Kritische PHP-Lücken ermöglichen Remote-Code-Ausführung: DigitalOcean drängt auf Patches

Was die Schwachstellen ermöglichen

Laut DigitalOcean kann ein Angreifer über jede der beiden Lücken beliebigen Code auf einem Server ausführen, auf dem PHP läuft. Das kann zur vollständigen Übernahme des betroffenen Systems führen. Das Unternehmen gibt an, dass die Schwachstellen jede PHP-Version ab PHP 5 betreffen.

DigitalOcean erklärt, es gebe außer dem Patchen keine vollständigen Gegenmaßnahmen. PHP bildet die Grundlage eines großen Teils des Webs, darunter WordPress, Drupal, Laravel und individuelle Anwendungen, ebenso Cloudways by DigitalOcean.

Das PHP-Projekt hat Korrekturen für die aktuell unterstützten Zweige veröffentlicht:

• PHP 8.5: Version 8.5.12
• PHP 8.4: Version 8.4.27
• PHP 8.3: Version 8.3.36
• PHP 8.2: Version 8.2.35

Für PHP 8.1 und älter gibt es keinen Patch. DigitalOcean rät allen, die eine Version am Ende ihres Lebenszyklus nutzen, sofort ein Upgrade auf eine unterstützte Version einzuplanen.

Welche DigitalOcean-Produkte betroffen sind

DigitalOcean führt mehrere Produkte als betroffen auf. Marketplace-1-Click-Images, darunter WordPress, LAMP, LEMP und Laravel, wurden bis zur Bereitstellung von Patches aus dem Angebot genommen, damit neue Deployments nicht verwundbar starten. Bereits bereitgestellte Instanzen aktualisieren sich nicht selbst, Kunden müssen PHP dort selbst updaten.

Functions bietet die PHP-Runtimes 8.2, 8.3, 8.4 und 8.5. Die Runtimes sind gepatcht, Kunden müssen jedoch neu deployen, um die neuen Versionsstände zu übernehmen. Auch der PHP-Buildpack von App Platform wurde gepatcht. Kunden sollten neu deployen, und wer ein eigenes Dockerfile oder Container-Image verwendet, muss zuvor die PHP-Version in diesem Image aktualisieren.

Cloudways wird von DigitalOcean betreut. Laut Unternehmen patcht es aktiv PHP 5.6 und höher auf der gesamten Plattform, nutzt dafür für ältere Instanzen eine erweiterte LTS-Partnerschaft und zwingt Kunden nicht zur Migration auf neuere PHP-Versionen. In der Zwischenzeit wurden die temporären Gegenmaßnahmen von PHP sowie gezielte WAF-Regeln eingespielt. SnapShooter ist zum Zeitpunkt der Veröffentlichung vollständig gepatcht.

Droplets, GPU Droplets, Paperspace, Kubernetes (DOKS), MicroVMs, Container Registry sowie Snapshots und Backups gelten standardmäßig als nicht betroffen, doch Kunden müssen ihre eigenen Workloads prüfen. So bringt etwa die Wiederherstellung eines vor dem Patch erstellten Snapshots oder Backups das verwundbare PHP zurück, und Images in der Container Registry bleiben verwundbar, bis sie neu gebaut und erneut hochgeladen werden. Verwaltete Datenbanken sowie Produkte für Storage, Netzwerk, Inferenz und Monitoring nutzen laut DigitalOcean kein PHP.

Empfohlene Schritte für Kunden

DigitalOcean empfiehlt, zunächst alle Systeme zu erfassen, auf denen PHP läuft, einschließlich mitgelieferter Installationen wie WordPress, weiterer CMS-Instanzen, Admin-Oberflächen wie phpMyAdmin und Legacy-Anwendungen. Anschließend sollten Patches umgehend eingespielt werden. Wer PHP-basierte Software wie WordPress oder Laravel nutzt, braucht möglicherweise zusätzlich anbieterspezifische Patches.

Wer nicht sofort aktualisieren kann, findet in den von der PHP Foundation veröffentlichten Maßnahmen Möglichkeiten, die Angriffsfläche zu verringern. DigitalOcean betont jedoch, dass diese eine Installation allein nicht sicher machen. Zudem rät das Unternehmen, den öffentlichen Zugriff auf PHP-Anwendungen einzuschränken, die nicht aus dem Internet erreichbar sein müssen, sowie Firewall, WAF-Regeln und Monitoring aktiv zu halten. Cloudflare hat nach Angaben des Unternehmens Notfall-WAF-Regeln veröffentlicht.

Auf selbst verwalteten Droplets lässt sich die PHP-Version mit php -v prüfen. Unter Ubuntu und Debian erfolgt das Update mit sudo apt update gefolgt von sudo apt install --only-upgrade 'php*'. Für CentOS, Fedora, Rocky Linux und AlmaLinux gilt sudo dnf upgrade 'php*', sobald Patches verfügbar sind. DigitalOcean weist darauf hin, dass diese Distributionsfamilie zum Zeitpunkt der Veröffentlichung noch an der Bereitstellung von Patches arbeitete. Nach dem Update müssen PHP-FPM oder der Webserver neu gestartet werden. Bei containerisierten Workloads sollte das Basis-Image oder Dockerfile auf eine gepatchte Version aktualisiert, anschließend neu gebaut und neu bereitgestellt werden.

Was das für Nutzer bedeutet

Angesichts des öffentlich verfügbaren Exploit-Codes und fehlender vollständiger Workarounds lautet der praktische Rat von DigitalOcean, jede PHP-Instanz zügig zu finden und zu patchen. Kunden verwalteter Dienste wie Cloudways bekommen vieles davon abgenommen. Wer jedoch selbst verwaltete Droplets, Container, wiederhergestellte Snapshots oder ältere PHP-Versionen betreibt, muss selbst handeln. Betreiber, die PHP 8.1 oder früher einsetzen, kommen um ein Upgrade nicht herum, da für sie kein offizieller Fix erscheinen wird.