Zwei schwere Sicherheitslücken in der Programmiersprache PHP mit einem Schweregrad von 9,2 von 10 sind bekanntgeworden. Betroffen sind unter anderem weit verbreitete Systeme wie WordPress oder Drupal. Ein Exploit ist bereits nachweisbar, ein Update die einzige sichere Lösung.
Breite Betroffenheit und schnelle Reaktion nötig
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) nutzen mehr als 40 Prozent aller Webseiten das Content-Management-System WordPress – und sind damit potenziell betroffen. Auch andere Open-Source-Projekte wie Drupal, Typo3, Joomla, Magento, Nextcloud, pfSense oder OPNsense basieren auf PHP. Zahlreiche Seiten deutscher Behörden, Kommunen und Einrichtungen wurden vorsorglich offline genommen.
Das PHP-Sicherheitsteam veröffentlichte am Mittwoch gegen 16 Uhr ein Sicherheitsupdate. Es betonte, dass es keine vollständigen Abhilfemaßnahmen gegen die Lücken gebe. Ein Update sei die einzige sichere Option, und allen Nutzern werde dringend empfohlen, dieses unverzüglich durchzuführen.
BSI und Bitkom warnen vor schnellen Angriffen
"Mit Kenntnis von Schwachstellen in derartigen weit verbreiteten Programmiersprachen oder Bibliotheken könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren", warnte das BSI. Man halte eine kurzfristige breite Ausnutzung der Sicherheitslücke innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. "Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel, um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren. IT-Sicherheitsverantwortliche sollten daher unverzüglich handeln."
Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom, riet Betreibern von Online-Anwendungen, zu prüfen, ob diese PHP verwenden. In diesem Fall sollten die Sicherheitsupdates ohne Verzögerung eingesetzt werden. “Das gilt besonders für Hoster und IT-Dienstleister, die Systeme für viele Kunden betreiben”. “Unternehmen sollten zudem prüfen, wo PHP in ihrer IT überall steckt, auch in älteren Versionen, die keine Updates mehr erhalten. Viele wissen nicht genau, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können.”
Vergangene Vorfälle zeigen Handlungsdruck
Wie schnell Kriminelle solche Lücken ausnutzen, habe das Jahr 2021 gezeigt, so Kuhlenkamp. "Damals wurden Schwachstellen im weit verbreiteten E-Mail-Server Microsoft Exchange bekannt, und gegen Jahresende die Lücke Log4Shell in einem Software-Baustein, der in unzähligen Anwendungen steckte”. “In beiden Fällen suchten Kriminelle binnen Stunden weltweit nach verwundbaren Systemen. Heute dürfte das Auffinden von verwundbaren Systemen mit Hilfe von KI noch um ein Vielfaches schneller gehen.”
