Millionen verwundbare PHP-Dienste in Deutschland, und wer bei euch am Sonntagabend patcht

Die Reihenfolge war falsch herum. Die Details zu den php2shell-Lücken kursierten, bevor die Updates fertig waren, und Angriffe liefen bereits, als viele Administratoren das Problem zum ersten Mal lasen. Nach einer Auswertung von Censys sind Millionen PHP-Dienste in Deutschland verwundbar. Und für die dritte Lücke gibt es vorerst gar keinen Notfall-Patch.

PHP läuft unter sehr vielen Firmenwebsites, Shops und Kundenportalen. Die interessante Frage ist deshalb nicht, ob das schlimm ist. Die interessante Frage ist, wer bei euch am Sonntagabend das Update einspielt, in welcher Frist, und was ihr macht, wenn es nichts einzuspielen gibt.

Zuerst die Liste, dann die Aufregung

Die meisten Betriebe scheitern nicht am Update, sondern daran, dass niemand weiß, wo überall PHP läuft. Nimm dir zwanzig Minuten und schreib auf, was ihr tatsächlich im Netz stehen habt. Bei einem Maschinenbauer mit 60 Leuten sieht diese Liste oft so aus:

• die Website mit dem Redaktionssystem, betreut von einer Agentur
• der Ersatzteil-Shop, vor vier Jahren gebaut, seitdem zweimal angefasst
• das Kundenportal mit den Wartungsprotokollen
• ein Urlaubs- und Zeiterfassungstool, das noch aus der Zeit vor der Lohnbuchhaltung stammt
• ein Testsystem von 2021, das nie abgeschaltet wurde und trotzdem aus dem Internet erreichbar ist

Für jede Zeile brauchst du drei Angaben. Wer pflegt sie, wie erreichst du die Person außerhalb der Bürozeiten, und ist der Dienst öffentlich erreichbar oder nur im internen Netz. Das Testsystem von 2021 ist in der Praxis das größte Risiko, weil es in keinem Vertrag steht und in keinem Kopf.

Zwei Zahlen, die du festlegen musst

Eine Frist, die nirgends steht, wird im Ernstfall diskutiert statt eingehalten. Leg zwei Zahlen fest und schreib sie in den Vertrag mit dem Dienstleister oder in die Stellenbeschreibung desjenigen, der es intern macht.

Die erste Zahl gilt für kritische Lücken, für die bereits Angriffe laufen. Realistisch sind 24 Stunden ab Verfügbarkeit des Updates, bei einem Shop eher weniger. Die zweite Zahl gilt für alles andere, da sind 30 Tage ein üblicher Wert. Wichtig ist nicht, ob du 24 oder 48 Stunden wählst. Wichtig ist, dass jemand weiß, dass die Uhr läuft, und dass er dafür ein Telefon dabeihat.

Dass dieses Fenster sich nicht von allein schließt, ist inzwischen gut belegt. Die Cyberagentur kommt in einer Untersuchung zu dem Ergebnis, dass Software-Schwachstellen länger ein Problem bleiben, also auch Monate nach dem Patch noch verwundbare Systeme im Netz stehen. Das deckt sich mit dem, was Administratoren in solchen Wochen berichten. Das Update selbst dauert Minuten. Was dauert, ist die Freigabe, der Zugang zum alten Server, auf dem niemand mehr den Schlüssel hat, und die Angst, dass der Shop danach nicht mehr startet.

Wenn es keinen Patch gibt

Genau das ist bei der dritten Lücke der Fall. Dann verschiebt sich die Arbeit von „einspielen“ zu „Angriffsfläche verkleinern“, und das sind handfeste Eingriffe:

• die betroffene Funktion abschalten, wenn ihr sie nicht braucht
• den Dienst aus dem Internet nehmen und nur noch über VPN erreichbar machen
• den Zugriff auf bekannte Adressbereiche beschränken, etwa beim Kundenportal mit zwölf Kunden
• einen vorgeschalteten Filter konfigurieren, der die bekannten Angriffsmuster blockt
• die Protokolle täglich ansehen statt wöchentlich

Das Testsystem von 2021 schaltest du ab. Den Shop zwei Wochen vor Weihnachten nicht. Diese Abwägung kann keine Software treffen, weil sie vom Geschäft abhängt und nicht von der Schwere der Lücke. Ein Mensch entscheidet, und er sollte vorher wissen, dass er derjenige ist.

Drei Wege, und der mittlere wird meistens übersehen

Für den laufenden Betrieb gibt es nicht zwei Möglichkeiten, sondern drei.

Selbst betreiben. Eigene Maschine, eigene Pflege. Die Maschine bei einem Anbieter in Deutschland liegt bei 40 bis 80 Euro im Monat, das ist nie das Problem. Das Problem ist die Person, die am Sonntagabend erreichbar ist, und die Vertretung, wenn sie im Urlaub ist.

Betreiben lassen. Die Software läuft auf eurem Server und in eurem Vertrag, gepflegt wird sie von jemand anderem. Daten und System gehören euch, der Dienstleister ist austauschbar, die Bereitschaft ist eingekauft. Das ist die Kategorie, in der wir arbeiten, und wir betreiben unsere eigene Cloud, den Mailserver, den Passwortmanager und den Git-Server genau so.

Mieten. Du zahlst pro Kopf, der Anbieter patcht, du erfährst es über eine Statusseite. Das ist eine legitime Wahl, besonders für Standardsachen. Du gibst dafür die Kontrolle über den Zeitpunkt ab und über die Frage, was passiert, wenn der Anbieter die Lücke anders bewertet als du.

Souveränität ist hier eine Frage der Tiefe, nicht ein Entweder-oder. Ein Mischbetrieb ist der Normalfall, und er ist in Ordnung, solange für jede Zeile deiner Liste klar ist, in welche der drei Kategorien sie fällt. Problematisch wird es nur bei den Diensten, bei denen alle drei Antworten gleichzeitig halb zutreffen.

Was automatisch laufen darf und was nicht

Kleine Sicherheitsaktualisierungen des Betriebssystems kannst du nachts automatisch einspielen lassen, mit einer Sicherung davor und einer Meldung danach. Das nimmt die stumpfe Arbeit weg und ist in diesen Wochen der Unterschied zwischen Stunden und Wochen.

An zwei Stellen hört das auf. Ein größerer Versionssprung, bei dem sich Datenformate oder Konfigurationen ändern, wird gelesen, auf einer Kopie ausprobiert und dann von einem Menschen freigegeben. Und wenn die Überwachung meldet, dass etwas nicht stimmt, zeigt sie, was auffällig ist. Ob neu gestartet, zurückgerollt oder erst einmal nur beobachtet wird, entscheidet ein Mensch. So bauen wir das, und so halten wir es auch bei der Plattform für Kunst gegen Bares, die wir selbst betreiben.

Dein Montagmorgen

Schreib die Liste. Trag hinter jede Zeile einen Namen und eine Telefonnummer. Leg die zwei Fristen fest. Ruf bei dem Dienstleister an, der eure Website betreut, und frag, ob php2shell bei euch erledigt ist und wann. Schalt ab, was niemand mehr braucht.

Das dauert einen Vormittag und ist danach jedes Mal wieder gültig, wenn die nächste Lücke vorab durchgestochen wird. Und das wird sie.