Das Sicherheits-Update, dass die Sicherheitslücke bei PHP schließt, wurde gestern von meiner IT-Service-Firma spieglhof-media installiert. Die Website ist also sicher. Hier die Warnung des „Bundesamtes für Sicherheit in der Informationstechnik“
Folgende Erläuterung wird dort gegeben:
(Zitat) PHP ist einer der zentralen Bausteine in Webanwendungen weltweit und der Einsatz daher sehr weit verbreitet. Mit dieser Programmiersprache entwickelter Quellcode findet sich dabei nicht nur in klassischen PHP-Webseiten, sondern auch in einzelnen Komponenten von verschiedenen proprietären Produkten. Beispielweise wurden die Open Source Projekte WordPress, Drupal, TYPO3, Joomla, Magento, Nextcloud, pfSense, OPNsense mit PHP entwickelt. Mit Kenntnis von Schwachstellen in derartigen weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.
Zwar sind zum aktuellen Zeitpunkt noch keine Angriffe mithilfe der beiden Schwachstellen beobachtet worden, allerdings hält das BSI eine kurzfristige breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren. IT-Sicherheitsverantwortliche sollten daher unverzüglich handeln. (Zitat Ende)
Vielen Dank an das Team von spieglhof-media, die meine Domain seit vielen Jahren betreut, damit alles reibungslos läuft.
Was in den letzten Tagen immer mehr passiert: es werden Kommentare abgegeben, die von bisher unbekannten Kommentatoren abgegeben werden und somit freigeschaltet werden müssen. Beim Blick auf den Absender stellt sich heraus, dass diese Kommentare von außerhalb Europas stammen. Der Text ist unverfänglich, macht aber oft wenig Sinn. Gerade heute morgen kam wieder ein solcher Kommentar (zum Thema Lebensmittelverschwendung) Der Kommentar lautet :
„In meiner Küche habe ich festgestellt, dass manche Produkte aufgrund ihrer Lagerung schneller verfallen. Das 500-Gramm-Limit ist oft ein realistischer Ansatz für den Anfang.“
Der zweite Satz macht wenig Sinn. Ich muss jeden dieser Kommentare persönlich ansehen und dann in den Spam-Ordner verschieben.
Übrigens erreichen täglich mehrere hundert Spams meine Homepage. Diesen Angreifern zu begegnen geht nur, wenn man eine professionelle IT-Firma beauftragt. Natürlich ist diese Betreuung nicht kostenfrei. Sie wird von mir selbst finanziert. Jährlich wird dafür ein hoher vierstelliger Betrag fällig, der auch gerechtfertigt ist. Bisher gelingt es mir (noch), dies über Vorträge zu finanzieren.
Belegen kann ich es nicht, aber ich vermute, nicht nur für mich selbst zu sprechen:
Vielen Dank, B.W.! Weiter so!
Gruß,
Ihr
C.
Ceterum censeo Europam esse restituendam
Willi
Vielen Dank für die schnelle klärende Info, Deinen unermüdlichen Einsatz inkl Bereitstellung der Finanzierung um diesen blog zu pflegen und zu erhalten
Diese ausländischen Kommentare werden KI-Agenten sein, die noch in der Übungsgsphase sind. Bald einmal wird man sie nicht mehr von echten Kommentaren unterscheiden können. Ja, die Welt wandelt sich, und zwar viel schneller, als ich es mir je erträumt hab. So ein klein wenig Schadenfreude ist auch dabei, denn ich denke, dass KI ganz viele nervige Bürogummis ausradiert 🙂 .
@Smarti
Was ist der Sinn dahinter? Warum macht man das? Ist wirklich lästig.
php2shell und SPAM-Kommentare sind aber strukturell unterschiedlich und müssen unterschiedlich behandelt werden.
Gegen Spam-Kommentare nehmen viele Websites Schutzdienste in Anspruch wie Cloudflare (vom ARD-Experten und wiederholt CloudFair genannt, mit der bekannten Webabfrage (Verifying challenges), Akismet (das komplett im Hintergrund arbeitet). (Google’s „Are you human“ mit dem nervenden Anklicken von Ampeln oder Palmen funktioniert noch mal anders.)
Aber Cloudflare und Akismet gleichen das Benutzerprofil mit dessen vorigen Kommentaren auf anderen Webseiten ab, was nicht ganz datenschutzgerecht ist und bestimmt auch was kostet, aber immer klaglos funktioniert.
Wäre ja auch eine gute Erhaltungsinvestition. Mein Rat.
– php2shell hingegen ist, wenn man über die Manipulation von Anfragen gleich den ganzen Server mitsamt Admin-Zugang übernimmt. (So wie das Scripting von Botfarmen früher, und das, obwohl die Server viel härter geworden waren. Ums Jahr 2000 hatte ich noch massenweise der IIS 4.0-Weichware übernommen und natürlich nur gekuckt oder mal Grüße hinterlassen.)
Der Fehler, den php2shell aufgedeckt hat, besteht aber tatsächlich schon seit PHP 5, also seit 2004. Seit spätestens 2022 war der Fehler und die Vulnerabilität der PHP-Foundation bekannt, aber die wollte vielleicht deswegen, das Problem nicht angreifen, weil im Netz immer noch zu viele Altversionen herumschwirren, die auch weiterlaufen könnten, solange sich keiner für sie interessiert.
Es wurde in Analysen wohl noch nicht angesprochen (nur bei Danisch.de habe ich noch nicht nachgesehen), aber ich halte es für wahrscheinlich, dass das OpenAI-LLM (KI) nicht etwa selbst die ganzen Angriffe durchgeführt hatte.
Sondern es war einfach nur mit einem grundsätzlichen PHP-Code-Audit beschäftigt. Eine, vielleicht eine der schwersten Sicherheitslücken, vielleicht eine von mehreren, war dabei geleakt worden, und tausende von Untergrundprogrammierern hatten sich darüber hergestürzt und dabei den ganzen Traffic und Schaden selbst hergestellt.
Fehlende Code-Audits waren schon immer ein Problem bei PHP, und auch Speicherüberläufe gehören zum Grundwesen dieser einfachen an C/C++ drangehängten Scriptsprache. (Mit Java oder .NET wäre das nicht passiert?)
– Was kann da ein normaler Webseitenbetreiber machen, sogar noch ohne Shop und alles? – Der Webhoster muss das System natürlich immer aktuell patchen, was zum Rahmenvertrag gehört.
Dieses Mal war es anders, weil der Patch tagesaktuell bekannt und verfügbar und nicht in den standardmäßig ausgelieferten Distributionen enthalten war. Da musste der Admin wohl selbst den PHP-Quellcode kompilieren, ins System bringen und testen und sich das extra bezahlen lassen.
Oder er hätte es so gemacht wie die PHP-Entwickler, den Kopf in den Sand gesteckt. Obwohl Softwareentwicklung auch immer Risiko ist. So billige Berater wie ich zu manchen Zeiten würden auch dazu tendieren, solange nichts passiert, mit den Patches aufs reguläre Update zu warten, und sonst hat man ja immer noch das nächtliche Backup und kann dann immer noch was machen.
HTH
@Strohbert
Und nun? Ich verstehe nur Bahnhof.
Ist der Kommentar von Ihnen oder von einer KI?
Das BMEL nutzt KI zur Prüfung von Kostenschâtzungen für BLE-Förderungen. Das Chaos ist vorprogrammiert, weil die KTBL-Basisdaten nicht zur realen Welt und nicht zu den regionalen Voraussetzungen passen…..man fast es nicht.
Dieses Land hat fertig.
Ein hoher vierstelliger Betrag für ein managed WordPress hosting dieses schlanken Blogs ohne viele Plugins mit max. 10k Seitenaufrufe pro Tag?
Na dann…
@Stadtmensch
Was wollen Sie mit Ihrem Kommentar zum Ausdruck bringen? Ihre Aussage ist etwas kryptisch…
Ich verstehe es wirklich nicht?
Er meint für eine solche Klitsche, wie dieser Blog, ist der Betrag zu hoch. Er als Sozi hätte es umsonst getan.😆