Rapid7, Entwickler von Metasploit und anderen Security-Tools, malt bereits die PHPocalypse an die Wand. Das dürfte leicht übertrieben sein. Tatsächlich endet aber dieses Jahr der Support für PHP 5.6 und 7.0.
Ab Januar 2019 erhalten nur noch PHP 7.1 (bis Ende 2019) und PHP 7.2 (bis Ende 2020) offiziellen Support. Sicherheitslücken in älteren PHP-Versionen werden dann nicht mehr behoben. Viele Hoster gehen daher dazu über, den Support für ältere Versionen von PHP einzustellen und ihre Kunden zu warnen. Offenbar nicht immer erfolgreich.
Mit dem hauseigenen Projekt Sonar hat der Metasploit-Anbieter Rapid7 mal bei verschiedenen Hostern in den HTTP-Headern nachgeschaut, welche PHP-Versionen dort zum Einsatz kommen. Bei rund 3 Millionen der gescannten Sites stießen die Security-Anbieter laut einem Blogpost auf veraltete PHP-Versionen. Laut Rapid7 liegt die tatsächliche Zahl an Seiten mit veraltetem PHP höher, weil die Header nicht immer korrekt konfiguriert sind.
Alibaba und AWS vorn
Die beiden Anbieter mit den meisten veralteten PHP-Versionen sind demnach Alibaba und Amazon AWS. Zwar können Hoster und Cloudanbieter die PHP-Versionen auf ihren selbst verwalteten Angeboten (Shared oder Managed Hosting) abschalten und aktualisieren, aber wenn Kunden veraltetes PHP auf ihren eigenen Servern betreiben, ist das schwieriger. Viele Kunden sind sich zudem häufig nicht bewusst, dass ihre Foren, Wikis, privaten Clouds oder CMS ein veraltetes PHP als Unterbau einsetzen.
Auch deutsche Kunden sind betroffen. Zwar gehören laut Rapid 7 mehr als 50 Prozent der veralteten PHP-Versionen zu amerikanischen und chinesischen Kunden, aber in der EU führt Deutschland als bevölkerungsreichstes Land auch die Liste der veralteten PHP-Versionen an. Immerhin: Für Admins könnte die drohende PHPocalypse eine solide Ausrede abgeben, um sich mit dem Laptop aus dem familiären Weihnachtstrubel auszuklinken.
