PSA: PHP schließt zwei kritische Sicherheitslücken, Serveradmins sollten jetzt aktualisieren

Was passiert ist

PHP hat Notfall-Sicherheitsupdates veröffentlicht, die zwei kritische Schwachstellen schließen. Diese könnten es Angreifern ermöglichen, ohne Authentifizierung aus der Ferne Code auszuführen. Da PHP nahezu 70 % aller Websites betreibt, ist die potenzielle Auswirkung enorm.

Besonders gefährdet sind Apache-Installationen, und Sicherheitsbehörden drängen auf sofortige Updates. PHP ist eine quelloffene, universelle Skriptsprache für die serverseitige Programmierung, die ursprünglich für die Webentwicklung entworfen wurde, um dynamische Webseiten zu erzeugen.

Es gehört zu den ersten serverseitigen Skriptsprachen, die direkt in ein HTML-Quelldokument eingebettet werden konnten, statt eine externe Datei zur Datenverarbeitung aufzurufen. Der Code wird vom Webserver mit einem PHP-Prozessormodul interpretiert, das die daraus resultierende Webseite erzeugt.

Inzwischen bietet PHP auch eine Kommandozeilenschnittstelle und kann in eigenständigen grafischen Anwendungen eingesetzt werden. Wer neu bei PHP ist und einen Eindruck davon gewinnen möchte, wie es funktioniert, kann das einführende Tutorial ausprobieren.

PHP 8.5.12 schließt zwei kritische Schwachstellen, die eine unauthentifizierte Remote-Code-Ausführung (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) ermöglichen können. Alle PHP-Anwender werden dringend aufgefordert, sofort zu aktualisieren. Betroffen sind alle PHP-Installationen, die Webanfragen beantworten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.