Angreifer können in PHP, einer Technik, die in Webanwendungen steckt gerade z.B. Daten stehlen, Websites manipulieren oder Schadsoftware einschleusen.
Aktuell gibt es zwei hochkritische Sicherheitslücken in PHP, einer Technik, die in sehr vielen Webanwendungen steckt. Angreifer können darüber ohne Anmeldung einen fremden Code auf Deinem Webserver ausführen, also z. B. Daten stehlen, Deine Website manipulieren oder Schadsoftware einschleusen. Erste Angriffe werden bereits beobachtet.
Wer ist betroffen?
Alle, die Software mit PHP über das Internet betreiben, z. B.:
- Websites mit WordPress, Joomla, TYPO3, Contao o. ä.
- Online-Shops (z. B. WooCommerce, Shopware)
- Buchungs- und Reservierungssysteme sowie ggf. Ihr PMS (Hotelsoftware), sofern webbasiert und selbst oder bei einem Hoster betrieben.
Was ist zu tun?
- Frage heute noch Deine Webagentur, Deinen Hoster oder IT-Dienstleister, ob Deine Systeme betroffen sind und das PHP-Update bereits eingespielt wurde.
- Abgesicherte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
- Ältere PHP-Versionen (8.1 und älter) erhalten keine Updates mehr. Diese müssen auf eine aktuelle Version umgestellt werden.
- Ist ein Update nicht sofort möglich, nimm die betroffene Anwendung vorübergehend vom Netz, bis sie gepatcht ist. Ein paar Stunden offline sind deutlich günstiger als ein gehackter Server oder ein Datenschutzvorfall.
- Bei Cloud-/SaaS-Lösungen (z. B. gemietetes PMS): Lass Dir vom Anbieter bestätigen, dass gepatcht wurde.
Warum so dringend?
Details zur Lücke sind bereits öffentlich, Angriffswerkzeuge kursieren. Je länger ein System ungepatcht bleibt, desto höher das Risiko.
Bei Fragen wende Sie sich an Ihren IT-Dienstleister.
