Volkswacht Bodensee - PHP-Sicherheitslücke: BSI rät zur "umgehenden" Installation von Sicherheitsupdate

Die Sicherheitslücke könne es Hackern ermöglichen, sich "direkten Zugriff" auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA. "Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen", erklärte das BSI.

Das Sicherheitsupdate wurde am Mittwoch zur Verfügung gestellt. Gelinge dies nicht, sollten die Internetseiten vorsorglich abgeschaltet werden, rieten NSA und BSI. Sonst könnten Cyberangreifer Server ohne ein Passwort übernehmen.

PHP ist eine beim Erstellen von Websites und Webanwendungen weltweit verbreitete Programmiersprache. Laut BSI sind vermutlich alle Versionen bis mindestens PHP 5 betroffen. "Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen", erklärte die PHP-Stiftung in einem Blogbeitrag.

Betroffen sind nur Websites, die PHP auf eigenen Servern betreiben. Viele große Plattformen basieren auf anderen Programmiersprachen oder verfügen über Betreiber, die das Sicherheitsupdate zügig einspielen konnten, sodass sie weiterhin online bleiben konnten.

In Deutschland nahmen am Mittwoch Landes- und Polizeibehörden sowie mehrere Städte ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen. In Nordrhein-Westfalen wurden laut dem Landesamt für Zentrale Polizeiliche Dienste "einige Online-Dienste der Polizei NRW als Vorsichtsmaßnahme vorübergehend abgeschaltet".

Die Berliner Polizei meldete Ausfälle der "Internetwache", über die Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110. Betroffen war auch die Berliner Universitätsklinik Charité. Zudem nehmen zahlreiche Städte ihre Online-Angebote vorübergehend vom Netz, darunter München, Flensburg und Saarbrücken.

In Frankreich waren die Internetauftritte mehrerer Behörden, unter ihnen die Pariser Polizei, nicht mehr erreichbar. In Belgien war unter anderem die Website des Außenministeriums offline. In den Niederlanden waren der digitale Identitätsdienst DigiD, die Parlamentswebsite und der Internetauftritt des nationalen Cybersicherheitszentrums betroffen.

In Australien teilte das Australian Signals Directorate laut dem australischen öffentlich-rechtlichen Sender ABC mit, dass auch die eigene Website cyber.gov.au zu den von den Sicherheitslücken betroffenen Regierungswebsites gehöre.Nach Angaben der Wikimedia-Stiftung war auch das von ihr betriebene Online-Lexikon Wikipedia betroffen, die Nutzer sollten daher mit Ausfällen rechnen.

Wie das Gaming-Nachrichtenportal Kotaku meldete, wurden am Mittwoch auch mehrere Apps der erfolgreichen Pokémon-Spiele offline geschaltet. In einem Fall wurden dabei Sicherheitsmaßnahmen als Grund genannt.

Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander am selben Tag entdeckt hatten. Wiz meldete später weitere Möglichkeiten, sie auszunutzen.

Nach Einschätzung von Wiz basieren etwa 70 Prozent der weltweiten Websites auf PHP. Das Unternehmen bezeichnete die Sicherheitslücken als "eine der schwerwiegendsten Schwachstellen, die jemals in PHP - und womöglich in der gesamten Softwaregeschichte - entdeckt wurden."

Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Details wurden am Dienstag - einen Tag vor der geplanten Veröffentlichung des Updates - online geleakt. Dies führte zur vorsorglichen Abschaltung vieler Websites.

Laut BSI-Vizepräsidenten Thomas Caspers konnte "bis zum jetzigen Zeitpunkt" noch nicht beobachtet werden, "dass eine große Schadwirkung eingetreten ist". "Allerdings, wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein", sagte Caspers am Mittwochabend in den ARD-"Tagesthemen" mit Blick auf die Aktualisierung der Sicherheitsupdates. Es sei davon auszugehen, dass nicht alle Betreiber die Updates installierten. "Dann werden wir auch die ersten Schäden sehen."

"Wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein", warnte er. Nutzer sind laut Caspers zunächst jedoch nicht betroffen. Allerdings sollten Verbraucher darauf achten "und auch damit rechnen", dass in den nächsten Tagen über möglicherweise kompromittierte Webseiten versucht werden könnte, "Schadgut auch auf ihren Systemen" zu installieren.

Der KI-Experte Ethan Mollick von der US-Elitehochschule University of Pennsylvania warnte zugleich, dass Unternehmen Mühe hätten, mit dem Tempo der Updates Schritt zu halten, die zum Schutz vor KI-gestützten Cyberangriffen erforderlich seien. Auch Verbraucher würden nun die Erfahrung machen, "dass alles häufig und schnell aktualisiert wird", schrieb er auf X.

G.Haefliger--VB