PHP2Shell: Angriffe bestätigt – was Betreiber von WordPress & Co. jetzt prüfen sollten

Vor einer Woche haben wir über PHP2Shell geschrieben: zwei kritische Lücken in PHP, der Programmiersprache unter WordPress, Joomla, TYPO3 und vielen anderen Websites. Damals gab es Angriffsversuche, aber keinen Beleg, dass sie funktionieren. Das hat sich seit dem Wochenende geändert.

Was sich seit letzter Woche geändert hat

Am Wochenende hat ein Sicherheitsforscher auf eigens aufgestellten Test-Servern, sogenannten Honeypots, die ersten erfolgreichen Angriffe dokumentiert: Insgesamt 35 Mal starteten Angreifer eine sogenannte Shell, also einen Zugang, über den sie Befehle auf dem Server ausführen können. Die Server liefen mit PHP 8.4.26, einer Version direkt vor dem Sicherheitsupdate.

Am Montag hat die US-Behörde CISA beide Lücken in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen. Dort landen nur Schwachstellen, die nachweislich ausgenutzt werden, und US-Bundesbehörden müssen sie vorrangig schließen. Für Betriebe in Deutschland gilt diese Vorgabe nicht, die Gefahr ist aber dieselbe.

Gleichzeitig ist die Lage hierzulande alles andere als erledigt. Der Scan-Dienst Censys fand am Dienstagmorgen in Deutschland noch über vier Millionen Dienste, die eine verwundbare PHP-Versionsnummer melden. Die tatsächliche Zahl dürfte niedriger sein, weil manche Linux-Distributionen die Korrektur einspielen, ohne die Versionsnummer zu ändern. Aber selbst ein Bruchteil davon sind sehr viele Websites.

Betrifft das meine Website?

Was passiert, wenn Sie jetzt noch warten

Bisher hieß es: Die Lücke ist gefährlich, Angriffe werden versucht. Jetzt heißt es: Die Angriffe funktionieren, und sie laufen automatisiert. Wer einen verwundbaren Server betreibt, wird nicht gezielt ausgesucht, sondern einfach gefunden.

• Daten können abfließen. Anfragen aus dem Kontaktformular, Kundendaten, Zugangsdaten. Sind personenbezogene Daten betroffen, muss der Vorfall in der Regel innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden.
• Die Website kann verändert werden. Versteckte Spam-Links, Weiterleitungen auf fremde Seiten oder Schadcode, der Besucher angreift. Google warnt dann womöglich vor Ihrer Seite.
• Der Server kann missbraucht werden. Etwa zum Versand von Spam-Mails, mit der Folge, dass Ihre eigenen Mails im Spam-Ordner landen.

Aus einer Warnung ist ein laufender Angriff geworden. Jetzt zählt jeder Tag.

Das sollten Sie heute erledigen

1. 1

   Update beim Hoster bestätigen lassen

   Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder eine Version, in die der Hoster die Korrektur nachweislich eingespielt hat. Fragen Sie ausdrücklich, wann aktualisiert und ob der Webserver danach neu gestartet wurde.

2. 2

   Bei spätem Update: nach Spuren suchen

   Wurde erst nach dem Wochenende aktualisiert, prüfen Sie unbekannte Administrator-Konten, neue oder kürzlich geänderte PHP-Dateien, besonders im Upload-Ordner, und ungewöhnliche Weiterleitungen oder Inhalte.

3. 3

   Zugänge erneuern

   Bei jedem Verdacht: Passwörter für Website-Administration, FTP, Datenbank und Hosting ändern. Laut Sicherheitsforschern lässt sich über die Lücke auch der Arbeitsspeicher von PHP auslesen, in dem Passwörter und Zugangsschlüssel stehen können (Qualys).

4. 4

   Alte PHP-Versionen nicht aussitzen

   Läuft Ihre Website auf PHP 8.1 oder älter, ist sie auch über PHP2Shell hinaus ohne regulären Schutz. Planen Sie den Wechsel jetzt, nicht beim nächsten Vorfall.

5. 5

   Festhalten, was Sie getan haben

   Notieren Sie, wann Sie den Hoster gefragt haben, wann aktualisiert wurde und was Sie geprüft haben. Das hilft, falls später doch etwas auffällt.

Warum wir das so genau verfolgen

Die Websites, die wir bauen, laufen nicht auf PHP, deshalb betrifft PHP2Shell sie nicht. Viele Betriebe, die bei uns anfragen, haben aber genau so eine klassische Website. Wir sehen jede Woche, wie lange Lücken dort offen bleiben, weil niemand zuständig ist. Deshalb sagen wir in solchen Fällen ehrlich, ob ein Update reicht oder ob sich ein Neuaufbau lohnt.