PHP 漏洞下自有网店是否面临风险

Was das für Online-Shops bedeutet

Für Webseitenbetreiber gibt es nur einen Weg: Betroffene PHP-Installationen müssen umgehend auf eine abgesicherte Version oder ein entsprechend gepatchtes Paket aktualisiert werden.

Der Wartungsmodus hilft nicht. Ein normaler Shop-Wartungsmodus kann weiterhin PHP ausführen und schützt deshalb nicht automatisch vor der Lücke. Die PHP Group sagt ausdrücklich, dass nur das Update eine vollständige Lösung darstellt; das Bundesamt für Sicherheit in der Informationstechnik empfahl demzufolge bei fehlendem Patch im Zweifel die komplette Abschaltung. Das ist bitter, aber im Zweifel das betriebswirtschaftlich kleinere Übel gegenüber einem kompromittierten Shop. BSI-Vizepräsident Thomas Caspers sagte in den ARD-„Tagesthemen“ zwar, dass bislang keine große Schadwirkung beobachtet worden sei. Aber wer jetzt nicht patche, laufe Gefahr, „sehr kurzfristig“ betroffen zu sein.

Wer den Shop auf einem eigenem oder gemietetem Server betreibt, sollte das PHP-Update umgehend einspielen oder beim Hoster nachfragen, ob es bereits erfolgt ist.
Bei Managed-Hosting und Shop-Baukästen kümmert sich in der Regel der Anbieter, eine kurze Bestätigung schadet aber nicht.
Bei älteren PHP-Versionen: Die PHP Group stellt reguläre Updates für PHP 8.2 bis 8.5 bereit. Für PHP 7.4, 8.0 und 8.1 gibt es zusätzlich minimale Quellcode-Patches; auch Linux- und LTS-Anbieter können eigene Updates anbieten. Wer eine ältere Version nutzt, sollte daher beim Hoster beziehungsweise Anbieter prüfen, ob ein abgesicherter Patch bereitsteht. Andernfalls ist ein Upgrade nötig.
Muss der Shop zwischenzeitlich vom Netz, rät Google laut PPC Land dazu, den Statuscode 503 auszuliefern statt 404 oder einer Fehlerseite mit Statuscode 200. Dazu mehr in einem separaten Artikel.

Auch datenschutzrechtlich ist Vorsicht geboten. Der IT-Sicherheitsexperte Christoph Fischer weist gegenüber der dpa außerdem auf die DSGVO hin. Nach einer Kompromittierung muss nachvollzogen und dokumentiert werden, ob personenbezogene Daten betroffen sind und welche Folgen der Vorfall hatte. Logs sollten daher gesichert und Auffälligkeiten dokumentiert werden. Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, muss sie grundsätzlich binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden, sofern sie voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. „Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben. Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.“

Artikelbild: http://www.depositphotos.com