// HEISE ONLINE — CYBERSECURITY
Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen
Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Am 21. Oktober um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) veröffentlicht das PHP-Projekt eine Aktualisierung für die freie Webskriptsprache, die zwei kritische Sicherheitslücken behebt. Das geht aus einer Ankündigung auf der PHP-Projektseite hervor. Admins sollten direkt nach Erscheinen der Pakete reagieren; die Sicherheitslücken ermöglichen die Ausführung beliebigen Schadcodes übers Netz.
Verschiedene Organisationen, darunter das CERT-EU, warnen ihre Abonnenten vor den Lücken und mahnen, zügig Updates zu installieren. Technische Details sparen sie jedoch noch aus. heise security liegen diese Details vor, wir werden sie um 16 Uhr veröffentlichen.
Ein kursierender Proof-of-Concept-Exploit lässt sich in einer Laborumgebung nicht nachstellen und ist ohnehin nur auf ein Server-API, nämlich das von LiteSpeed („lsphp8“) ausgelegt. Die heute Nachmittag erscheinenden Details zu den Sicherheitslücken sind jedoch in jeder PHP-Version seit PHP5 enthalten. Auch die angebliche Schutzmaßnahme, session.upload_progress.enabled = 0, ist nach unserem Kenntnisstand unwirksam.
Es bleibt, auf die hoffentlich bald erscheinenden Aktualisierungen für die PHP-Pakete der Linux-Distributionen zu warten und diese zügig einzuspielen. Funktionierende Exploits dürften in Stunden-, spätestens Tagesfrist erscheinen. Wer das Risiko einer Kompromittierung nicht eingehen will, hat nur noch eine Option: PHP-betriebene Webserver vom Netz zu trennen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.