Static Site

Heute Nachmittag, 16 Uhr: Das PHP-Projekt veröffentlicht Updates gegen zwei kritische Schwachstellen. CERT-EU warnt, ein Proof-of-Concept kursiert schon, und die übliche Uhr läuft: Stunden bis Tage, dann gibt’s die ersten Exploits in freier Wildbahn.

Normalerweise wäre das für mich ein Fall wie bei wp2shell – sofort patchen, Logs checken, nervös auf die Uhr schauen. Diesmal nicht. Und genau das ist der Punkt.

Was an den PHP-Lücken Sache ist

• Zwei Code-Einschleusungs-Schwachstellen, die Remote Code Execution ermöglichen
• Betroffen ist laut Berichten praktisch jede PHP-Version seit PHP 5 – die Fehler stecken tief im Code
• Unbestätigten Berichten zufolge zielt ein kursierender Proof-of-Concept auf LiteSpeeds lsphp8-Server-API
• Der naheliegende Workaround (session.upload_progress.enabled = 0) reduziert die Angriffsfläche höchstens, schützt aber nicht vollständig – patchen bleibt Pflicht
• CERT-EU und andere Stellen raten zu zügigem Patchen, teils sogar dazu, PHP-Server notfalls kurz offline zu nehmen, bis der Patch sitzt

Das ist kein Nischenproblem. PHP treibt nach wie vor einen riesigen Teil des Webs an – WordPress, Shopsysteme, selbstgebastelte Legacy-Anwendungen, halb das Internet eben.