die Websites der Kunden blieben offenbar online, ebenso war ein Zugriff via SFTP jederzeit möglich (siehe Reddit).

Die Kommunikation des Hosters empfand ich jedoch als mittelmäßig, weil es zunächst keine Info-Mail gab, sondern irgendwann nur einen Hinweis bei Instagram. Vielleicht lag es daran, dass die Mitarbeiter fleißig den Patch einspielten¹. Heute Morgen schaute ich sogleich nach und stellte erleichtert fest, dass jetzt PHP 8.5.12 auf dem Server läuft. Top!

1. In einer E-Mail an die Kunden schrieb All-Inkl am 24. Oktober: «Innerhalb von etwa acht Stunden konnten wir die notwendigen Sicherheitsupdates auf unserer Hosting-Infrastruktur verteilen.»