Das Wichtigste auf einen Blick
Die Updates laufen: Unser Technikteam spielt die Sicherheitsupdates bereits ein.
Wir kümmern uns darum: Bei Webhosting und managed Servern kümmern wir uns um die Aktualisierung.
Kurzzeitige Einschränkungen möglich: Während der Aktualisierung kann die Erreichbarkeit Eurer Websites vorübergehend beeinträchtigt sein.
Wir halten Euch auf dem Laufenden: Sobald alle betroffenen Systeme aktualisiert sind, informieren wir Euch im Kundenportal und hier im Blog.
Worum es geht:
PHP ist eine Programmiersprache, auf der viele Websites, WordPress-Installationen und Onlineshops basieren. Das PHP-Entwicklerteam hat zwei kritische Sicherheitslücken gemeldet und inzwischen passende Updates bereitgestellt.
Die Schwachstellen können es Angreifern ermöglichen, unbefugt Code auf einem Server auszuführen. Deshalb empfiehlt das PHP-Team eine sofortige Aktualisierung. Weitere Informationen findet Ihr in der offiziellen Sicherheitsmeldung von PHP.
Die Sicherheitslücken betreffen PHP selbst und sind damit für Hostinganbieter und Serverbetreiber weltweit relevant.
Welche Maßnahmen wir ergreifen
Umgehend nach Bekanntwerden der Sicherheitslücken haben wir mögliche Schutzmaßnahmen geprüft und die Ankündigungen des PHP-Teams verfolgt. Direkt nach Veröffentlichung der Sicherheitsupdates hat unser Technikteam mit der Aktualisierung der betroffenen Systeme begonnen.
Für Euer Webhosting und Eure managed Server (vServer & dedicated Server) übernehmen wir die notwendigen Maßnahmen. Ihr müsst selbstverständlich keine PHP-Sicherheitsupdates selbst installieren, oder bei uns in Auftrag geben. Während der Aktualisierung kann es kurzzeitig zu Einschränkungen kommen.
Wenn Ihr Euren Server selbst verwaltet (root dedicated Server) liegt die Aktualisierung der darauf installierten PHP-Versionen, inklusive erforderlicher Sicherheitsupdates bei Euch. Sofern noch nicht erfolgt, empfehlen wir Euch dringend, die erforderlichen Updates umgehend einzuspielen.
Vielen Dank für Eure Geduld und Euer Verständnis!
Was Ihr zusätzlich machen könnt
Um Euren speziellen Anwendungsfall noch sicherer zu machen, könnt ihr auch zusätzliche Sicherheitsmaßnahmen ergreifen. Unabhängig vom Sicherheitsupdate, könnt Ihr die von PHP genannten Maßnahmen zum Anlass nehmen, Eure PHP-Konfiguration zu prüfen und bei Bedarf zusätzlich abzusichern. Prüft dabei, welche Empfehlungen zu Eurer Konfiguration und den eingesetzten Anwendungen passen. Weitere Informationen findet Ihr in der offiziellen PHP-Sicherheitsmeldung. Prüft auch, ob die dort genannten ergänzenden Schutzmaßnahmen für Eure Konfiguration und Anwendungen geeignet sind.
Was leisten PHP Advanced Security und PHP Extended Support im Zusammenhang mit dem heutigen Vorfall?
Bei webgo setzen wir auf eine zusätzlich abgesicherte PHP-Umgebung in Zusammenarbeit mit CloudLinux. Dabei unterscheiden wir zwischen zwei Leistungen:
PHP Advanced Security für aktuelle PHP-Versionen: Ihr nutzt eine zusätzlich gehärtete PHP-Umgebung. „Gehärtet“ bedeutet, dass zusätzliche Sicherheitsmaßnahmen die technische Basis widerstandsfähiger gegen Angriffe machen. Zusammen mit unserer modernisierten PHP-Verarbeitung bildet sie die Grundlage für einen schnellen, stabilen und sicheren Betrieb Eurer Websites.
PHP Extended Support für ältere PHP-Versionen: Hat eine PHP-Version ihr offizielles Supportende erreicht, erhält sie vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Genau hier setzt unser PHP Extended Support an: CloudLinux übernimmt für die darüber unterstützten Versionen und arbeitet aktuell an der Bereitstellung der Sicherheitsupdates für die älteren PHP-Versionen. Damit erhaltet Ihr selbstverständlich auch zeitnah für diese älteren PHP-Versionen entsprechende Sicherheitsupdates.
Sicherheitsupdates sind ein wesentlicher Bestandteil dieses Schutzes. Werden neue Schwachstellen bekannt, müssen auch gehärtete PHP-Versionen aktualisiert werden. Die aktuellen Updates stehen daher nicht im Widerspruch zum zusätzlichen Schutz, sondern gehören dazu.
Wie könnt Ihr Eure Website zusätzlich absichern?
Ergänzend zu den Sicherheitsupdates könnt Ihr Eure PHP-Einstellungen individuell auf Eure Anwendungen abstimmen und bei Bedarf zusätzlich absichern. Die von PHP genannten Maßnahmen in der offiziellen PHP-Sicherheitsmeldung bieten dafür Anhaltspunkte. Prüft vor einer Änderung, welche Empfehlungen zu Eurer Konfiguration und den eingesetzten Anwendungen passen. Diese optionalen Anpassungen ersetzen das Sicherheitsupdate nicht.
Haltet außerdem WordPress, Euer Shopsystem sowie eingesetzte Plugins und Themes aktuell. Starke Passwörter, eine Zwei-Faktor-Authentifizierung und eine passend konfigurierte Web Application Firewall können Eure Website zusätzlich schützen.
Die Absicherung der PHP-Umgebung und die Pflege Eurer Website ergänzen sich. PHP Advanced Security und PHP Extended Support ersetzen keine Updates Eurer eigenen Anwendungen.
