PHP2Shell und die Folgen

Mit Erschrecken habe ich festgestellt, dass der letzte Beitrag hier auch schon wieder fast fünf Jahre her ist. Und natürlich ist die Motivation, hier wieder etwas zu schreiben, nicht einfach so gekommen. 😉

Stattdessen ist der Anlass, wie der Titel schon verrät, die kürzlich bekannt gewordene massive Sicherheitslücke PHP2Shell in PHP. Die hat auch mich ereilt und natürlich nicht nur auf einem System, sondern gleich auf dreien. Unter anderem auf dem System, auf dieser Blog gehostet ist. Und ebenso natürlich war bzw. ist ein einfacher Sicherheitspatch so einfach nicht möglich, denn mir ist dabei der massive Wartungsstau auf allen Systemen auf die Füße gefallen, auf denen zuvor noch Debian Stretch bzw. Buster lief. Also waren erstmal umfangreiche Upgrade-Sessions notwendig und inzwischen laufen zwei von drei Server zumindest auf Debian Bookworm, also oldstable.

Auf einem der drei Server, auf der im Wesentlichen eine sehr gut abgehangene thwboard-Installation läuft, musste ich erstmal thwboard soweit manuell patchen, dass es mit PHP8.2 zusammenspielt. Am Anpassen einer selbst geschriebenen Datenbank-Web-Applikation bin ich noch dran. (Die schmeißt aber zum Glück nur PHP Warnings, funktioniert aber ansonsten.)

Auf diesem Server hier habe ich dann natürlich auch gleich WordPress auf den aktuellsten Stand gebracht. Das funktioniert soweit auch (fast) alles wieder, nur das WordPress-Statistik-Plugin mag noch nicht wieder. Das stelle ich aber erstmal zurück, bis alle drei Server gegen PHP2Shell gefixt sind.

Der dritte im Bunde, der noch aktualisiert werden muss, ist mein Heimserver. Das hingegen kann noch „lustig“ werden, denn dort laufen noch mehr Dienste als auf den anderen Kisten. Ich werde berichten… 😉