PHP: Kritische Sicherheitslücken ermöglichen Code-Ausführung, Updates für alle Versionen veröffentlicht

Das PHP-Entwicklerteam schlägt Alarm und hat außerplanmäßige Sicherheitsupdates für sämtliche unterstützten Zweige herausgegeben. Wer PHP auf seinen Servern betreibt, sollte zeitnah aktiv werden: In den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 wurden zwei gravierende Sicherheitslücken gestopft, die nicht authentifizierten Angreifern das Einschleusen und Ausführen von beliebigem Schadcode (Remote Code Execution, RCE) aus der Ferne erlauben.

Betroffen sind praktisch alle gängigen Setups, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Als besonders kritisch stufen die Entwickler den Einsatz von mod_php ein. Hier existiert bereits ein funktionierender Exploit, bei dem eine unautorisierte Anfrage den Angriff auslösen kann, noch bevor überhaupt der eigentliche Anwendungscode ausgeführt wird.

Sofortiges Update dringend empfohlen

Die einzig sichere Lösung ist das direkte Einspielen der neuen Versionen. Pakete und Quelltexte für Linux und Windows stehen auf der offiziellen PHP-Downloadseite bereit. Da Linux-Distributionen und LTS-Anbieter vorab informiert wurden, dürften entsprechende Paket-Updates bereits über die jeweiligen Paketmanager eintrudeln.

Notfall-Maßnahmen bei verzögertem Update

Falls ihr das Update nicht sofort einspielen könnt, lassen sich die Angriffsvektoren über Konfigurationsanpassungen zumindest temporär eindämmen, auch wenn das keine vollwertige Absicherung ersetzt, lest euch da bitte auf der PHP-Seite ein.

Hinweis: Dieser Artikel enthält Affiliate-Links. Kauft ihr darüber ein, erhalten wir eine kleine Provision - ohne Aufpreis für euch und ohne Einfluss auf unsere redaktionelle Meinung.