Der gefährlichste Moment im Leben einer Schwachstelle ist nicht der Tag, an dem sie öffentlich wird. Es sind die Tage davor – in denen Angreifer einen funktionierenden Exploit haben und Verteidiger nichts zum Installieren.
Genau das ist nach Berichten von Wired bei einer Reihe von PHP-Schwachstellen passiert: Die Ausnutzung begann Tage, bevor Patches veröffentlicht wurden. Diese Reihenfolge ist entscheidend. In diesem Fenster waren die Lücken faktisch aktiv genutzte Zero-Days, und jede PHP-Installation im Internet – vom einzelnen virtuellen Server mit einem kleinen Forum bis zum Shared Hosting mit Tausenden Kundenseiten – war exponiert, ohne dass eine Korrektur zur Verfügung stand.
PHPs Position macht die Exposition ungewöhnlich breit. Die Sprache trägt weiterhin einen großen Teil des Webs, viel davon auf geteilter Infrastruktur, wo die Person, die den Code kontrolliert, und die Person, die den Update-Zeitplan kontrolliert, nicht dieselbe sind. Ein am Montag veröffentlichter Patch bedeutet keinen am Montag installierten Patch; Distributionen, Control Panels und Hosting-Anbieter addieren jeweils ihre eigene Verzögerung.
Die praktische Lehre ist nicht neu, wird aber immer wieder neu gelernt: Der Teil der Risikokurve, den eine Organisation tatsächlich kontrolliert, ist das Intervall zwischen "Fix verfügbar" und "Fix installiert". Ein Inventar der eingesetzten PHP-Versionen, eine benannte Zuständigkeit für Upgrades und ein getesteter Rollback-Pfad bewirken mehr als jede Threat Intelligence über bereits kursierende Exploits.
Der Wired-Bericht dokumentiert das Ausnutzungsfenster; die betroffenen Versionen und Kennungen stehen im Advisory des Projekts – das ist das Dokument, gegen das eine laufende Installation geprüft werden sollte.
