Was ist passiert?

PHP wird unter anderem von WordPress und vielen weiteren Webseiten und Webservern eingesetzt. Unter bestimmten Voraussetzungen könnten Angreifer die Schwachstellen ausnutzen, um Schadcode auszuführen, auf gespeicherte Daten zuzugreifen oder Webseiten zu manipulieren. Die Sicherheitslücken betreffen PHP selbst und liegen nicht in unseren eigenen Systemen und Anwendungen.

Da eine Ausnutzung kurz nach Veröffentlichung der Sicherheitsupdates als wahrscheinlich galt, haben wir unmittelbar Schutzmaßnahmen ergriffen.

Was wir unternommen haben

Nachdem die Sicherheitslücken bekannt wurden, haben wir umgehend reagiert. Um unsere Kundensysteme zu schützen, wurden folgende Maßnahmen durchgeführt:

• Betroffene Systeme vorsorglich abgeschaltet: Vor der Veröffentlichung der Sicherheitsupdates haben wir die betroffenen Systeme offline genommen.
• Sicherheitsupdates installiert: Sobald die Updates verfügbar waren, haben wir die betroffenen PHP-Versionen auf unseren Plesk-Systemen aktualisiert. Dies umfasst auch Sicherheitsupdates für PHP 7.4 und neuere Versionen. PHP-Versionen 7.2 und 7.3 wurden von uns abgeschaltet.
• Plesk-Systeme wieder in Betrieb genommen: Nach der Aktualisierung konnten wir diese Systeme wieder online schalten.
• Ältere Hosting-Plattform bleibt offline: Die Server unserer Server-/Reseller-Interface-Plattform und Sonderlösungen für PHP 5.6 bleiben aus Sicherheitsgründen weiterhin abgeschaltet. Über den aktuellen Stand und das weitere Vorgehen informieren wir gesondert.

Warum wir die Systeme abgeschaltet haben

Bei kritischen Sicherheitslücken besteht das Risiko, dass Angreifer sie ausnutzen, bevor Sicherheitsupdates verfügbar sind. Deshalb haben wir die betroffenen Systeme vorsorglich offline genommen, um unsere Kundinnen und Kunden sowie ihre Webseiten und Daten zu schützen.

Uns ist bewusst, dass die Ausfälle für Sie ärgerlich waren und insbesondere geschäftlich genutzte Webseiten beeinträchtigt haben. Wir bedauern die damit verbundenen Einschränkungen. Die Abschaltung war eine notwendige Vorsichtsmaßnahme, um die betroffenen Systeme und die darauf gespeicherten Daten zu schützen.

Hinweis zu kundenseitig verwalteten Systemen

Bei sogenannten Unmanaged Servern, die wir lediglich bereitstellen, sind Sie als Kunde für die Administration, Absicherung, Wartung und Installation von Updates verantwortlich. Das gilt auch für Systeme, die wir wegen fehlender Mitwirkung oder benötigter Zugänge Ihrerseits nicht aktualisieren können.

In diesen Fällen liegen die Verantwortung für den sicheren und aktuellen Betrieb sowie die daraus entstehenden Risiken bei Ihnen. Das Risiko und die Haftung für Folgen, die aus einem nicht aktualisierten oder nicht ausreichend abgesicherten System entstehen, gehen auf Sie als Kunden über.

Unsere Empfehlung: Software aktuell halten

Bitte prüfen Sie Ihre Webseite regelmäßig auf verfügbare Updates. Achten Sie dabei insbesondere auf:

• eine möglichst aktuelle und offiziell unterstützte PHP-Version
• Updates für Ihr Content-Management-System, zum Beispiel WordPress
• aktuelle Versionen Ihrer Themes, Plugins und Erweiterungen
• die Entfernung nicht mehr benötigter oder nicht mehr unterstützter Software

Regelmäßige Updates helfen, bekannte Sicherheitslücken zu schließen und das Risiko eines Angriffs zu verringern.

Weitere Informationen

BSI: Informationen zu den kritischen PHP-Sicherheitslücken
PHP: Offizielle Informationen zu den Sicherheitsupdates