Sicherheit hat mich heute um 6:12 Uhr morgens angerufen. „Patchen Sie jeden PHP-Server sofort.“ Ich fragte, was passiert sei. „Zwei kritische Schwachstellen. Remote-Code-Ausführung. Keine Authentifizierung erforderlich.“ Cool. Wie viele PHP-Server haben wir? Laut Inventar: 12 Laut Realität: Niemand weiß es. Wir haben einen gefunden, der WordPress läuft. Drei, die alte interne Tools betreiben. Einen unter dem Schreibtisch von jemandem. Zwei in Vendor-Geräten. Ein vergessenes Mitarbeiterverzeichnis aus 2016. Und einen Server namens: PHP-OLD-DO-NOT-TOUCH Natürlich betreibt der die Gehaltsabrechnungen. Dann haben wir einen PHP-5.6-Box gefunden. Ich fragte, wem er gehört. Die Dokumentation sagte: BRIAN. Brian ist 2019 gegangen. Wir haben Brian angerufen. Er sagte: „Oh wow, der läuft immer noch?“ Ausgezeichnet. Um 8 Uhr morgens hat die Führungsebene dem Incident-Call beigetreten. CEO: „Können Hacker wirklich reinkommen?“ Sicherheit: „Potenziell ja.“ CEO: „Ohne Passwort?“ Sicherheit: „Ja.“ CEO: „Warum brauchen dann WIR Passwörter?“ Nicht die Lektion. Die Finanzabteilung fragte, ob wir nicht bis zum Wochenende mit dem Patchen warten könnten, weil Ausfälle den Umsatz beeinträchtigen. Sicherheit erklärte, dass die Alternative darin besteht, Fremden Code auf unseren Servern ausführen zu lassen. Die Finanzabteilung verlangte einen Kostenvergleich. Um 9:17 Uhr schlug jemand vor, die anfälligen Websites vorübergehend offline zu nehmen. Marketing weigerte sich. „Unsere Kampagne ist live.“ Also hat das Unternehmen in der nächsten Stunde offiziell beschlossen, dass das Aufrechterhalten einer Landingpage für 20 % Rabatt auf Webinar-Registrierungen wichtiger ist als die Verhinderung einer Remote-Serverübernahme. Wir haben schließlich alles gepatcht, was wir finden konnten. Dann entdeckte unser Scanner einen weiteren PHP-Server. Hostname: TEMP-PHP-2014 Laufzeit: 4.512 Tage. Niemand weiß, was er tut. Niemand besitzt ihn. Niemand kann ihn abschalten. Aber jedes Mal, wenn wir den Netzwerkzugriff blockieren, hört das Lager auf, Versandlabels zu drucken. Sicherheit hat ihn als kritische Infrastruktur eingestuft. Er läuft PHP 5.4. Die Schwachstelle existiert länger als die Hälfte unserer Mitarbeiter. Der Notfall-Patch hat vier Stunden gedauert. Herausfinden, was PHP tatsächlich betreibt, hat elf. Das Internet wird nicht mit Code zusammengehalten. Es wird mit Servern zusammengehalten, vor denen sich jeder fürchtet, sie auszuschalten.