Kritische PHP-Sicherheitslücken machen Websites angreifbar

(Source: Maksim Kabakou / Fotolia.com)

(Source: Maksim Kabakou / Fotolia.com)

Eine unlängst entdeckte Angriffsmethode namens “PHP2Shell” bedroht Web-Server und -Anwendungen, die auf die Programmiersprache PHP zurückgreifen. Nicht nur die Entwickler der Programmiersprache selber, sondern auch das IT-Sicherheitsunternehmen Huntress sowie mehrere Behörden - darunter das Bundesamt für Cybersicherheit (BACS) - warnen in dem Zusammenhang vor zwei kritischen Schwachstellen in PHP. Kriminelle können diese Sicherheitslücken aus der Ferne und ohne Anmeldung ausnutzen, wie "SRF" in einem Artikel schreibt. Auf diese Weise sei es etwa möglich, Schadcode einzuschleusen, Kundendaten abzugreifen oder kompromittierte Server für weitere Angriffe zu missbrauchen.

Da PHP eine weit verbreitete Programmiersprache ist, könnten weltweit Millionen von Onlineshops und Nachrichtenportalen angreifbar sein, wie "SRF" hinzufügt. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnet die Bedrohung als "ausserordentlich hoch" ein, da eine massive Beeinträchtigung des Regelbetriebs drohe. 

Viele Websitebetreiber sind bereits aktiv geworden. So seien Regierungswebsites in Europa und Übersee vorsorglich offline gegangen, schreibt "SRF". Auch mehrere Gemeindeverwaltungen, Hochschulen und Spitälern schalteten ihre Webauftritte kurzfristig ab.

Updates stehen bereit

Das PHP-Entwicklerteam hat die bereinigten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, welche die Sicherheitslücken schliessen, wie das BACS schreibt. Die Behörde betont, dass jetzt nicht nur Betreiber öffentlicher Websites dringend handeln und die Patches einspielen sollten: PHP könne auch Bestandteil von Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern oder Appliances sein, warnt das BACS. Dabei sei den Betreibern nicht immer bekannt, dass das Produkt im Hintergrund PHP verwende. Entsprechend rät das Bundesamt, mit Softwarelieferanten und Dienstleistern zu klären, welche Produkte betroffen seien und welche Updates benötigt würden. "Priorisieren Sie Systeme, die aus dem Internet erreichbar sind, und Anwendungen mit Zugriff auf besonders schützenswerte Daten oder kritische Geschäftsprozesse. Prüfen Sie anschliessend auch interne Systeme", heisst es in der Warnmeldung.

Das BACS fügt hinzu, dass auch ältere PHP-Versionen, für die die Entwickler keine Sicherheitspatches mehr anbieten, von den Schwachstellen betroffen seien. Bei "Golem" ist zu erfahren, dass bis zu 20 Jahre alte PHP-Versionen angreifbar sein könnten. Sollte keine gepatchte Version mehr veröffentlicht werden, "wechseln Sie auf eine unterstützte Version", empfiehlt das BACS.

Das könnte Sie auch interessieren: Cyberkriminelle haben eine Schwachstelle im Analysetool Metabase ausgenutzt. Beim Onlinemagazin "Republik" griffen sie Daten aller registrierten User ab. Mehr zum Cyberangriff lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.