Informationen zum Umgang mit der PHP-Sicherheitlücke

Am Mittwoch dem 21. Oktober wurde bekannt, dass es in der Software PHP, die auch in sciebo verwendet wird, eine schwere Sicherheitslücke existiert. Diese sollte es angeblich ermöglichen, ohne Anmeldung aus der Ferne Kommandos auf den Servern ausführen zu können. Das ist die schlimmste Sicherheitlücke, die wir uns als Admins vorstellen können. Wir gehen im Folgenden kurz auf unsere getroffenen Maßnahmen ein.

  • 10:00 Am Vormittag wird bekannt, dass die Lücke existiert und dass um 16:00 ein Patch zur Verfügung gestellt wird: https://www.heise.de/news/Wichtige-PHP-Updates-am-21-Oktober-beheben-Codeeinschleusung-Schwachstellen-11495072.html Das Problem dabei für alle Admins ist, dass mit Erscheinen des Patches gleichzeitig die Hacker beginnen werden, die Schwachstelle per KI zu untersuchen, um Angriffe zu entwickeln. Pessimistische Schätzungen gehen dabei von gerade einmal 15 Minuten zwischen dem Erscheinen der Informationen und den ersten Angriffen aus.
  • 14:00 Intern und extern diskutieren wir, ob der Dienst präventiv aus dem Netz genommen und erst wieder online gehen wird, wenn die Lücke gestopft ist.
  • 15:10 Der Webauftritt der Uni Münster (bei der auch sciebo gehostet wird), wird komplett vom Internet getrennt, um Zeit zu gewinnen, die verwundbaren Dienste zu identifizieren und separat abzusichern. Dadurch entfallen bei uns jedoch auch die üblichen Kommunikationskanäle wie https://docs.sciebo.de/docs/stoerungen/
  • 16:00 Die Details zur Sicherheitslücke werden bekannt (konkret CVE-2026-109618 und CVE-2026-109619 und umganssprachlich PHP2Shell): https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html Der Ansturm auf die abgesicherte Software ist so groß, dass es Stunden dauern wird, bis diese heruntergeladen werden kann.
  • 17:30 Die Störungsseiten der sciebo-Instanzen sind wieder erreichbar.
  • 22:00 Nachdem die abgesicherten Versionen der verwundbaren Software installiert wurden, geht sciebo wieder online.
  • 22.10. 10:00 Der Webauftritt www.sciebo.de ist ebenfalls wieder erreichbar.

Weitere Details: https://www.heise.de/news/php2shell-Updates-trudeln-ein-viele-Webseiten-offline-Angriffe-laufen-11496366.html