Onlineshop und PHP-Lücke: Kundendaten und Zahlungen schützen

Die Lücke erlaubt Servercode ohne Passwort mit CVSS-Wert 9,2 von 10 laut Tenable. Bei normalen Websites verändern Angreifer Seiten; bei Shops lesen sie zusätzlich Kundendaten und Bestellungen aus oder leiten Zahlungen zu gefälschten Seiten um.

Einige Faustregeln:

• WooCommerce, PrestaShop, Magento: immer PHP. Laut Help Net Security sind alle Versionen ab PHP 5 betroffen.
• Shopify und vollständig gehostete Plattformen: verwalten Server selbst; Sie müssen PHP nicht aktualisieren.
• Gehosteter Shop mit eigenem WordPress-Blog oder Website: dieser Teil nutzt PHP und braucht Aktualisierung.

Der kostenlose PHP-Check von Marketing Scan gibt bei Unsicherheit in zehn Sekunden Hinweise.

Fragen Sie nach genauer Version und Aktualisierung auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12. Bei PHP 8.1 oder älter gibt es keine Korrektur; mindestens 8.2 ist nötig.

Alte Plugins oder Module können dabei brechen. Sorgen Sie für:

1. vollständige Datei- und Datenbanksicherung;
2. Test auf einer Shopkopie, falls möglich;
3. ruhigen Zeitpunkt, etwa abends mit wenigen Bestellungen.

Prüfen Sie selbst oder mit Ihrem Webdienstleister:

• Kleine Testbestellung wirklich bezahlen. Kommt die Bestätigungsmail?
• Administratoren prüfen. Gibt es unbekannte Konten?
• Ziel des Zahlungsbuttons kontrollieren. Führt er zum echten Anbieter?
• Bestellungen mit Anbieterzahlungen vergleichen. Abweichungen sind Hinweise.
• Unerwartete neue oder geänderte Serverdateien erfragen.

Das hängt vom Ablauf ab. Kleine Shops leiten meist zu externen Zahlungsanbietern weiter; Kartendaten liegen dort statt auf Ihrem Server. Ein Angreifer könnte aber den Zahlungslink durch eine Fälschung ersetzen.

Direkte Zahlungsabwicklung auf Ihrer Website erhöht das Risiko. Besprechen Sie dies mit Entwickler und Zahlungsanbieter und erwägen Sie vorübergehendes Offlinegehen bei verzögertem Update. Firewalls bremsen vorübergehend; laut Patchstack löst nur Aktualisieren das Problem vollständig.

Eine Schwachstelle allein ist kein Datenleck. Melden Sie, wenn personenbezogene Kundendaten tatsächlich in falsche Hände gelangt sein könnten, etwa bei Einbruchsspuren.

Dann muss nach DSGVO innerhalb 72 Stunden ab Entdeckung bei der belgischen Datenschutzbehörde gemeldet werden. Notieren Sie sofort Feststellungen, Zeitpunkt und möglicherweise betroffene Daten.

• Alle Passwörter ändern: Administratoren, Hosting, Datenbank und Zahlungsanbieter.
• Neue API-Schlüssel anfordern beim Zahlungsanbieter und verbundenen Diensten.
• Zurückgelassene Dateien suchen lassen. Das Update schließt die Tür, entfernt aber keinen Eindringling.
• Sicherung vor dem Einbruch wiederherstellen, falls Änderungen unklar sind.

Am 21. Oktober meldete das CCB noch keine erfolgreichen belgischen Angriffe, berichtet VRT NWS.