Kritische PHP-Lücke: Patch kommt heute, Millionen Websites auf toten Versionen

Kritische PHP-Lücke: Notfall-Patch und Millionen ungeschützter Websites

Eine als hochgradig eingestufte PHP-Schwachstelle macht ein Update noch heute nötig. Die Warnung kursiert seit den frühen Morgenstunden: Das Update erscheint um 16:00 Uhr und, so die Warnung, die Lücke wird bereits ausgenutzt. Das ist keine theoretische Laborübung. Wer ein Projekt betreibt, das auf PHP setzt — von der kleinen WordPress-Seite bis zum Backend eines Onlineshops — hat nur wenige Stunden Zeit zu reagieren.

Der Angriffsvektor hat einen technischen Namen und eine Erklärung, die auf eine Seite passt. PHP bietet seit Jahren die Funktion session.upload_progress, mit der der Browser den Fortschritt eines Datei-Uploads abfragen kann. Dafür erzeugt der Server eine Session-Datei ohne jede Authentifizierung. Ein einziger POST mit dem richtigen Feld genügt, damit eine Datei mit Angreifer-Inhalt geschrieben wird — in einem Verzeichnis, dem das System selbst vertraut.

Was Session File Poisoning ist und warum es wichtig ist

Für sich genommen ist diese Datei meist harmloser Müll. Das Problem entsteht, wenn die Website irgendeine lokale Inclusion hat: eine LFI, ein Include mit Parameter, ein altes WordPress-Plugin, ein falsch eingesetztes unserialize. Dann wird aus dem Müll Code-Ausführung. Das ist das klassische Session File Poisoning, eine alte Technik, die wieder zuschlägt, weil die Funktion auf niemandem mehr überprüften Installationen standardmäßig aktiv bleibt.

Deshalb lautet die am häufigsten empfohlene Übergangslösung, die Funktion in der php.ini zu deaktivieren: session.upload_progress.enabled = Off. Man verliert die Fortschrittsanzeige beim Upload — ein kleines Übel, bis der Patch da ist. Es wird auch gemeldet, dass Cloudflare eine Regel hinterlegt hat, doch auf eine Zwischenschicht als einzige Verteidigung verlässt sich niemand.

Die Lücke, die der Support hinterlässt: Patch nur für PHP 8

Hier liegt das Kleingedruckte, das aus einem Schrecken ein strukturelles Problem macht. Der Patch erscheint nur für den 8er-Zweig. Ältere Versionen sind außerhalb des Supports, tragen aber weiterhin einen riesigen Teil des digitalen Fundaments: Anwendungen auf PHP 7, teils sogar PHP 5, die niemand migriert hat, weil das Update monatelange Arbeit bedeutete und das Geschäft lief. Diese Websites bleiben ohne Schutz.

Das Argument, das die Runde macht, ist vernünftig und vernichtend: Bei einer Schwachstelle dieses Ausmaßes hätte es auch Patches für die alten Zweige geben müssen. Die Alternative — ein CMS mit Plugins aus dem letzten Jahrzehnt in Windeseile zu migrieren — ist an einem Nachmittag keine realistische Option.

Der Witz vom Gaffer-Tape-Patch

Im letzten Teil der Konversation taucht der Galgenhumor auf. Eine Nachricht fasst die Stimmung spöttisch zusammen: „Patch wird angewendet. Mit Gaffa-Klebeband." Ein anderer feiert, dass der Patch auf der eigenen Seite bereits eingespielt ist. Und ein Verweis auf den No-Name-ZX-Spectrum schließt den Kreis: Manche betreiben kritische Infrastruktur mit derselben Philosophie wie eine Werkstatt um die Ecke.

Die Frage, die in der Luft hängt: Wie viele dieser ungepatchten Websites überstehen das Wochenende? Die Warnung sagt, die Lücke wird bereits ausgenutzt. Die Fristen sind nicht verhandelbar. Und wer heute nicht aktualisiert, betet morgen.