Zusammenfassung

  • Nach der Veröffentlichung zweier kritischer PHP-Lücken für die Ausführung von Schadcode aus der Ferne schaltete ICANN drei PHP-Websites vorübergehend ab.
  • Die Bewerbungs- und Veröffentlichungssysteme für neue gTLDs liefen weiter, weil sie nicht auf PHP basierten; nach dem Patch-Test kehrten die Websites zurück.

ICANN zog in der eigenen Weblandschaft eine klare Grenze: Drei Websites gingen offline, während die Systeme für Bewerbungen um neue generische Top-Level-Domains und die Veröffentlichung der Ergebnisse weiterliefen. Der Unterschied lag in der darunterliegenden Software.

Am 21. Oktober veröffentlichte das PHP-Projekt einen Sicherheitshinweis zu zwei kritischen Schwachstellen, die nicht authentisierte Ausführung von Code aus der Ferne ermöglichen konnten. Eine betraf den Umgang mit Speichermangel während der Bereinigung einer Anfrage, wenn interne Daten noch unvollständig waren. Die andere betraf veralteten internen Zustand, der nach Freigabe des zugehörigen Speichers von einer späteren Anfrage wiederverwendet werden konnte. Das Projekt nannte PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen.

ICANN teilte mit, dass die Website der Generic Names Supporting Organization (GNSO) sowie die Websites der neuen gTLD-Runden 2026 und 2012 vorübergehend abgeschaltet wurden, weil sie PHP nutzten. Für eine negative Auswirkung auf ICANN-Systeme gebe es keine Hinweise, erklärte die Organisation. Die Application Publication and Statistics Site (APS) und das TLD Application Management System (TAMS) blieben verfügbar, da sie nicht auf PHP basierten.

Für Bewerber machte diese Trennung einen Unterschied: Der Leitfaden für die Runde 2026 blieb während des Ausfalls über ICANN.org erreichbar. Am 22. Oktober meldete ICANN, den Patch der PHP Foundation eingespielt und getestet zu haben; anschließend wurden die drei Websites wieder freigeschaltet.

Der Ausfall dauerte nicht lange, doch seine Grenze war sichtbar. Die öffentlichen Websites teilten sich eine betroffene PHP-Umgebung; Bewerbungs- und Veröffentlichungssysteme lagen außerhalb dieser Abhängigkeit. Ein alternativer Zugang hielt das zentrale Programmdokument erreichbar. Der Ablauf zeigt konkret, wo die Softwareabhängigkeit endete: bei einer Gruppe von Websites, nicht bei jedem Dienst rund um das Programm.

ICANN nannte in der Mitteilung nicht die PHP-Versionen dieser drei Websites. Die veröffentlichte Abfolge zeigt dennoch die Servicegrenze: Websites isoliert, zentrale Systeme verfügbar gehalten, nach einem getesteten Patch wiederhergestellt.

Quellen: ICANNs Reaktion und Wiederherstellung; Sicherheitshinweis des PHP-Projekts.