Für mich gehört das SELFHTML-Wiki zu den Urgesteinen der deutschen freien Wissens- und Wiki-Landschaft, in einer Reihe mit dem Wiki von ubuntuusers.de, dem Arch-Linux-Wiki und natürlich der Wikipedia. SELFHTML dokumentiert seit 1995 HTML und alles, was dazugehört. Von daher war ich schon recht traurig, als ich im Forum lesen musste, dass das Wiki erst einmal vom Netz geht.
Schuld daran war wie bei vielen anderen Sites PHP2Shell. Unter dem Namen laufen zwei kritische Lücken im PHP-Kern, über die Angreifer aus der Ferne und ohne Anmeldung eigenen Code auf dem Server ausführen können. Die PHP Foundation hat am 21. Oktober Korrekturen für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für ältere PHP-Versionen gibt es vom PHP-Projekt selbst nichts mehr.
PHP 7 als Dealbreaker
Genau das wurde dem SELFHTML-Wiki zum Verhängnis. Wie Matthias Scharwies im Forum schreibt, lief es auf einem Server namens „Wowbagger“ mit PHP 7, und Patches gibt es eben nur für PHP 8 und neuer. Forum und Blog blieben erreichbar, das Wiki hat das Team dagegen am 21. Oktober sicherheitshalber abgeschaltet, zeitgleich mit der Veröffentlichung der Details zur Lücke.
Wie Julius im SELFHTML-Blog erklärt, lief das Wiki noch mit MediaWiki 1.27, und das verträgt sich höchstens mit PHP 7.0. Darunter lag CentOS 7, das seit 2024 keinen Support mehr bekommt. Schon ein wenig bitterböse Ironie, dass ausgerechnet „das“ Web-Wiki an einer alten Gammelversion von PHP scheitert. Bekannt war das Problem seit Jahren, nur hatte sich die Umsetzung immer wieder verzögert.
Update statt Patch
Einen Patch für den alten Server lehnte das Team ab, weil er nur bis zum nächsten Problem halten würde. Stattdessen hat es das Wiki aktualisiert und auf einen neuen Server umgezogen, die SELFHTML-eigenen Anpassungen kamen danach. Ziel ist ein Webhosting-Paket bei manitu, das der Verein seit September nutzt und über das seit Mitte Oktober auch die E-Mails laufen.
Da MediaWiki pro Update höchstens eine LTS-Version überspringt, führte der Weg von 1.27 über 1.35, 1.43, 1.44 und 1.45 bis zu 1.46, jeweils in MediaWiki-Containern unter Docker beziehungsweise Podman. Den eigenen Skin und die Erweiterung „Selfhtml“, die ohne Änderungen nicht mit der neuen Version liefen, hat Julius anschließend mit Hilfe eines KI-Modells an MediaWiki 1.46 angepasst.
Wieder unter der alten Adresse
Seit Sonntagabend, 20 Uhr, ist das Wiki wieder unter wiki.selfhtml.org erreichbar, die Adresse next.selfhtml.org liefert inzwischen nur noch einen Fehler. Die Versionsseite meldet MediaWiki 1.46.2 statt 1.27.3, PHP 8.4.27 statt 7.0.33 und MariaDB 10.11.6 statt 5.5. Sprich, das Wiki springt über 19 MediaWiki-Versionen und läuft direkt mit der gegen PHP2Shell abgesicherten PHP-Version. Das ist mal ein ordentlicher Satz nach vorn.
Wer das alte Wiki kennt, wird sich sofort zurechtfinden, Skin und Erweiterung sehen aus wie früher. Ganz rund läuft allerdings noch nicht alles: Julius rechnet mit Fehlern und Merkwürdigkeiten und bittet darum, sie zu melden. Auf der Liste stehen außerdem ein echter Umbau von Skin und Erweiterung sowie das endgültige Aus für Wowbagger. Danach soll das Wiki auf MediaWiki 1.47 wechseln.
Die nächste LTS-Version soll im November erscheinen, ab dann will das Team dabei bleiben und regelmäßig Updates einspielen. In meinen Augen hat die Lücke damit am Ende sogar etwas Gutes bewirkt, denn das Wiki ist jetzt technisch wieder auf der Höhe der Zeit. Ein Dank geht an Julius, Matthias und das ganze Team. Wer SELFHTML unterstützen möchte, findet im Wiki eine Seite zum Spenden.
Schreibe einen Kommentar