Schon wieder PHP

“Oops, they did it again.” Kaum hat man das Gefühl, die Serverlandschaft nach dem letzten großen Getöse eingermaßen geflickt zu haben, schleicht schon das nächste PHP-Problem um die Ecke. Oder ist PHP einfach nur das Problem das immer mal wieder stirbt?

Der letzte Patch war doch gerade erst, da kommt schon die nöchste Übergangslösung: session.upload_progress.enabled in der php.ini auf off drehen und Abwarten, däumchen drehen und dann wenn es weitere Dinge gibt - reagieren und den Patch einspielen.

Wie es aussieht, ist dieser ganze Nachspiel-Zirkus direkt mit dem jüngsten Vorfall und dessen übereilter Mitigation verknüpft oder zumindest eng verwandt. Das bedeutet natürlich auch, während PHP nachbessert, rollt bereits die Welle aus KI-generierten “Vibe-Coded”-Exploits durch das Netz. Die Automatisierung testet fleißig jeden offenen Port, der nicht bei Drei auf den Bäumen ist.

An dieser Stelle ein kleiner Appell an die Boulevard- und Tech-Presse: Könntet ihr diesmal bitte einfach für fünf Minuten die Klappe halten? Kein Grund, das Thema wieder bis zur absoluten Hysterie aufzublasen, damit auch wirklich der letzte Skript-Kiddie mitbekommt, wo man gerade ungefragt eintreten kann. Der letzte Medienrummel hat uns erst in diese beschissene Lage gebracht.

Dass da draußen unzählige PHP-Kisten ungepatcht im öffentlichen Netz stehen, überrascht vermutlich niemanden mehr, der den Beruf länger als zwei Stunden gemacht hat: PHP ist irgendwie ein nicht tot zu bekommendes Ungetüm, dass meist noch irgendwo in den Tiefen der verschiedensten Servern schlummert.

Ich bereue es jedenfalls keine einzige Sekunde, meine internen Dienste konsequent hinter einen soliden VPN-Tunnel verfrachtet zu haben. Öffentlicher Zugang? Fehlanzeige.

Wenn die automatisierte Meute anklopft, bleibt mir nur das alte Gandalf-Zitat: “Ye shall not pass!” - zumal mir schlichtweg die virtuellen E-Scooter ausgegangen sind, um die Zufahrtswege zu meinen Anwendungen zu verstopfen - oder waren es die guten Manieren diese Teile nie zu benutzen?