Kurz gesagt: CERT-EU rät laut Berichten, PHP-Installationen zu erfassen, sofort zu patchen und öffentlich erreichbare Anwendungen zu isolieren, wenn sie nicht zeitnah gepatcht werden können. CERT-Bund und das BSI empfehlen in ihrer Warnung das sofortige Update und, falls das nicht geht, betroffene Webserver vorübergehend vom Netz zu nehmen. Die Empfehlungen decken sich im Kern: Update zuerst, Isolation als Notlösung, Übergangsmaßnahmen nur als Ergänzung.
Wer warnt, und für wen?
Bei PHP2Shell haben mehrere offizielle Stellen innerhalb weniger Stunden reagiert. Für Unternehmen in Deutschland ist das BSI mit seinem Computer-Notfallteam CERT-Bund die erste Adresse. CERT-EU ist der Cybersicherheitsdienst der EU-Institutionen; seine Hinweise richten sich zunächst an diese, werden aber europaweit gelesen. Laut BleepingComputer hat auch das britische National Cyber Security Centre gewarnt. Aus der Privatwirtschaft meldeten sich unter anderem Huntress und Cloudflare.
Für Sie als Betreiber ist die Herkunft weniger wichtig als die Übereinstimmung. Wenn mehrere unabhängige Stellen dasselbe raten, ist das ein starkes Signal.
CERT-Bund, CERT-EU und weitere: die PHP-Warnungen im Vergleich
| Stelle | Kernempfehlung | Besonderheit |
|---|---|---|
| BSI / CERT-Bund | sofort aktualisieren, sonst Webserver vorübergehend vom Netz | Warnstufe 3 / Orange |
| CERT-EU | PHP-Installationen erfassen, sofort patchen, sonst öffentliche Anwendungen isolieren | hielt laut Berichten Versionen ab PHP 5 für möglich betroffen |
| UK NCSC | sofort aktualisieren oder betroffene Systeme bis zum Patch vom Netz nehmen | laut BleepingComputer |
| php.net | auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren, Übergangsmaßnahmen nur als Teilschutz | Primärquelle für Versionen und Einstellungen |
Keine der Stellen empfiehlt, allein auf eine Web Application Firewall oder auf Einstellungen in der php.ini zu setzen. Alle nennen das Update als eigentliche Lösung. Was das BSI darüber hinaus im Einzelnen rät, steht auf der Seite Was das BSI zu PHP2Shell empfiehlt.
Die Versionsfrage: Was „ab PHP 5“ bedeutet
CERT-EU hielt laut Berichten für möglich, dass Versionen ab PHP 5 betroffen sind. Dabei stützte sich die Stelle laut Fachberichten auf Informationen, die vor der offiziellen Meldung kursierten. Die Fachpresse spricht von nahezu allen Versionen bis zurück zu PHP 5.4.
Praktisch ändert die genaue Grenze wenig. Für PHP 8.1 und älter liefert das PHP-Projekt keine offiziellen Updates mehr. Es gibt minimale Quell-Backports für 7.4, 8.0 und 8.1, aber keine Releases. Wer noch PHP 5 oder 7 betreibt, ist auf Distributionen, Drittanbieter oder eine Migration angewiesen. Ob Ihre Distribution eine Korrektur geliefert hat, zeigen deren eigene Sicherheitsseiten, etwa der Debian Security Tracker, die Ubuntu Security Notices oder die Hinweise von Red Hat. Kommerzielle Langzeitangebote für alte PHP-Versionen gibt es ebenfalls; ob sie PHP2Shell abdecken, sollten Sie sich vom Anbieter schriftlich bestätigen lassen. Einzelheiten zu den Zweigen stehen unter Welche PHP-Versionen sind betroffen? und PHP 8.1 und älter.
Isolieren: So setzen Sie die Empfehlung um
„Isolieren“ klingt abstrakt. Gemeint ist, dass Anfragen aus dem Internet die verwundbare PHP-Anwendung nicht mehr erreichen. Je nach Anwendung gibt es mehrere Stufen:
- Vollständig abschalten: Die Website wird durch eine statische Notseite ohne PHP ersetzt. Das ist die sicherste Variante.
- Zugriff beschränken: Die Anwendung bleibt in Betrieb, ist aber nur noch über VPN oder für festgelegte IP-Adressen erreichbar, etwa für interne Portale.
- Vorgeschaltete Anmeldung: Eine Anmeldung auf Webserver- oder Proxy-Ebene vor der Anwendung. Achtung: Bei mod_php wurde ein Exploit gezeigt, bevor Anwendungscode läuft. Die Anmeldung muss daher vor PHP greifen, nicht in der Anwendung.
- Direkten Zugriff auf den Ursprung sperren: Wer einen Proxy- oder CDN-Dienst nutzt, sollte sicherstellen, dass der Server nicht zusätzlich direkt erreichbar ist.
Eine Beschränkung im Webserver kann so aussehen, als ungefährliche Konfiguration für Apache:
# Zugriff nur aus dem internen Netz erlauben (Beispielbereich anpassen)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Testen Sie die Wirkung von außen, etwa über eine Mobilfunkverbindung. Eine Isolation, die nur im Büronetz geprüft wurde, ist keine geprüfte Isolation.
Isolieren ist eine Überbrückung. Legen Sie beim Isolieren gleich fest, bis wann das Update kommt und wer es einspielt. Sonst wird aus der Notlösung ein Dauerzustand.
Was die Empfehlungen gemeinsam verlangen: ein Inventar
Alle offiziellen Stellen setzen voraus, dass Sie wissen, wo PHP läuft. Genau daran scheitert es in vielen Unternehmen: Microsites aus alten Kampagnen, ein vergessenes Kundenportal, ein Testsystem mit öffentlicher Adresse, eine Anwendung auf einem NAS. CERT-EU nennt das Erfassen der PHP-Installationen ausdrücklich als ersten Schritt.
Vergessene Systeme finden Sie am ehesten über drei Wege: die DNS-Zonen Ihrer Domains, die Liste der ausgestellten TLS-Zertifikate und die Verträge mit Agenturen, Hostern und Softwareanbietern. Jeder Eintrag, zu dem niemand sofort sagen kann, was dahinter läuft, gehört auf die Prüfliste. Gerade solche Systeme sind bei einer Lage wie PHP2Shell gefährlich, weil sie niemand patcht und niemand vermisst, wenn sie kompromittiert werden.
Ein brauchbares Inventar enthält je System: Adresse, Zweck, Betreiber, PHP-Version und Betriebsart, Bezugsquelle der Pakete und den Ansprechpartner für Updates. Wie Sie es aufbauen und aktuell halten, zeigt der Beitrag Inventar aller Websites und Server.
Wie hilft PHP SOS konkret?
- Erfassung: Wir ermitteln Ihre öffentlich erreichbaren PHP-Systeme und ordnen sie nach Risiko.
- Patch oder Isolation: Wir spielen Updates ein oder isolieren Anwendungen, die nicht sofort gepatcht werden können, und prüfen die Wirkung von außen.
- Alte Versionen: Für Systeme mit PHP 8.1 und älter planen wir mit Ihnen den Weg zu einem unterstützten Stand.
- Nachweis: Sie erhalten eine Dokumentation der umgesetzten Empfehlungen je System.
Wie wir alte Anwendungen auf unterstützte Versionen bringen, beschreibt die Leistung PHP-Migration für Legacy-Systeme.
Fazit
CERT-EU, CERT-Bund, BSI und PHP-Projekt sprechen mit einer Stimme: aktualisieren, und wo das nicht sofort geht, isolieren. Die Unterschiede liegen in Details wie der Versionsgrenze. Für Ihre Praxis zählt der erste Schritt, den alle voraussetzen: zu wissen, wo PHP überall läuft.
Häufige Fragen
Was ist der Unterschied zwischen CERT-Bund und CERT-EU?
CERT-Bund ist das Computer-Notfallteam beim BSI und warnt in Deutschland vor Schwachstellen. CERT-EU ist der Cybersicherheitsdienst der Organe und Einrichtungen der Europäischen Union. Beide geben Empfehlungen heraus, die auch für Unternehmen nützlich sind.
Was heißt es, eine PHP-Anwendung zu isolieren?
Die Anwendung ist danach nicht mehr frei aus dem Internet erreichbar. Möglich ist das durch eine Notseite, durch Zugriff nur über VPN oder bestimmte IP-Adressen oder durch vollständiges Abschalten. Entscheidend ist, dass Anfragen von außen den verwundbaren PHP-Prozess nicht mehr erreichen.
Sind laut CERT-EU auch PHP-5-Versionen betroffen?
CERT-EU hielt laut Berichten für möglich, dass Versionen ab PHP 5 betroffen sind, und stützte sich dabei auf Informationen, die vor der offiziellen Meldung kursierten. Die Fachpresse nennt nahezu alle Versionen bis PHP 5.4. Für so alte Versionen gibt es keine offiziellen Updates.
Gibt es offizielle Erkennungsmerkmale für Angriffe?
Nein. Bisher gibt es keine veröffentlichten, bestätigten Indicators of Compromise zu PHP2Shell. Die Erkennung beruht auf Verhaltensanalyse, etwa auf Webserver-Prozessen, die Shells starten, oder neuen PHP-Dateien in Upload-Ordnern.