Artikel @ Allround IT-Solutions: https://www.aitsolutions.at/news/kritische-php-sicherheitsluecken-bedrohen-weltweit-webserver

Weltweit alle Webserver welche die Programmiersprache PHP einsetzen betroffen.
Einige Unternehmen hatten heute bereits präventiv alle auf PHP basierenden Anwendungen gestoppt.
Server Administratoren sollten noch heute ihre Webserver aktualisiert und die nun mittlerweile verfügbaren Patches eingespielt werden.
Das Gefahrenpotenzial dieser Lücken ist als sehr hoch einzustufen –  Cyberkriminelle könnten die Schwachstelle ausnutzen, um aus der Ferne eigenen Schadcode auf den betroffenen Servern auszuführen und dabei Webseiten oder sogar Webserver zu übernehmen. Kleine Entwarnung, es müssten dem Hacker jedoch einige Informationen aufliegen.

Alle PHP Version betroffen von 5 bis 8 !
Beachtet dass alte PHP Versionen welche bereits EOL (End of Life) sind, zumindest keine offiziellen Fixes mehr bekommen werden.
Prüft eure Webseiten und Scripte auf Kompatibilität zu PHP 8.x. und updatet diese um mindestens PHP 8.2. auszuführen.
Schaltet nicht nötige PHP Dienste temporär ab wenn möglich.

Unsere Webserver wurden heute auf neuesten Stand gebracht und PHP Patches eingespielt.
Diese liegen für PHP 8.2 / 8.3 / 8.4 / 8.5 auf.

Info-Mail an Kunden ging heute raus !

Ob PHP 7.4. dass seit 2022 bereits veraltet und nicht mehr Supportet wird, noch einen Fix bekommt, ist derzeit unklar.
Zu Empfehlen wäre dennoch sobald wie möglich alle Systeme zu aktualisieren.

Auch unabhängig von diesen nun publizierten Sicherheitslücken, wird es nicht lange dauern bis die nächsten entdeckt werden.
Zudem gibt es bereits generell ansteigende versuchte Attacken und suchen nach Lücken auf Webservern.

*Update 22.10.26*

Security Fixes für PHP 7.4. und PHP 8.1. werden wohl doch zur Verfügung stehen.
Diese werden nun kompiliert und auch in unsere Systeme eingespielt.
Webseiten und Anwendungen welche noch auf PHP 7.4. liefen und nun aus Sicherheit deaktiviert waren, könnten bis auf weiteres zurückgestellt werden können.
Somit stehen diese Versionen danach wieder im Control Panel zur Auswahl.
Dennoch die Empfehlung: Bringen Sie ihre Software-Applikationen auf PHP 8.2.x oder besser 8.4.x lauffähig, denn PHP 7.4. ist schon einige Jahre Out of Date.

Medien Berichterstattungen:

Futurezone:
https://futurezone.at/digital-life/php2shell-luecke-openai-google-70-prozent-des-internets/403199916

Golem:
https://www.golem.de/news/noch-kein-patch-verfuegbar-kritische-php-luecken-gefaehrden-unzaehlige-webserver-2610-214332.html

Heise:
https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html