Blog / PHP2Shell am Tag danach: Updates verfügbar, Angriffsversuche laufen.

PHP2Shell am Tag danach: Updates verfügbar, Angriffsversuche laufen.

#Shopware#PHP#Sicherheit 4 Min. Lesezeit

Sicherheitsupdates stehen bereit, Angriffsversuche sind dokumentiert. Was seit der PHP-Warnung vom 21. Oktober bekannt geworden ist und was nach dem Patch noch geprüft werden muss.

Abstrakte Nahaufnahme leuchtender Glasfasern und unscharfer Lichtpunkte. — Bild: Kashish Lamba / Unsplash · Actualize-Farbgebung

Seit der gestrigen Warnung vor den kritischen PHP-Sicherheitslücken hat sich die Lage weiterentwickelt. Korrigierte Pakete stehen inzwischen auch über wichtige Linux-Distributionen bereit. Gleichzeitig berichten Sicherheitsanbieter von Angriffsversuchen. Amazon hat sogar verdächtige Aktivitäten gefunden, die vier Tage vor der öffentlichen Bekanntgabe lagen.

Für Shopbetreiber verschiebt sich damit der Schwerpunkt: Neben dem Einspielen der Updates geht es jetzt darum, deren Wirksamkeit zu bestätigen und die Zeit vor der Aktualisierung zu prüfen. Die technischen Hintergründe stehen in unserem Beitrag zu den PHP2Shell-Sicherheitslücken.

Die Updates kommen auf den Systemen an.

Das PHP-Projekt hat die beiden Schwachstellen mit den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 geschlossen. Inzwischen liegen auch korrigierte Pakete für verschiedene Distributionen vor, darunter unterstützte Ubuntu-Versionen und die Debian-Zweige Bookworm und Trixie. PHP-Sicherheitsmeldung, Ubuntu-Sicherheitshinweis, Debian-Sicherheitstracker.

Ein verfügbares Paket muss auf dem jeweiligen Server installiert und von den laufenden Diensten tatsächlich verwendet werden. Auch eine scheinbar ältere Versionsnummer kann bereits einen Sicherheitsfix enthalten: Ubuntu liefert beispielsweise korrigierte Pakete auf Basis von PHP 8.3.6 aus. Maßgeblich ist dann die vollständige Paketversion aus dem Sicherheitshinweis.

Timme Hosting, wo viele unserer betreuten Shops liegen, meldete am Mittwochabend auch die Korrektur älterer PHP-Versionen bis hinunter zu 5.6 und die Aufhebung der eigenen Schutzsperren, aus unserer Sicht ein konsequentes und sicherheitsbewusstes Vorgehen. Selbst eingerichtete Wartungsmodi oder Firewall-Regeln ließ der Anbieter bestehen. Timme-Statusmeldungen.

Angriffsversuche sind inzwischen dokumentiert.

Cloudflare berichtet von Angriffen auf seine Kunden und beobachtete, wie Angreifer ihre Anfragen veränderten, um Schutzregeln zu umgehen. Der Anbieter hat zusätzliche Filter bereitgestellt, fordert aber weiterhin zum PHP-Update auf. Eine vorgeschaltete Web Application Firewall bleibt eine ergänzende Schutzschicht. Cloudflare zur Angriffsaktivität.

Besonders relevant ist eine neue Auswertung von Amazon Threat Intelligence: Im eigenen Ködersystem MadPot fand das Team einen PHP2Shell zugeordneten Angriffsversuch vom 17. Oktober. Weitere Versuche folgten am Veröffentlichungstag, zum Teil bereits vor der Freigabe der Updates. Amazon schreibt ausdrücklich, dass noch untersucht werde, ob diese Versuche auf realen Systemen erfolgreich gewesen wären. Amazon Threat Intelligence.

Die öffentliche Warnung vom 21. Oktober ist deshalb kein ausreichender Startpunkt für eine rückblickende Untersuchung.

Angriffsversuch und erfolgreicher Einbruch sind unterschiedliche Befunde.

Eine präparierte Anfrage, ein Treffer auf eine Schutzregel oder ein Angriff auf ein Ködersystem belegen noch keine erfolgreiche Übernahme eines produktiven Shops.

Huntress meldete für seine betreuten Kundensysteme mit Stand vom 21. Oktober, 22:30 Uhr deutscher Zeit, keine beobachtete Ausnutzung. Diese Aussage gilt für den damaligen Beobachtungszeitraum und die vom Anbieter überwachten Systeme. Sie lässt sich nicht auf sämtliche Websites übertragen. Huntress-Lagebericht.

Es gibt konkrete Gründe, die Systeme zu prüfen. Aus den Angriffsmeldungen allein lässt sich weder ein Einbruch in den eigenen Shop noch dessen Unversehrtheit ableiten.

Was nach dem Update noch geprüft werden muss.

Entscheidend ist die PHP-Installation, die die Webanfragen verarbeitet. Eine aktualisierte Kommandozeilenversion allein reicht als Nachweis nicht aus. Nach dem Paketupdate müssen die betroffenen Dienste und Worker mit der korrigierten Software laufen. Ubuntu-Hinweise zur Aktualisierung.

Amazon empfiehlt, Untersuchungen mindestens ab dem 17. Oktober anzusetzen. Dazu gehören Webserver- und PHP-Protokolle sowie Hinweise auf unerwartete Prozessstarts oder Dateiänderungen. Auffälligkeiten müssen durch die technische Betreuung eingeordnet werden. Amazon: empfohlene Nachkontrolle.

Vorübergehende Sperren sollten erst nach bestätigter Absicherung zurückgenommen werden. Anschließend empfehlen wir einen Funktionstest der wichtigen Abläufe: Anmeldung, Warenkorb, Checkout, Zahlungsanbindung und Schnittstellen.

Ein Sicherheitsupdate schließt die Lücke. Eine möglicherweise zuvor angelegte Hintertür oder bereits abgeflossene Daten macht es nicht rückgängig. Bei konkreten Verdachtsmomenten braucht es deshalb zusätzlich eine Untersuchung des betroffenen Systems.

Gepatchte Altversionen bleiben ein Wartungsthema.

Dass Anbieter auch ältere PHP-Versionen korrigieren, hilft beim unmittelbaren Schutz bestehender Anwendungen. PHP 8.1 und ältere Zweige werden vom PHP-Projekt jedoch nicht mehr regulär unterstützt. Eigene Anbieterpakete und verlängerte Wartungsangebote müssen gesondert betrachtet werden. PHP-Hinweise zu älteren Versionen.

Für ältere Shops sollte nach der akuten Absicherung deshalb ein verbindlicher Aktualisierungsplan folgen. Der muss berücksichtigen, welche PHP-Version die Shopsoftware und ihre Erweiterungen unterstützen und wer den Wechsel vorbereitet, testet und umsetzt.