Prompt-Paket für PHP 8.3: Absicherung gegen kritische Schwachstelle

Eine kürzlich veröffentlichte Schwachstelle (CVE‑2024‑XXXX) deckte eine Remote-Code-Execution-Lücke in den neu hinzugekommenen Standard-Flags von filter_var() auf. Die Schwachstelle wurde innerhalb weniger Stunden gepatcht, doch die mit PHP 8.3 ausgelieferte Standardkonfiguration lässt das Flag deaktiviert, was bedeutet, dass jeder Legacy-Code, der auf implizite Bereinigung setzt, plötzlich angreifbar ist. Für ein SaaS-Produkt, das nutzergenerierte Inhalte verarbeitet, kann diese Lücke ein harmloses Formular innerhalb von Minuten in einen Angriffsvektor verwandeln.

Fazit: Prüfen Sie, ob die Sicherheitsstandards von PHP 8.3 aktiv sind, bevor Sie in die Produktivumgebung ausrollen. ## Überblick über das Prompt Pack Das One‑Click PHP 8.3 Security Hardening Prompt Pack ist eine Sammlung vorgefertigter Prompts für ChatGPT-artige Assistenten. Jeder Prompt erzeugt ein sofort einsatzbereites Skript oder einen Konfigurationsausschnitt, der eine bestimmte Härtungsmaßnahme durchsetzt. Das Pack enthält 12 Prompts; die drei wertvollsten für ein kleines Team sind:

php-hardener generate ini‑strict > php-hardening.diff Enter fullscreen mode Exit fullscreen mode Der Diff enthält:

@@ -12,7 +12,7 @@; Disable dangerous functions disable_functions = exec,passthru,shell_exec,system,proc_open,pcntl_exec -; Enable strict types globally (requires PHP 8.3+) -; This line is a placeholder +declare(strict_types=1);; Turn off exposure of PHP version expose_php = Off Enter fullscreen mode Exit fullscreen mode Wenden Sie ihn mit git apply php-hardening.diff an und starten Sie PHP‑FPM neu. Die Zeile declare(strict_types=1); wird in jede Datei eingefügt, die den Projekt-Autoloader einbindet, und garantiert so Type Safety, ohne jede Quelldatei einzeln anfassen zu müssen. Fazit: Ein einziger Befehl erzeugt einen versionierten Diff, der den Interpreter härtet und strict typing durchsetzt. ## Beispiel 2 – Erstellung einer minimalen SELinux-Policy Viele SaaS-Stacks laufen auf Ubuntu mit AppArmor, doch ein Teil der Kunden nutzt weiterhin CentOS mit SELinux.

Das Prompt Pack kann eine Policy ausgeben, die den Webserver auf das Document Root und das Composer-Verzeichnis vendor beschränkt.

php-hardener generate selinux‑policy --webroot /var/www/html --vendor /var/www/html/vendor > php_web.te Enter fullscreen mode Exit fullscreen mode plaintext

module php_web 1.0; require { type httpd_t; type httpd_sys_content_t; class file { read open }; } # Allow read access to the document root allow httpd_t httpd_sys_content_t:file { read open }; Enter fullscreen mode Exit fullscreen mode Kompilieren und laden Sie die Policy mit:

checkmodule -M -m -o php_web.mod php_web.te semodule_package -o php_web.pp -m php_web.mod semodule -i php_web.pp Enter fullscreen mode Exit fullscreen mode Die Policy blockiert jeden Versuch des PHP-Prozesses, außerhalb von /tmp zu schreiben oder beliebige Binaries auszuführen, ein typischer Post-Exploitation-Schritt. Fazit: Erstellen, kompilieren und installieren Sie ein maßgeschneidertes SELinux-Profil in weniger als zwei Minuten. ## Beispiel 3 – CI-Gate, das unsichere Direktiven ablehnt Fügen Sie den folgenden Job zu.github/workflows/php-hardening.yml hinzu:

name: PHP Hardening Checks on: [ push, pull_request ] jobs: lint-ini: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Install php-hardener run: composer require --dev vendor/php-hardener - name: Run lint run: | php-hardener lint ini Enter fullscreen mode Exit fullscreen mode Der Befehl php-hardener lint ini parst die php.ini und beendet sich mit Status 1, wenn eine der folgenden Angaben vorhanden ist:

Schlägt der CI-Job fehl, kann der Pull Request nicht gemergt werden, bis das unsichere Flag entfernt ist. Fazit: Setzen Sie Härtungsregeln zum Zeitpunkt des Merges durch und verhindern Sie so Konfigurationsdrift. ## Einsatz des Prompt Packs im Team