The Php Times

Zwei kritische PHP-Schwachstellen haben Administratoren und Organisationen in mehreren Ländern dazu gebracht, Server zu prüfen und dringend Updates einzuspielen. Einige Websites gingen während der Behebung oder der Schutzprüfung vorübergehend offline. OpenAI hat für Codex einen Checker zur ersten Versionsprüfung veröffentlicht.

skill-installer install both skills from https://github.com/openai/php2shell-checker
phpcheck-url check https://expasy.org/

Die Anwendung läuft in der ChatGPT-Desktop-App. Codex wird über den Auswahlbereich oben geöffnet. Für eine öffentliche URL sind weder ein PHP-Projekt noch ein Serverzugang nötig. Die beiden Skills stammen aus dem offiziellen GitHub-Repository von OpenAI, openai/php2shell-checker. Codex erkennt phpcheck-url und phpcheck-server und fragt anschließend nach der Erlaubnis, auf das Internet zuzugreifen und Dateien im Skills-Verzeichnis zu schreiben. Installiert werden Anweisungen und ein kleines Skript, nicht PHP selbst und keine umfangreiche Anwendung.

phpcheck-url ist für öffentliche Websites gedacht. Im Beispiel wird Expasy.org geprüft. Der Checker sendet zunächst eine HEAD-Anfrage. Lehnt der Server diese Methode ab, kann das Werkzeug auf GET ausweichen. Es liest öffentliche Antwort-Header wie Server und X-Powered-By, lädt den Seiteninhalt aber nicht zur Analyse herunter. Exploit-Anfragen werden nicht ausgeführt.

Bei Expasy.org lautete das Ergebnis UNKNOWN. Die Website gab damit keine identifizierbare PHP-Version preis. Das beweist weder eine Schwachstelle noch deren Behebung. VULNERABLE bedeutet, dass die erkannte Version in den vom Checker erfassten betroffenen Bereich fällt. OK steht für eine Version oberhalb des eingebauten Schwellenwerts. UNKNOWN bedeutet, dass die Informationen für eine Einstufung nicht ausreichen. Kein Ergebnis ersetzt ein vollständiges Audit. Auch OK stützt sich nur auf die vom Server öffentlich gemeldete Version.

Mit Serverzugriff prüft phpcheck-server zunächst die lokale PHP-Version. Danach vergleicht der Skill sie mit der PHP-FPM- oder Apache-Installation, die die Website tatsächlich bedient. Das liefert belastbarere Informationen als eine externe Header-Prüfung. OpenAI empfiehlt trotzdem, das installierte Paket und die Hinweise des Anbieters zu prüfen. Distributionen können Sicherheitskorrekturen zurückportieren, ohne die Hauptversionsnummer zu ändern. Der Checker dient als erste Orientierung und beweist nicht, dass eine Website kompromittiert wurde oder sicher ist.