BSI-Sicherheitswarnung zu PHP: Wix-Websites unserer Kunden sind nicht betroffen

Entwarnung für Unternehmen mit Wix-Websites: Die aktuelle Sicherheitswarnung zu PHP betrifft eine andere technische Plattformbasis. Für unsere Kunden besteht aufgrund der beschriebenen PHP-Problematik kein unmittelbarer Handlungsbedarf.

Sicherheitsmeldungen zu kritischen Schwachstellen in PHP können bei Website-Betreibern verständlicherweise Fragen aufwerfen. Entscheidend ist jedoch, welche Technologie der eigenen Website zugrunde liegt und wer für den technischen Betrieb verantwortlich ist.

Warum Wix-Websites nicht direkt betroffen sind

Die Websites unserer Kunden basieren auf Wix, einer cloudbasierten Software-as-a-Service-Plattform (SaaS). Die technische Architektur unterscheidet sich grundlegend von selbst gehosteten Websites, bei denen PHP auf einem eigenen oder extern angemieteten Server betrieben wird.

Drei Faktoren sind dabei entscheidend:

• Andere technische Architektur: Wix betreibt seine Plattform auf einer eigenen, verwalteten Cloud-Infrastruktur. PHP ist keine Voraussetzung für den Betrieb einer regulären Wix-Website. Die Plattform setzt auf eigene Backend-Technologien und stellt für individuelle Erweiterungen unter anderem JavaScript-basierte Entwicklungswerkzeuge bereit.

• Kein eigener PHP-Betrieb auf der Wix-Plattform: Nutzer können auf dem regulären Wix-Hosting keinen beliebigen PHP-Code hochladen und als eigene serverseitige Anwendung ausführen. Individuelle Funktionen werden innerhalb der von Wix bereitgestellten Möglichkeiten umgesetzt, beispielsweise mit Velo.

• Zentrale Wartung und Sicherheitsupdates: Wix verantwortet den technischen Betrieb seiner Hosting-Infrastruktur sowie die Wartung der von der Plattform verwalteten Systemkomponenten. Sicherheitsupdates für diese Komponenten werden daher nicht wie bei einem selbst verwalteten Server durch den Website-Betreiber eingespielt.

Welche Websites die PHP-Warnung betrifft

Die Warnung ist insbesondere für Betreiber von Websites relevant, auf denen PHP tatsächlich eingesetzt wird und die betroffenen Komponenten in einer verwundbaren Version vorhanden sind. Das kann beispielsweise selbst gehostete Installationen von WordPress, Joomla, Drupal oder TYPO3 betreffen.

In diesen Fällen müssen die Verantwortlichen prüfen, welche PHP-Version und welche betroffenen Komponenten im Einsatz sind, und gegebenenfalls die empfohlenen Sicherheitsupdates einspielen. Ob eine konkrete Website gefährdet ist, hängt von der jeweiligen Schwachstelle, der eingesetzten Version und der Systemkonfiguration ab.

Was bedeutet das für unsere Kunden?

Da unsere Kunden ihre Websites über Wix betreiben, ergibt sich aus einer PHP-spezifischen Sicherheitswarnung allein kein unmittelbarer Handlungsbedarf. Ein manuelles PHP-Update auf der Wix-Website ist nicht erforderlich.

Unabhängig davon bleiben allgemeine Sicherheitsmassnahmen wichtig: Dazu gehören sichere Passwörter, die Mehr-Faktor-Authentifizierung für Konten, eine sorgfältige Verwaltung von Zugriffsrechten sowie die regelmässige Überprüfung eingesetzter Apps und Integrationen.

Fazit

Sicherheitswarnungen sollten stets im Kontext der tatsächlich eingesetzten Technologie beurteilt werden. Für Websites auf Wix gelten andere technische Rahmenbedingungen als für selbst gehostete PHP-Systeme.

Unsere Kunden können die beschriebene PHP-Problematik daher grundsätzlich als nicht unmittelbar relevant einstufen. Die allgemeine Website-Sicherheit bleibt dennoch ein wichtiges Thema, das wir unabhängig von einzelnen Sicherheitsmeldungen im Blick behalten.