In der Programmiersprache PHP sind zwei kritische Sicherheitslücken bekannt geworden, die das PHP-Entwicklerteam auf einer Schweregrad-Skala mit 9,2 von 10 bewertet. Betroffen sind Millionen von Webseiten weltweit, da mehr als 40 Prozent aller existierenden Internetseiten das auf PHP basierende Content-Management-System WordPress nutzen.
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden zahlreiche Open-Source-Projekte mit PHP entwickelt, darunter WordPress, Drupal, Typo3, Joomla, Magento, Nextcloud, pfSense und OPNsense. Wegen der Sicherheitslücken wurden am Mittwoch zahlreiche Webseiten vorsorglich offline genommen, darunter die Seiten mehrerer deutscher Behörden, Kommunen und Einrichtungen.
Das PHP-Sicherheitsteam veröffentlichte am Mittwoch gegen 16 Uhr ein Sicherheitsupdate. Allerdings wies das Team darauf hin, dass es gegen die Sicherheitslücke keine vollständigen Abhilfemaßnahmen gebe und ein Update die einzige sichere Option darstelle. Allen PHP-Nutzern wird dringend empfohlen, unverzüglich ein Update durchzuführen. Mittlerweile existiert ein nachgewiesener Exploit für die Lücken.
Das Bundesamt für Sicherheit in der Informationstechnik warnt vor den Gefahren: „Mit Kenntnis von Schwachstellen in derartigen weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.“ Die Behörde hält eine kurzfristige breite Ausnutzung der Sicherheitslücke innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich.
„Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel, um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren. IT-Sicherheitsverantwortliche sollten daher unverzüglich handeln“, heißt es in einer Stellungnahme des Amtes.
Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, fordert Betreiber von Online-Anwendungen dazu auf, unverzüglich zu prüfen, ob diese PHP verwenden. „In diesem Fall sollten die in Kürze zur Verfügung stehenden Sicherheitsupdates ohne Verzögerung eingespielt werden. Das gilt besonders für Hoster und IT-Dienstleister, die Systeme für viele Kunden betreiben“, so Kuhlenkamp.
Unternehmen sollten zudem prüfen, wo PHP in ihrer IT überall vorhanden ist, auch in älteren Versionen, die keine Updates mehr erhalten. „Viele wissen nicht genau, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können“, erklärte Kuhlenkamp.
Die Geschichte zeigt, wie schnell Kriminelle solche Lücken ausnutzen. Im Jahr 2021 wurden Schwachstellen im weit verbreiteten E-Mail-Server Microsoft Exchange bekannt, und gegen Jahresende folgte die Log4Shell-Lücke in einem Software-Baustein, der in unzähligen Anwendungen steckte. „In beiden Fällen suchten Kriminelle binnen Stunden weltweit nach verwundbaren Systemen. Heute dürfte das Auffinden von verwundbaren Systemen mit Hilfe von KI noch um ein Vielfaches schneller gehen“, warnt Kuhlenkamp.
Dieser Bericht wurde mit Unterstützung künstlicher Intelligenz aus offiziellen Quellen erstellt und redaktionell geprüft.
Autor: dts Nachrichtenagentur