In PHP seit Version 5 gibt es anscheinend kritische Sicherheitslücken, welche die Ausführung beliebigen Schadcodes übers Netz ermöglichen.

Meldung bei Heise:

…hört sich richtig übel an…

Die IT meines Arbeitgebers hat kurz vor 16 Uhr präventiv alle Webserver mit PHP ausgeschaltet. Darunter sind Typo3, Nextcloud, Zeiterfassungstool. Ein normales Arbeiten ist nicht möglich, warten wir mal auf die Updates 💪

die Updates sind unterdessen veröffentlicht worden

ollerich

Die Patches für php 8.2 aufwärts sind verfügbar.
Admins haben vermutlich unruhige Stunden vor sich.
Für ältere Versionen gibts nur einige empfohlene Einstellungen.
Die sind teilweise schon lange aus dem support..
Updaten ist angesagt..

Die Hetzner Nextcloud (Storage Share) ist bereits seit über einer Stunde offline. Laut Mail von Hetzner sollten die Wartungsarbeiten nur wenige Minuten dauern.

Nur eine Frage in die Runde, weil weder bei meiner Bank noch bei Mastercard gerade Infos verfügbar sind (wobei die, falls betroffen, andere Sorgen haben):

Hat vielleicht jemand gerade versucht mit Debitkarte online zu bezahlen und/oder im App Store zu bezahlen?

Bei mir ging grad beides nicht. Beim App Store wurde meine Karte abgelehnt und bei einer Online Seite ist scheinbar die Sicherheitsprüfung zur 2-Faktoren Authentifizierung abgebrochen worden.

Da mir das noch nie passiert ist vermute ich einen Zusammenhang mit dem php-Chaos.

Vielleicht hat ja jemand gerade zufällig die gleichen Erfahrungen gemacht.

Hab grad mal geschaut, IONOS hat in meinem Webspace Paket bereits den Patch eingespielt.

Mittwald hat alle Kundenseiten vom Netz genommen.

Was ist davon zu halten, wenn das BSI schreibtBedeutet das man muss nicht nur die PHP Version auf dem Server patschen, es braucht auch Updates dieser Programme?

Ja, man muss alle diese Programme aktualisieren. Das liegt daran, dass diese Apps in der Regel mit Containern (docker-images) installiert werden und diese Container ihre eigenen PHP-Versionen mitbringen.

Dann bin ich mal gespannt, von WordPress hab ich noch kein Update gesehen.

all-inkl.com hat ihre ganze Website offline, aber meine beiden Webseiten laufen. Wenn ich dort PHP nutzen würde, könnte ich es jetzt nicht aktualisieren.
Die Hetzner Nextcloud war zuletzt meines Wissens zwei Versionen hinterher, also v33 statt v35. Womöglich müssen die gleich auf die neueste Version aktualisieren. Bin gespannt, was ich erhalte, wenn der Service wieder läuft.

konnektor
Meines erbärmlichen Wissens ist PHP eine Interpretersprache. Da muß überhaupt nichts an den Programmen gepatcht werden weil die quasi im Sourcecode vorliegen und zur Laufzeit übersetzt werden Docker, Container und Ähnliches sind eine besondere Form der „Installation“ und da muss dann kontrolliert werden, wo die ihr PHP herbekommen.

Ich habe nachgeschaut: von Wordpress gib es neue Docker Images, welche die gepatchte PHP-Version enthalten.

Leider leider gibts bei PHP oftmals eine Menge Änderungen, die nicht mit älterem Code kompatibel sind. Hier ist exemplarisch eine kurze Übersicht zu PHP 7.4 8.2:

Hetzner hat 15:45 schon alles gepatcht und ich habe alles überprüft .. keine Hacks gefunden

Okay.
Bei mir war die Storage-Share-Instanz bis kurz vor Mitternacht weg. Ein Job auf meinem Server fragt die Freigabe alle fünf Minuten per rclone ab, das Protokoll (per journalctl) liest sich so (Ortszeit):

23:28:40 connection refused, Port zu
23:31:26 HTTP-Antwort, „Site under maintenance – Storage Share – Hetzner Online GmbH“
23:37:21 dieselbe Wartungsseite
23:43:11 Abfrage wieder durchgelaufen

Der Webserver war also ab etwa 23:30 wieder da, Nextcloud selbst ab 23:43. Vorher, ab 15:56, waren Port 80 und 443 geschlossen.

Das ist die Krux. Und auf 8.2 zu gehen macht nicht mehr viel Sinn. Ende diesen Jahres wird da auch der Stecker gezogen?
Es bleibt nur dauernd den Code zu warten und fleissig updates einzuspielen. Das überfordert viele Hobby Admins und für Firmen dürfte das ein ziemlicher Kostenfaktor sein.