Am 20. Oktober haben wir via Mastodon-Post und Ankündigung auf der php.net Webseite erfahren, dass am 21. Oktober um 16:00 Fixes für hochkritische PHP Sicherheitslücken veröffentlicht werden. 70% der Webseiten des kompletten Internets sind in der Programmiersprache PHP geschrieben, so auch Drupal und damit praktisch all unsere Kunden- und internen Projekte. Auch der Cyber Security Hub des Bundes hat über diese Sicherheitslücke informiert.
Wir haben daraufhin früh am 21. Oktober mit unserem Hosting-Partner Upsun geklärt, wie sie darauf vorbereitet sind. Wir haben eine erste Bestätigung erhalten, dass sie im Voraus informiert wurden und einen Schutz implementiert haben um erste Angriffe abzuwehren als Übergang bis die Fixes verfügbar waren. Einige unserer Kundenprojekte waren durch CDN Dienstleister Cloudflare und Fastly noch zusätzlich geschützt.
Wir haben basierend darauf entschieden, dass es sicherheitstechnisch vertretbar ist, so geschützte Webseiten nicht vom Netz zu nehmen. Wir haben die Zeit bis zum Release genutzt um einzelne Projekte, welche nicht den gleichen Schutz hatten zu deaktivieren. Sowie Kunden und Partner zu informieren und zu unterstützen, ihre Projekte zu nach Bedarf zu deaktivieren bis die Sicherheitsupdates zur Verfügung standen.
In den Stunden vor der Veröffentlichung gab es erste Leaks und gemäss Statusmeldungen und Blog Posts von Upsun und Cloudflare wurden erste Angriffe registriert als Angreifer versucht haben, diese Sicherheitslücke auszunutzen. Wie im Nachhinein bekannt wurde, war der Veröffentlichung eigentlich auf den 22. Oktober geplant, ohne vorherige Ankündigung, wurde aber wegen diesen ersten Leaks einen Tag vorverschoben und angekündigt. Eine weitere Anpassung war nicht möglich, weil dieser Release-Zeitpunkt mit Dutzenden von Partner (Hosting-Anbieter, CDN-Dienstleister, Betriebsystemen wie Debian/Ubuntu) koordiniert war, damit ab Veröffentlichung die Fixes für möglichst viele Webseiten gleichzeitig zur Verfügung standen.
Die Fixes wurden dann termingerecht veröffentlicht, worauf sich Upsun zusammen mit unzähligen anderen Dienstleistern sofort daran gemacht hat, die Updates auf alle Projekte zu deployen, dies passierte automatisch und erforderte von uns keine manuellen Eingriffe.
Wir überwachen die Situation weiterhin aktiv, da es möglich ist, dass in nächster Zeit weitere ähnliche Sicherheitslücken bekannt werden, gegen die der aktuelle Schutz noch nicht ausreichend ist.
Wir möchten zum Abschluss spezifisch auf den Blog Post der PHP Foundation hinweisen, welche erläutert wie diese Sicherheitslücken identifiziert und behoben wurden und insbesondere, wie wichtig es ist, dass solche Organisation, welche solch eine unglaubliche Verantwortung tragen, finanziell unterstützt werden:
Today's PHP Security Release, and How We're Strengthening PHP Security
