Die kürzlich bekannt gewordenen “PHP2Shell” Sicherheitslücken setzen Betreiber von PHP-basierten Webseiten unter erheblichen Handlungsdruck. Sicherheitsupdates sind verfügbar – doch gerade bei älteren Anwendungen bedeutet das nicht, dass sie sich ohne Weiteres installieren lassen.
Gleichzeitig zeigt der Vorfall eine größere Entwicklung: KI unterstützt Sicherheitsforscher dabei, lang bestehende Schwachstellen aufzudecken und komplexe Angriffsketten praktisch umzusetzen.
Damit stellt sich eine Frage, die weit über den nächsten Notfall-Patch hinausgeht: Kann die Wartung der Websysteme mit dieser Entwicklung Schritt halten?
Ein verfügbarer Patch löst nicht jedes Problem
PHP hat Sicherheitsupdates für die unterstützten Versionszweige 8.2 bis 8.5 veröffentlicht. Ältere Installationen sind auf zurückportierte Sicherheitskorrekturen ihrer Anbieter, spezielle Quellcode-Anpassungen oder ein Upgrade angewiesen. Für PHP 7.4, 8.0 und 8.1 wurden ausnahmsweise minimale Quellcode-Backports bereitgestellt.
Für Unternehmen bleibt jedoch eine praktische Herausforderung: Ein Versionswechsel kann Anpassungen an der Anwendung, ihren Erweiterungen und Schnittstellen erfordern. Dazu kommen Tests und die Planung einer sicheren Umstellung.
Bis dahin können Einschränkungen der Erreichbarkeit oder die vorübergehende Abschaltung einzelner Dienste notwendig werden. Aus einem Sicherheitsvorfall wird so schnell ein ungeplantes Modernisierungsprojekt – mit Auswirkungen auf Verfügbarkeit, den laufenden Betrieb und die Kosten.
KI verändert die Bedingungen
Laut Wiz Research unterstützte die KI das Forschungsteam bei der Untersuchung der Schwachstellen sowie bei der Entwicklung und Anpassung funktionierender Exploits. Die Komplexität, die eine Ausnutzung bisher erschwerte, wurde dadurch leichter überwindbar.
KI unterstützt damit die Verteidigung. Dieselben Fähigkeiten können aber auch Angreifern helfen, Schwachstellen schneller zu untersuchen und Angriffe vorzubereiten.
Daraus lässt sich eine wichtige Konsequenz für die Architektur ableiten: Je weniger unnötige Komponenten öffentlich erreichbar sind, desto weniger solcher Komponenten müssen gegen neue Angriffsmöglichkeiten abgesichert werden.
Siehe auch:
Welche Bestandteile benötigt nun eine Webseite tatsächlich, um ihre Aufgabe zu erfüllen?
Muss jede Webseite Inhalte bei jedem Aufruf neu erzeugen?
Viele Unternehmenswebseiten, Blogs und Dokumentationsportale werden mit WordPress, Joomla oder Drupal betrieben. Diese Systeme ermöglichen eine komfortable Inhaltsverwaltung. Ihre klassische Architektur erzeugt Webseiten jedoch dynamisch: Beim Seitenaufruf verarbeitet PHP die Anfrage, lädt Inhalte aus der Datenbank und setzt daraus die Seite zusammen.
Caching kann diesen Vorgang für viele Aufrufe vermeiden. Die zugrunde liegende PHP- und CMS-Installation bleibt aber bestehen und muss einschließlich ihrer Erweiterungen gepflegt und abgesichert werden. Für Webseiten, deren Inhalte sich hauptsächlich durch redaktionelle Bearbeitung ändern, lohnt sich deshalb die Frage:
Warum Seiten immer wieder dynamisch erzeugen, wenn sich ihr Inhalt seit der letzten Veröffentlichung nicht verändert hat?
Ein anderer Ansatz besteht darin, die Seiten bereits bei der Veröffentlichung zu erstellen. Werkzeuge wie Astro erzeugen fertige HTML-, CSS- und JavaScript-Dateien, die anschließend direkt ausgeliefert werden. Für den Abruf dieser Seiten sind weder PHP-Ausführung noch Datenbankabfragen erforderlich.
Die komfortable Inhaltsverwaltung bleibt dabei erhalten: Mit einem getrennten CMS wie Soveri Content können Redakteure Inhalte erstellen, bearbeiten und veröffentlichen. Die öffentliche Webseite stellt anschließend die daraus erzeugten Seiten bereit.
Zusätzliche Funktionen wie Formulare, Suche oder geschützte Bereiche werden gezielt ergänzt. Für umfangreiche Shops, Mitgliederportale oder stark personalisierte Anwendungen muss gesondert geprüft werden, welche Architektur zu den Anforderungen passt.
Der Internet Computer als Hosting-Alternative
Der Internet Computer (ICP) kann Webseiten und Anwendungen direkt über sogenannte Canister bereitstellen. Diese führen WebAssembly-Code aus und können sowohl Inhalte als auch Anwendungslogik und Daten verwalten. Eine eigene klassische Webserver- und Datenbankinstallation ist dafür nicht erforderlich. Für vorab erzeugte Webseiten bietet dieser Ansatz konkrete Vorteile:
- Keine öffentliche PHP-Laufzeit: Die veröffentlichten Dateien werden ohne PHP-Verarbeitung bereitgestellt. Die betroffene PHP-Komponente ist damit in diesem Auslieferungspfad nicht vorhanden.
- Kryptografisch überprüfbare Inhalte: Zertifizierte Antworten ermöglichen einem verifizierenden HTTP-Gateway zu prüfen, ob die ausgelieferten Inhalte dem vom Canister bestätigten Zustand entsprechen.
- Weniger selbst betriebene Serverkomponenten: Für diese Bereitstellung entfällt die Verwaltung einer eigenen PHP- und klassischen Webserver-Installation.
Auch andere statische Hosting-Ansätze können eine öffentliche PHP-Laufzeit vermeiden. ICP ergänzt diesen Ansatz um seine dezentrale Architektur und zertifizierte Inhaltsauslieferung.
Bereits im Einsatz: Unsere eigenen Webseiten
Wir setzen diesen Ansatz bereits selbst um: Unsere Webseiten, darunter samlinux.at und soveri.at, laufen auf dem Internet Computer. Dabei kombinieren wir mit Astro erstellte Webseiten mit der dezentralen Bereitstellung am Internet Computer.
Mit Soveri Content bieten wir außerdem ein Content-Management-System an, mit dem sich Inhalte über eine redaktionelle Oberfläche erstellen, bearbeiten und veröffentlichen lassen – wie man es grundsätzlich von WordPress kennt.
Der Unterschied liegt in der Architektur: Inhaltsverwaltung und öffentliche Webseite sind voneinander getrennt. Die veröffentlichten Seiten werden vorab erzeugt und auf dem Internet Computer bereitgestellt. Damit bleibt die Webseite für Redakteure einfach zu pflegen, während ihre öffentliche Bereitstellung ohne PHP-Laufzeit auskommt.
Jetzt die Architektur überprüfen
Auch ICP-Anwendungen benötigen eine sichere Programmierung, eine sorgfältige Rechteverwaltung und gepflegte Abhängigkeiten. Die Verantwortung für die Sicherheit bleibt bestehen; die zu betreibenden Komponenten und ihre Risiken verändern sich jedoch.
Für betroffene PHP-Systeme hat die Absicherung jetzt Vorrang. Darüber hinaus bietet “PHP2Shell” einen konkreten Anlass, bestehende Architekturentscheidungen zu überprüfen.
Wenn KI die Suche nach Schwachstellen beschleunigt, gewinnt die bewusste Reduktion von Angriffsflächen an Bedeutung.
Mit Soveri Content und dem Internet Computer bieten wir einen praktischen Weg, komfortable Inhaltsverwaltung mit einer anderen Form des Webseiten-Hostings zu verbinden.
Ist dieser Ansatz auch für Ihre Webseite geeignet? Wir unterstützen Sie bei der Bewertung und einer möglichen Umstellung.
