Während auf der Insel die Saison langsam die Strandkörbe einklappt, klappt im Internet gerade etwas ganz anderes auf: zwei Sicherheitslücken mit Ansage. Wer eine Webseite, einen Onlineshop oder ein Buchungsportal betreibt, sollte jetzt kurz die Teetasse abstellen. Falls Hilfe gebraucht wird, kurze Mai an lenz@sylt1.tv. Wir helfen gerne und kostenlos
Es gibt Nachrichten, die klingen nach Science-Fiction und betreffen trotzdem den Ferienwohnungsvermieter in Morsum. Diese ist so eine. Unter dem klangvollen Namen „PHP2Shell“ machen gerade zwei kritische Schwachstellen in der Programmiersprache PHP die Runde. PHP ist, vereinfacht gesagt, der Maschinenraum unter einem Großteil aller Webseiten – auch unter fast jeder WordPress-Seite, und davon gibt es auf Sylt erfahrungsgemäß mehr als Parkplätze in Kampen.
Das Problem: Über die Lücken können Fremde ohne jedes Passwort eigenen Programmcode auf dem Server ausführen. Das ist ungefähr so, als würde man die Haustür nicht nur offen lassen, sondern gleich ein Schild „Bitte selbst einrichten“ dranhängen. Das Bundesamt für Sicherheit in der Informationstechnik hat Warnstufe Orange ausgerufen, die zweithöchste. Erste Angriffsversuche wurden bereits beobachtet.
Die gute Nachricht kommt, wie so oft auf der Insel, gleich hinterher: Die Reparatur ist längst da. Seit Mittwoch, 21. Oktober, gibt es die bereinigten Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Viele Hosting-Anbieter haben schon über Nacht nachgebessert.
Was Sylter Betriebe jetzt tun sollten
Eine kurze Mail an den Webhoster oder die betreuende Agentur schicken und sich schriftlich bestätigen lassen, dass das Update eingespielt ist. Wer WordPress nutzt, findet die aktuelle PHP-Version unter „Werkzeuge“ → „Website-Zustand“ → „Bericht“. Steht dort eine ältere Nummer als die oben genannten, ist Handeln angesagt – und zwar vor dem nächsten Fischbrötchen.
Ein Wartungsmodus oder ein „Wir sind gleich zurück“-Banner hilft übrigens nicht. Die Lücke interessiert sich nicht für freundliche Hinweise.
Und wer Mails von unbekannten Absendern bekommt, die beim „Absichern“ helfen wollen und dafür einen Link oder ein Passwort brauchen: lieber nicht. Der beste Ansprechpartner bleibt der eigene Hoster – der sitzt zwar meist nicht auf Sylt, kennt sich aber mit Servern aus.
Der Beitrag Sylt muss zum Update-Check: PHP-Lücke schreckt Webseiten-Betreiber auf erschien zuerst auf SYLT1.