Bildserie der Woche
Neuigkeiten
Zum PHP-Desaster in der letzten Woche
In der letzten Woche wurde die Sicherheitslücke PHP2Shell bekannt, die im August 2026 mithilfe von Künstlicher Intelligenz entdeckt wurde. Sie betraf PHP selbst, die serverseitige Skriptsprache, die speziell für die Entwicklung von dynamischen Webseiten und Webanwendungen entwickelt wurde. Das PHP-Team reagierte nach der Bekanntmachung mit vorgezogenen Sicherheitsupdates.
Was bedeutete das für Sie?
Sehr viele von Ihnen konnten nicht auf das Bildarchiv zugreifen, da die Universität zu Köln am 21.10. jeglichen Zugriff von außen auf das Uni-Netz geblockt hat, obwohl pandora, die Webapplikation von prometheus, auf unserem Server voll funktionsfähig war und bei unseren Produktions- und Testserver kein PHP eingesetzt wird.
Und was bedeutete das für uns?
Jörg Koch und Moritz Schepp aus unserem Team waren gefragt. Sie reagierten direkt, überlegten kurz und erstellten zügig eine Umleitung, damit Sie im Bildarchiv arbeiten konnten:
„Unseren betroffenen internen Server prometheus-srv.uni-koeln.de haben wir nach dem Patch-Release am 21.10. direkt aktualisiert. Leider konnten wir Sie nicht direkt über diese Vorgänge informieren, da auch unsere Homepage gesperrt war. Sie wurde dann am 22.10. wieder freigegeben und wir konnten Sie dort über den Ausfall benachrichtigen. Gegen 19 Uhr war dann auch unser Fallback-Setup, ein SSH-Tunnel vom Uni-Server zu unserem externen Hetzner-Server, verfügbar, der Anfragen an pandora auf dem Uni-Server via app.prometheus-bildarchiv.de erlaubte. Am 23.10. vormittags gab die Uni das Bildarchiv zum Glück wieder frei und wir konnten die Umleitung wieder abbauen.“
Well done Jörg und Moritz!
Aufgrund dieser Erfahrungen wurden direkt weitere Schritte festgelegt, um uns noch besser gegen etwaige Ausfälle aufzustellen. Ab sofort gibt es kürzere Backupintervalle des Systems und bei pandora einen CNAME-Eintrag auf DNS-Level, um die Webapplikation schnell auf einem externen Server starten und die Anfragen an die Domain des Bildarchivs umleiten zu können, sowie eine Alternativseite für unsere Homepage auf einem externen Server, der per DNS-A-Eintrag (Address Record) angesteuert werden kann, falls das Uni-Hosting nicht erreichbar ist.