Achtung!! PhP Sicherheitslücke.

[Xenos Yifu]

Ich habe das bewusst meinem Hoster Netcup überlassen.
Es betraf ja nur meinen Webhosting Server, nicht den Grid Server, der hat ja nichts mit PHP am Hut.
Da ihr ja alle, wie ich, neugierig seid. Hier könnt ihr den Verlauf der Krise nachlesen.
https://www.netcup-status.de/

[Akira]

Da ihr ja alle, wie ich, neugierig seid. Hier könnt ihr den Verlauf der Krise nachlesen.

Auch spannend, wie es weltweit aussieht: https://php2shell.censys.com/

[Jupiter Rowland]

Alter Verwalter...

Spitzenreiter ist PHP 7.4. Entweder gibt's jede Menge PHP-Webanwendungen, die bis heute nicht auf PHP 8 aktualisiert sind oder gar überhaupt nicht mehr weiterentwickelt werden. Oder es gibt jede Menge Admins, die sich am von Debian inspirierten Credo "alt = stabil" festkrallen. Debian oldoldstable (bullseye) hat nämlich PHP 7.4.21. Wobei ich auch mit Webservern rechne, die mit PHP 7.4 aufgesetzt und dann nie aktualisiert wurden.

Die 17,6% PHP 8.3, bzw. die ungefixte Hälfte, dürften größtenteils auf das Konto von Schlafmützen gehen, die ihre Server nur dann aktualisieren, wenn sie gerade Zeit und Bock haben, und Tech-News nicht verfolgen. Okay, plus diejenigen Wald-und-Wiesen-Webanwendungen, deren Entwickler sie bis heute nicht für PHP 8.4 freigegeben haben. Und das, obwohl es schon PHP 8.5, 8.6 und 9.0 gibt.

PHP 8.2 dürfte zu einem erheblichen Teil auf die Kappe von Debian oldstable (bookworm) gehen. Wie gesagt: Wozu aktualisieren, wenn's doch läuft? Und wenn der Server vom Admin derart mit Eigenbauskripten und selbstkompiliertem Kram verfrickelt wurde, daß er sich den Aufwand eines Distributions-Upgrade nur alle fünf Jahre oder so machen will, weil der Server dann jedes Mal ein paar Tage stillstehen würde...

PHP 5 kommt insgesamt noch auf ca. 14,5% und sogar PHP 4 noch auf 0,6%. Das gibt einem echt zu denken. Das letzte Debian mit PHP 4 war sarge, und schon bullseye und bookworm werden nicht mehr supportet. Ein Server, der noch so alte Debian-Versionen fährt, hat definitiv noch ganz andere Probleme als PHP. Wahrscheinlich sind die eh schon seit Jahren Teile von Botnetzen, und die Admins haben es bis heute nicht gemerkt.

Zugegeben, PHP ist eine Zicke. Versionen sind mitunter weder aufwärts- noch abwärts- noch in irgendeine andere Richtung kompatibel. Mit jeder neuen Unterversion müssen PHP-Anwendungen dagegen getestet und häufig auch angepaßt werden.

Aber mal ganz ehrlich: Wer einen zum Internet offenen Server betreibt wie den eigenen Windows-PC, also einmal installieren und dann nie Updates installieren, weil Updates doof und nervig sind, dem sollte eigentlich das Betreiben jeglicher Server verboten werden.

Wobei Mareta ja schon das Internet of Things erwähnt hat. Und da wird wohl auch sehr viel PHP verwendet. IoT heißt aber auch: Wenn du Glück hast, wird dein Endgerät mit Updates versorgt, bis das Nachfolgemodell rauskommt. Wenn du richtig Glück hast, wird dein Endgerät noch ein paar Jährchen länger mit Updates versorgt. Wenn du Pech hast, sind Updates überhaupt nicht vorgesehen, und das Ding wird auf ewig auf dem Softwarestand bleiben, auf dem du es gekauft hast. Oder die wurden gebaut von irgendeiner kleinen Chinaklitsche, die es zu dem Zeitpunkt, wo sie verkauft wurden, schon gar nicht mehr gab. Und schlimmmstenfalls hat die Chinaklitsche ihrerseits schon hoffnungslos veraltete Software verwendet.

Generell ist beim IoT auch ein Problem, daß da gern Super-Spezialhardware mit Super-Spezial-Closed-Source-Binärtreibern zum Einsatz kommt. Wenn die Treiber auf neuere Kernelversionen nicht angepaßt werden, weil der Hersteller z. B. jeglichen Linux-Support oder gleich die Geschäftstätigkeit eingestellt hat, dann ist eh Essig mit Aktualisieren. Dann lassen es die Gerätehersteller lieber ganz sein und liefern nicht mal Sicherheitsfixes. Okay, wenn Sicherheitsfixes bedingen, daß man in den winzigen Flash-Speicher auf einmal zwei oder drei gcc-Versionen quetschen muß statt der einen, die man ursprünglich brauchte...

Übrigens immer wieder spaßig, wenn man irgendwie herausfindet, worauf ein smartes Gerät läuft. Und da steht dann irgendwas mit "Linux 2.6" oder gar "Linux 2.4".