In der Programmiersprache PHP sind zwei kritische Sicherheitslücken bekanntgeworden. Das PHP-Entwicklerteam stuft die Sicherheitslücken auf einer Schweregrad-Skala mit einer 9,2 von 10 ein.

Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik wurden unter anderem die Open-Source-Projekte WordPress, Drupal, Typo3, Joomla, Magento, Nextcloud, pfSense, OPNsense mit PHP entwickelt. Mehr als 40 Prozent aller existierenden Seiten des Internets nutzen nach Angaben von WordPress das Content-Management-System und sind damit betroffen. Zahlreiche Webseiten wurden am Mittwoch vorsorglich offline genommen, darunter die Seiten mehrerer deutscher Behörden, Kommunen und Einrichtungen.

Das PHP-Sicherheitsteam veröffentlichte am Mittwoch gegen 16 Uhr ein Sicherheitsupdate und wies darauf hin, dass es gegen die Sicherheitslücke keine vollständigen Abhilfemaßnahmen gebe und ein Update die einzige sichere Option sei. Allen PHP-Nutzern werde dringend empfohlen, unverzüglich ein Update durchzuführen. Mittlerweile gebe es einen nachgewiesenen Exploit.

„Mit Kenntnis von Schwachstellen in derartigen weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren“, warnte das Bundesamt für Sicherheit in der Informationstechnik. Man halte eine kurzfristige breite Ausnutzung der Sicherheitslücke innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. „Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel, um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren. IT-Sicherheitsverantwortliche sollten daher unverzüglich handeln.“

Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, erklärte, wer Online-Anwendungen betreibe, solle unbedingt prüfen, ob diese PHP verwenden und in diesem Fall die in Kürze zur Verfügung stehenden Sicherheitsupdates ohne Verzögerung einspielen. „Das gilt besonders für Hoster und IT-Dienstleister, die Systeme für viele Kunden betreiben“, so Kuhlenkamp. „Unternehmen sollten zudem prüfen, wo PHP in ihrer IT überall steckt, auch in älteren Versionen, die keine Updates mehr erhalten. Viele wissen nicht genau, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können.“

Wie schnell Kriminelle solche Lücken ausnutzten, habe das Jahr 2021 gezeigt. „Damals wurden Schwachstellen im weit verbreiteten E-Mail-Server Microsoft Exchange bekannt, und gegen Jahresende die Lücke Log4Shell in einem Software-Baustein, der in unzähligen Anwendungen steckte“, erklärte Kuhlenkamp. „In beiden Fällen suchten Kriminelle binnen Stunden weltweit nach verwundbaren Systemen. Heute dürfte das Auffinden von verwundbaren Systemen mit Hilfe von KI noch um ein Vielfaches schneller gehen.“