PHP2Shell: Sicherheitslücken. Was Unternehmen prüfen sollten.

Einsatz von PHP im Unternehmen

PHP ist eine Programmiersprache, die üblicherweise auf Servern ausgeführt wird. Sie bildet die technische Grundlage von Systemen wie:

• WordPress
• Joomla
• Drupal
• Magento

Unternehmen setzen PHP daher auch ohne eigene Softwareentwicklung ein, etwa über ihre Firmenwebsite, einen Onlineshop oder ein Kundenportal.

Erstellen Sie gemeinsam mit Ihrer IT oder Webagentur eine Übersicht aller Websites und Anwendungen. Berücksichtigen Sie dabei auch ältere Onlineshops auf Subdomains und selten genutzte Verwaltungsanwendungen. Ein aktualisiertes Hauptsystem bedeutet nicht, dass auch weitere PHP-Installationen abgesichert sind.

PHP-Updates auf Serverebene

Updates von WordPress und Plugins betreffen in der Regel nur die Website-Software. PHP wird separat auf dem Server aktualisiert. Zuständig ist je nach Hostingmodell der Hostinganbieter, der betreuende IT-Dienstleister oder die interne IT.

Die Anzeige „Alle Updates installiert“ im Website-Backend bestätigt daher nicht, dass auch die PHP-Sicherheitsupdates eingespielt wurden.

Abstimmung mit Hostinganbieter und IT

Klären Sie mit Ihrem Hostinganbieter oder Ihrer IT für jede Website und Anwendung folgende Punkte:

• Welche PHP-Version ist derzeit im Einsatz?
• Wer ist für die Installation der Sicherheitsupdates verantwortlich?
• Wann werden die Updates nach ihrer Veröffentlichung eingespielt?
• Wer überprüft anschließend die PHP-Version und die Funktion der Anwendung?

Dokumentieren Sie die Antworten für jede PHP-Installation. So lässt sich nachvollziehen, wo Zuständigkeiten oder Termine noch offen sind.

Umgang mit älteren PHP-Versionen

Das PHP-Projekt stellt derzeit Sicherheitsupdates für die Versionsreihen 8.2 bis 8.5 bereit. Für ältere Versionen ist die reguläre Unterstützung durch das Projekt beendet.

Setzt Ihr Unternehmen eine ältere PHP-Version ein, klären Sie mit dem Anbieter, ob dieser eigene Sicherheitskorrekturen bereitstellt. Andernfalls ist ein Wechsel auf eine unterstützte Version erforderlich. Lassen Sie dabei die Kompatibilität und Funktion der Anwendung sowie ihrer Erweiterungen prüfen.

Vorübergehende Schutzmaßnahmen

Kann eine potenziell betroffene Anwendung nicht zeitnah aktualisiert werden, empfiehlt CERT-EU, eine vorübergehende Trennung vom öffentlichen Netz zu erwägen. Prüfen Sie gemeinsam mit Ihrer IT die möglichen Folgen eines Angriffs und geeignete Maßnahmen zur Zugriffsbeschränkung.

Für interne Anwendungen kann ein auf berechtigte Personen beschränkter Netzwerkzugang eine Übergangslösung sein. Eine Notwendigkeit zur generellen Abschaltung aller Websites lässt sich aus den bislang veröffentlichten Informationen nicht ableiten.

Datensicherung und Funktionsprüfung

Stellen Sie vor der Aktualisierung sicher, dass eine aktuelle Datensicherung vorliegt. Lassen Sie anschließend prüfen, ob die korrigierte PHP-Version aktiv ist und die Anwendung ordnungsgemäß funktioniert. Die Prüfung sollte insbesondere die Anmeldung, Formulare und bei Onlineshops den Bestellprozess umfassen.

Bei Hinweisen auf einen unbefugten Zugriff reicht die Installation der Updates allein nicht aus. Ihre IT muss zusätzlich untersuchen, ob Dateien verändert oder unberechtigte Zugänge eingerichtet wurden.

Unterstützung bei der Bestandsaufnahme

Wir erfassen gemeinsam mit Ihnen die eingesetzten Anwendungen und PHP-Versionen. Anschließend stimmen wir die Zuständigkeiten und notwendigen Schritte mit Ihrem Hostinganbieter oder Ihrer Webagentur ab.