Zwei als kritisch eingestufte Sicherheitslücken in der Programmiersprache PHP betreffen zahlreiche Websites weltweit, darunter auch mehrere deutsche Behörden und Kommunen, die vorsorglich offline gingen. Experten raten zum sofortigen Update.

Zwei kritische PHP-Sicherheitslücken sind seit Mittwoch bekannt, das PHP-Entwicklerteam selbst stuft sie auf einer Schweregrad-Skala mit 9,2 von 10 Punkten ein. Zahlreiche Webseiten wurden daraufhin vorsorglich offline genommen, darunter die Seiten mehrerer deutscher Behörden, Kommunen und Einrichtungen. Auch die Stadt Merseburg hat Ihre Seite vorübergehend offline genommen.

Open-Source-Projekte wie WordPress, Drupal, Typo3, Joomla, Magento, Nextcloud, pfSense und OPNsense zählen nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu den bekannten Anwendungen, für deren Entwicklung PHP eingesetzt wird. WordPress selbst gibt an, mehr als 40 Prozent aller Internetseiten weltweit zu stellen, und damit ebenfalls von den Sicherheitslücken betroffen zu sein.

Ein Update gilt als einzige Abhilfe gegen die PHP-Sicherheitslücken

Das PHP-Sicherheitsteam veröffentlichte am Mittwoch gegen 16 Uhr ein Update und machte deutlich, dass es gegen die Lücken keine vollständigen Abhilfemaßnahmen gebe. Allen PHP-Nutzern werde dringend empfohlen, unverzüglich zu aktualisieren, zumal inzwischen ein nachgewiesener Exploit existiere.

Das BSI warnte vor den Folgen einer derart verbreiteten Schwachstelle: „Mit Kenntnis von Schwachstellen in derartigen weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.“ Eine kurzfristige, breite Ausnutzung der Lücken binnen weniger Stunden nach Erscheinen der Patches halte man für wahrscheinlich. „Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel, um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren. IT-Sicherheitsverantwortliche sollten daher unverzüglich handeln“, erklärte die Behörde.

Bitkom erinnert an Microsoft Exchange und Log4Shell

Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, riet allen Betreibern von Online-Anwendungen, zu prüfen, ob ihre Systeme PHP nutzen, und die in Kürze bereitstehenden Updates ohne Verzögerung einzuspielen. „Das gilt besonders für Hoster und IT-Dienstleister, die Systeme für viele Kunden betreiben“, sagte Kuhlenkamp. Viele Unternehmen wüssten gar nicht genau, welche Komponenten in ihrer Software steckten, gerade bei älteren, nicht mehr gepflegten PHP-Versionen. „Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können“, sagte er.

Wie schnell Kriminelle solche Schwachstellen ausnutzen, habe bereits das Jahr 2021 gezeigt, erinnerte Kuhlenkamp: „Damals wurden Schwachstellen im weit verbreiteten E-Mail-Server Microsoft Exchange bekannt, und gegen Jahresende die Lücke Log4Shell in einem Software-Baustein, der in unzähligen Anwendungen steckte. In beiden Fällen suchten Kriminelle binnen Stunden weltweit nach verwundbaren Systemen.“ Das Auffinden verwundbarer Systeme dürfte heute mit Hilfe von Künstlicher Intelligenz noch um ein Vielfaches schneller gehen, so seine Einschätzung.

Mit Material der dts Nachrichtenagentur.