Am 21. Oktober um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) veröffentlicht das PHP-Projekt eine Aktualisierung für die freie Webskriptsprache, die zwei kritische Sicherheitslücken behebt. Das geht aus einer Ankündigung auf der PHP-Projektseite hervor. Admins sollten direkt nach Erscheinen der Pakete reagieren; die Sicherheitslücken ermöglichen die Ausführung beliebigen Schadcodes übers Netz.

Verschiedene Organisationen, darunter das CERT-EU, warnen ihre Abonnenten vor den Lücken und mahnen, zügig Updates zu installieren. Technische Details sparen sie jedoch noch aus. heise security liegen diese Details vor, wir werden sie um 16 Uhr veröffentlichen.

Ein kursierender Proof-of-Concept-Exploit lässt sich in einer Laborumgebung nicht nachstellen und ist ohnehin nur auf ein Server-API, nämlich das von LiteSpeed („lsphp8“) ausgelegt. Die heute Nachmittag erscheinenden Details zu den Sicherheitslücken sind jedoch in jeder PHP-Version seit PHP5 enthalten. Auch die angebliche Schutzmaßnahme, session.upload_progress.enabled = 0, ist nach unserem Kenntnisstand unwirksam.

Es bleibt, auf die hoffentlich bald erscheinenden Aktualisierungen für die PHP-Pakete der Linux-Distributionen zu warten und diese zügig einzuspielen. Funktionierende Exploits dürften in Stunden-, spätestens Tagesfrist erscheinen. Wer das Risiko einer Kompromittierung nicht eingehen will, hat nur noch eine Option: PHP-betriebene Webserver vom Netz zu trennen.

(cku)