Auf einigen unserer Webserver war es bisher möglich, über die fopen()-Funktion zum Laden von Dateien auch externe Dateien per HTTP oder FTP von anderen Servern zu öffnen. Dies bietet jedoch bei fehlerhaft programmierten PHP-Scripten ein Einfallstor für Hacker, die über diese Funktion Scripte mit Schadcode laden und ausführen können (Remote File Inclusion). Daher ist das Öffnen von URLs mit fopen() bei den meisten Webhosting-Anbietern standardmäßig deaktiviert, und sollte auch bei uns eigentlich standardmäß deakviert sein. Leider hat sich jedoch vor einigen Jahren ein Fehler bei unseren Standard-PHP-Einstellungen eingeschlichen, so dass diese Option auf einigen Webservern und bei bestimmten PHP-Versionen nicht mehr deaktviert war.
Aktuell gibt es eine schwere Sicherheitslücke im weit verbreiteten Content-Management-System Joomla (CVE-2014-7228), bei dem über die fopen()-Funktion Schadcode geladen wird. Um massenhafte Hacks von Joomla-Installationen auf unseren Webservern zu verhindern haben wir uns daher entschlossen, diese Option nun kurzfristig auf allen Servern zu deaktivieren. Die meisten bekannten Shop- und Content-Management-Systeme nutzen diese Funktion angesichts der Sicherheitsproblematik nicht zum Laden von entfernten Dateien, daher ergeben sich im Normalfall keine Probleme durch diese Änderung.
Falls Sie eine PHP-Anwendung nutzen, die fopen() zum Laden von entfernten Dateien nutzt, können Sie dies über eine php.ini-Datei mit der Option “allow_url_fopen = on” wieder erlauben. Alternativ können Sie bei selbst programmierten PHP-Scripten auch die Funktion fsockopen() benutzen.