Drei Wochen nach der Warnung. Die Websites im Ortenaukreis nach PHP2Shell

PHP ist die Programmiersprache, auf der WordPress und viele andere Website-Systeme laufen. Über die beiden Lücken kann ein Fremder ohne Passwort eigene Befehle auf dem Server einer Website ausführen. Das PHP-Projekt schreibt, es gebe keinen vollständigen Schutz außer dem Update. Das Bundesamt für Sicherheit in der Informationstechnik hat auf der zweithöchsten Stufe gewarnt. Seit dem 26. Oktober bestätigt die US-Behörde CISA, dass die Lücken für Angriffe genutzt werden.

85 Seiten nennen eine PHP-Version, deren Pflege ausgelaufen ist

Jede siebte Seite schickt jedem Besucher mit, welche PHP-Version auf ihrem Server läuft. Das sind 264 Seiten. Bei 85 davon ist es eine Version, für die das PHP-Projekt keine regulären Updates mehr herausgibt.

Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team wegen PHP2Shell ausnahmsweise einen Notfall-Patch nachgereicht. Eine neue Version gibt es dafür nicht, der Hoster muss den Patch selbst einbauen. Für die 24 Seiten mit PHP 7.3 oder älter kommt vom PHP-Projekt nichts.

Von 179 Seiten mit PHP 8.2 oder neuer zeigen nur zwei eine Version vor dem Update vom 21. Oktober.

Ob ein Hoster nachgebessert hat, ist an der Versionsnummer nicht zu erkennen. Die übrigen sechs von sieben Seiten zeigen ihre Version nicht.

Jede vierte erkennbare WordPress-Seite zeigt Software mit bekannten Lücken

Fast jede dritte Firmen-Website im Kreis läuft mit WordPress, 597 Seiten. Bei 444 ist die Version zu erkennen.

• 50 laufen auf einer Version, die WordPress selbst als unsicher führt. Die älteste ist WordPress 4.5 aus dem Jahr 2016.
• 32 Seiten setzen ein Zusatzprogramm (Plugin) ein, das WordPress wegen eines Sicherheitsproblems aus seinem Verzeichnis entfernt hat.
• Rechnet man PHP, WordPress, Plugins und die Programmbibliothek jQuery zusammen, zeigt jede vierte WordPress-Seite mit erkennbarer Version mindestens eine Software mit bekannten Lücken oder ohne reguläre Updates.

Über alle Systeme hinweg lädt jede sechste Seite, bei der es sich erkennen lässt, eine jQuery-Version aus dem Jahr 2019 oder früher. Deren Lücken sind seit April 2020 bekannt.

Vier Firmenadressen zeigen heute Casino-Werbung

Im Kartendienst OpenStreetMap stehen sie noch als Website eines Betriebs, unter anderem einer Arztpraxis, einer Ferienwohnung und eines Hotels. Wer die Adresse heute öffnet, landet auf Vergleichsseiten für Online-Casinos oder auf indonesischer Glücksspielwerbung.

Ob die Seiten gehackt wurden oder ob die Domain ausgelaufen ist und ein anderer sie übernommen hat, lässt sich von außen nicht unterscheiden.

Wenn die Seite nicht aufgeht

Jedes dritte Impressum beruft sich auf ein abgeschafftes Gesetz

Das Telemediengesetz gibt es seit dem 14. Mai 2024 nicht mehr, die Impressumspflicht steht seitdem im Digitale-Dienste-Gesetz. 497 von 1.452 Impressen, die wir lesen konnten, nennen weiter nur das Telemediengesetz.

Bei jeder fünften Seite mit Jahreszahl in der Fußzeile steht dort 2023 oder früher, bei 54 Seiten 2020 oder früher. Die älteste nennt 1997.

150 verschiedene Netze

Die Websites liegen bei 150 verschiedenen Netzbetreibern. Am häufigsten sind IONOS (16 Prozent), Hetzner (11 Prozent), All-Inkl.com und Strato (je 8 Prozent). Bei weiteren 174 Seiten sitzt der Dienst Cloudflare davor, dort ist der eigentliche Server von außen nicht zu sehen.

Wenn wir neue Kunden fragen, wo ihre Website liegt und wer die Updates einspielt, wissen es die wenigsten. Gebaut hat sie jemand vor Jahren, die Rechnung vom Hoster läuft irgendwo mit. Gemerkt wird ein Problem erst, wenn ein Kunde anruft.

So lässt sich die eigene Seite prüfen

• Den Webdienstleister oder Hoster fragen, welche PHP-Version auf der Seite läuft und ob das Update vom 21. Oktober eingespielt ist.
• Bei WordPress im Dashboard unter „Aktualisierungen“ nachsehen. Steht dort etwas, ist die Seite nicht auf dem aktuellen Stand.
• Bei Google site:eigene-domain.de casino eingeben. Erscheinen unbekannte Seiten, den Dienstleister fragen.
• Im Impressum nachsehen. Steht dort „§ 5 TMG“, gehört es auf „§ 5 DDG“ geändert.
• Aufschreiben, bei wem Domain und Website liegen, wer die Zugänge hat und wann die Domain verlängert wird.

Wie wir vorgegangen sind

Grundlage sind alle Betriebe im Ortenaukreis, die im Kartendienst OpenStreetMap mit einer Website eingetragen sind, am 10. November 2026 2.138 Domains. Ketten mit drei oder mehr Standorten im Kreis und Plattformen wie Facebook haben wir herausgenommen, es blieben 2.076. Am 11. November haben wir jede Startseite und, wo verlinkt, das Impressum einmal abgerufen.

Wir haben nichts angegriffen, keine Formulare benutzt und keine versteckten Pfade abgefragt. Ausgewertet haben wir nur, was jede Startseite jedem Besucher mitschickt, also die Kopfzeilen des Servers, die Versionsangaben in den Dateiverweisen, den Newsfeed, den die Seite selbst verlinkt, die Fußzeile und den Text des Impressums. Welche WordPress-Version unsicher ist, sagt die offizielle Liste von WordPress (api.wordpress.org), welches Plugin aus Sicherheitsgründen entfernt wurde, das Plugin-Verzeichnis. Den Netzbetreiber haben wir über die IP-Adresse ermittelt.

Viele Seiten zeigen ihre Versionen nicht, über sie sagt diese Zählung nichts. Eine Seite, die hier unauffällig ist, kann trotzdem befallen sein; manche Angriffe zeigen ihre Inhalte nur Suchmaschinen. OpenStreetMap ist nicht vollständig, Betriebe ohne Eintrag fehlen.

Welche Betriebe betroffen sind, veröffentlichen wir nicht.

Kartendaten © OpenStreetMap-Mitwirkende öffnet in neuem Tab, verfügbar unter der Open Database License (ODbL).