Weitreichendes Sicherheitsproblem bei PHP-Seiten - Forum betroffen?

[Mr. Blonde]

Morgen oder schon heute soll irgend ein großer PHP-Hack losgehen. Durch eine Sicherheitslücke soll Malware auf Seiten eingeschleust werden können. Hat jemand eine Ahnung, ob das Forum sicher ist? 

https://www.golem.de/news/noch-kein-patch-verfuegbar-kritische-php-luecken-gefaehrden-unzaehlige-webserver-2610-214332.html

https://stadt-bremerhaven.de/php-kritische-sicherheitsluecken-ermoeglichen-code-ausfuehrung-aus-der-ferne/

https://www.sicher-im-netz.de/php2shell-kritische-sicherheitsluecken-gefaehrden-webseiten-und-onlineshops/

[mali]

Das sollte man ernst nehmen, aber Details über den Server hat nur Neo nehme ich an.

Patches wird es erstmal für PHP Versionen ab 8.2 geben - für darunter wahrscheinlich nicht.


Das Projekt-Forum zu SMF ist jedenfalls offline genommen worden:
https://www.simplemachines.org/

[Mr. Blonde]

Ich hab Neo angeschrieben und um eine Info gebeten.

[Neo]

Viel kann ich dazu nicht sagen.
Das Forum läuft mit PHP 8.4 - also soweit okay.

Ist auch derzeit dazu nichts bei Strato zu finden.
Abwarten

[Mr. Blonde]

Danke für die schnelle Rückmeldung! 

[mali]

Das Forum läuft mit PHP 8.4 - also soweit okay.

Das ist schonmal sehr, sehr gut, dann wird der Patch (wird nachher veröffentlicht) auf jeden Fall funktionieren 

Betroffen ist es dann aber (ohne Patch) auch.

[mali]

Weitere Infos:
https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html

Patches werden hier veröffentlicht, bzw. sind teilweise schon:
https://www.php.net/downloads.php

[Neo]

weltweit sind viele Hoster offline gegangen.. Strato bisher nicht.
Auch keinerlei Infos zu den aktuellen Vorgängen bei denen.

[mali]

Patcht Strato dann generell alles bei denen gehostete? Oder musst Du das SMF selbst patchen?

[StS]

Ich hab keine Ahnung von dem Thema, sorry. 

Hab aber von dem Kumpel wegen eines anderen Forums den Artikel zugeschickt bekommen:
https://www.heise.de/news/Wichtige-PHP-Updates-am-21-Oktober-beheben-Codeeinschleusung-Schwachstellen-11495072.html

[Neo]

ich kann generell bei Strato nur die PHP Version einstellen, habe aber keinen Zugriff auf die PHP Dateien.
Ich gehe stark davon aus (und hoffe), dass Strato das intern patcht. So ist es zumindest auch bei anderen Hostern...