Die PHP Foundation hat sich ungewöhnlich offen zu einem heiklen Thema geäussert: Die beiden kritischen Sicherheitslücken, die unter dem Namen "PHP2Shell" bekannt sind, waren nicht neu, sie waren bereits vor Monaten entdeckt worden. Ein Sicherheits-Audit im Jahr 2024 hatte diese Schwachstellen identifiziert, aber die Öffentlichkeit erfuhr erst jetzt davon.
Dies wirft Fragen zur Koordination von Sicherheitsmassnahmen auf. Normalerweise folgt die IT-Sicherheit einem streng geregelten Prozess: Wenn eine Schwachstelle entdeckt wird, informiert der Finder den Entwickler, der daraufhin einen Fix entwickelt. Erst wenn der Fix verfügbar ist oder kurz davor, wird die Schwachstelle öffentlich bekannt gemacht. Dies gibt Administratoren Zeit, ihre Systeme zu patchen, bevor Angreifer die Lücke ausnutzen können.
Im Fall von PHP2Shell scheint dieser Prozess Monate in Anspruch genommen zu haben. Die Foundation erklärt, dass es Zeit brauchte, die Fixes zu entwickeln und zu testen. Dies ist zwar verständlich bei komplexen Sicherheitsproblemen, aber bei einem so kritischen Projekt wie PHP, das Millionen von Websites antreibt, ist eine so lange Zeitverzögerung problematisch.
Die Tatsache, dass die Foundation diese Verzögerung nun öffentlich zugibt, zeigt Transparenz, aber auch ein systemisches Problem: PHP-Entwicklung und Sicherheitsmanagement sind unterfinanziert. Während grosse Konzerne wie Google oder Microsoft schnell auf Sicherheitsmeldungen reagieren können, kämpft die PHP-Gemeinschaft mit begrenzten Ressourcen.
Für Unternehmen mit PHP-Systemen ist dies ein wichtiges Lernpunkt: Quelloffene Software ist zwar kostenlos und oft sicherer als proprietäre Alternativen, aber die Sicherheitspflege hängt von der Gemeinschaft und verfügbaren Ressourcen ab. Ein Monitoring von Sicherheitsmeldungen und schnelle Updates bleiben essentiell.