PHP2Shell: Millionen Server nutzen PHP-Versionen ohne offiziellen Fix

Die Sicherheitsupdates für PHP2Shell decken lediglich die PHP-Versionen 8.2 bis 8.5 ab. Damit bleibt ein großer Teil der öffentlich erreichbaren PHP-Server auf älteren Versionen, für die kein offizielles Update veröffentlicht wurde. Eine am 20. Oktober von Mallory veröffentlichte Shodan-Auswertung ergibt, dass rund 884.000 öffentlich erreichbare Server eine nicht mehr unterstützte PHP-Version verwenden. Das entspricht 59 % der etwa 1,5 Millionen Server, deren PHP-Version erkennbar ist.

Wie groß ist die Sicherheitslücke?

Bei diesen Zahlen handelt es sich um Server, deren Versionsinformationen öffentlich sichtbar sind, und nicht um nachweislich verwundbare Websites. Weitere rund 740.000 Server geben ihre PHP-Version nicht preis. Laut der Auswertung von CybelAngel entfallen etwa 369.000 Server auf PHP 5.x, 329.000 auf PHP 7.x und 186.000 auf PHP 8.0 und 8.1. Demgegenüber stehen rund 612.000 Server mit PHP 8.2 bis 8.5. Für diese Versionen sind inzwischen Sicherheitsupdates verfügbar, zum Zeitpunkt der Erhebung waren sie allerdings noch nicht gepatcht. Da beim Shared Hosting häufig mehrere Websites über dieselbe IP-Adresse betrieben werden, kann die tatsächliche Zahl betroffener Websites abweichen. Palo Alto Networks zählte unabhängig davon mehr als 22,6 Millionen potenziell gefährdete Instanzen.

Welche Maßnahmen PHP für ältere Versionen ergriffen hat

Für PHP-Versionen, deren Support bereits ausgelaufen ist, wurden keine neuen regulären Versionsupdates veröffentlicht. Allerdings hat PHP minimale Quellcode-Backports für die Versionen 7.4, 8.0 und 8.1 bereitgestellt. Diese richten sich an Administratoren, die PHP selbst kompilieren. Für PHP 5.6 sowie 7.3 und ältere Versionen wurde hingegen nichts veröffentlicht. Der Support für PHP 8.1 endete am 31. Dezember 2025, für PHP 8.0 bereits im November 2023 und für PHP 7.4 im November 2022.

Warum die Versionsnummer täuschen kann

Linux-Distributionen können Sicherheitskorrekturen bereitstellen, ohne die ursprüngliche PHP-Versionsnummer zu ändern. Unter Ubuntu 22.04 wird das PHP-8.1-Paket beispielsweise über den regulären Sicherheitskanal gepatcht, während PHP 7.4 unter Ubuntu 20.04 dafür Ubuntu Pro benötigt. Ein Server mit einer scheinbar veralteten PHP-Version kann daher bereits geschützt sein. Umgekehrt muss ein Server mit der ursprünglichen PHP-Version 8.1.34 nicht zwangsläufig sicher sein. Administratoren sollten deshalb die Änderungsprotokolle der jeweiligen Anbieter auf beide CVE-Kennungen überprüfen.

Was Administratoren jetzt tun sollten

Die US-Cybersicherheitsbehörde CISA empfiehlt Unternehmen, die ihre Systeme nicht aktualisieren können oder weiterhin PHP 8.1 beziehungsweise ältere, nicht mehr unterstützte Versionen einsetzen, ihre PHP-basierten Systeme vom Netz zu nehmen, bis diese gepatcht oder aktualisiert wurden. Die dauerhafte Lösung ist der Wechsel auf eine unterstützte PHP-Version. Dabei bieten sich insbesondere PHP 8.4 oder 8.5 an, da der Sicherheitssupport für PHP 8.2 bereits am 31. Dezember 2026 endet. Madelein van der Hout von Forrester warnt zudem davor, sich bei der Überprüfung ausschließlich auf die eigene Hauptwebsite zu konzentrieren. Auch Zulieferer und angebundene Anwendungen müssten berücksichtigt werden. Außerdem weist sie darauf hin, dass das Einspielen eines Sicherheitsupdates Angreifer, die sich bereits Zugang zu einem System verschafft haben, nicht automatisch entfernt.