Laut Google Cloud sind PHP 5.4 bis 8.5.11 betroffen; Korrekturen gibt es in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter sind nicht mehr unterstützt.

Unsichtbare Abhängigkeiten

PHP steckt in Servern, Containern, serverlosen Funktionen und Administrationsoberflächen.

Testsysteme und alte Images können von der Produktion abweichen. Zuerst braucht es ein verlässliches Inventar.

Patching ist kein einzelner Klick

Manche Managed-Dienste aktualisieren automatisch, andere müssen neu gebaut und ausgerollt werden. Linux-Anbieter können Patches zurückportieren, ohne die sichtbare Versionsnummer stark zu ändern.

Maßgeblich ist daher der Sicherheitshinweis des Anbieters. Ein WordPress-Update reicht nicht zwangsläufig.

Exponierte Systeme zuerst

Internetdienste und Systeme mit sensiblen Daten haben Priorität. Protokolle sollten gesichert, Herstellerhinweise beachtet und Deployments geprüft werden.

Eine Web Application Firewall ersetzt keinen Patch. Alt-Systeme benötigen Migration oder dokumentierte Übergangsmaßnahmen.

Une alerte sur la dette technique

Die Lücken belegen nicht, dass jede PHP-Seite kompromittiert wurde.

Conclusion

Die Lücken belegen nicht, dass jede PHP-Seite kompromittiert wurde.