Europäische Websites vor Sicherheitsupdate für PHP vom Netz genommen

Die finnische Regierung, der Stadtrat von Edinburgh und die BBC gehören zu den Stellen, die Websites und Seiten vor einem Software-Update für die Programmiersprache PHP vom Netz genommen haben. Wie die BBC berichtet, stützt PHP viele Online-Dienste.

In PHP wurden zwei kritische Schwachstellen entdeckt. Die Sprache wird im Internet weit verbreitet eingesetzt. Eine Korrektur wurde am Mittwochnachmittag bereitgestellt. Die Lücken wurden mithilfe von künstlicher Intelligenz gefunden. Die Cybersicherheitsfirma Wiz erklärte, es handle sich um die schwerwiegendsten Schwachstellen, die die Technologie bisher aufgespürt habe. Diese Technologie verändere derzeit die Cyberlandschaft.

Auch interessantBSI warnt vor PHP-Lücke: Behörden und Kliniken schalten Websites ab

Mehrere nationale Cybersicherheitsbehörden haben Organisationen aufgefordert, die Updates rasch zu installieren. Alternativ sollten sie erwägen, ihre Websites offline zu nehmen. Finnland hat die öffentlichen Webdienste der Regierung vorübergehend abgeschaltet. Die niederländische Cybersicherheitsbehörde nahm ihre eigene Website ebenfalls vom Netz, wegen der Schwachstellen.

Auch andere Stellen sind betroffen. Die Website des Stadtrats von Edinburgh ist nicht erreichbar, ebenso die Online-Auftritte mehrerer BBC-Programme, darunter Doctor Who und The Traitors. Die Verantwortlichen haben einen Zusammenhang mit PHP nicht bestätigt. Die BBC hat um eine Stellungnahme gebeten. Die Kunstplattform DeviantArt teilte mit, sie sei vorübergehend wegen Wartungsarbeiten nicht erreichbar, ohne den Grund zu nennen.

Die Schwachstellen wurden von Cybersicherheitsforschern der Firmen Calif und Wiz entdeckt. Sie nutzten nach eigenen Angaben eine modernste KI des Unternehmens OpenAI, um die Fehler zu finden. OpenAI schrieb in einem Blogbeitrag, es handle sich um eines der folgenreichsten Sicherheitsprobleme der jüngeren Zeit. Laut den Firmen blieben die Lücken mehr als ein Jahrzehnt unentdeckt. Wiz erklärte in einem eigenen Blogbeitrag, die Modelle hätten es ermöglicht, funktionierende Angriffscodes über mehrere Anwendungen hinweg in Stunden zu entwickeln und anzupassen. Wiz schätzt, dass rund 70 Prozent des Internets betroffen sind. Die BBC kann diese Zahl nicht überprüfen.

Auch in den Niederlanden sind Stellen betroffen. Das Nationale Instituut voor Volksgezondheid en Milieu, eine Behörde der niederländischen Regierung, hat seine Website vom Netz genommen. Ähnlich ist die Website der Tweede Kamer, des Unterhauses des niederländischen Parlaments, nicht erreichbar.

Das britische National Cyber Security Centre (NCSC) sowie entsprechende Stellen in der EU und in Australien haben PHP-Nutzer aufgefordert, die Korrekturen einzuspielen. Wenn eine sofortige Behebung nicht möglich sei, sollten Organisationen das System offline nehmen, bis es vollständig abgesichert ist, teilte das NCSC mit. Die nationale Cybersicherheitsbehörde Japans und EU-Cybersicherheitsexperten haben laut Bericht eine ähnliche Warnung ausgesprochen.

Das Unternehmen Huntress erklärte, PHP sei überall. Die Sprache laufe unauffällig in WordPress, Drupal, Joomla und Magento, auf Shared-Hosting-Plattformen und Verwaltungsoberflächen sowie in vielen Programmen, die nicht ausweisen, dass PHP im Hintergrund arbeitet.

Der Sicherheitsexperte Don Smith von der Sophos Counter Threat Unit sagte der BBC, PHP werde wahrscheinlich ein vorrangiges Ziel für Hacker sein. Organisationen müssten vielmehr jede Stelle finden und verwalten, an der PHP läuft. Die Sprache könne unter öffentlichen Websites, Content-Management-Systemen, Hosting-Plattformen und Produkten von Drittanbietern liegen, oft ohne dass es der nutzenden Organisation auffalle. Smith betonte, es sei entscheidend, nach Anzeichen zu suchen, dass sich ein Angreifer bereits festgesetzt haben könnte.

Ein solcher Angriff könnte Hackern erlauben, Schadsoftware zu installieren und Websites lahmzulegen. Dane Knecht, Technikchef des Infrastrukturunternehmens Cloudflare, sagte, es gebe bereits frühe Angriffe. Die Abwehrmaßnahmen würden angepasst, sobald neue Angriffswege auftauchten.

Das NCSC empfiehlt, nach der Installation des Updates weiterhin Sicherheitsaktualisierungen von Drittanbietern zu beobachten, auch bei Geräten und Diensten, die PHP enthalten können. Welche Versionen genau betroffen sind, war zunächst nicht klar. CERT-EU zufolge könnten alle Versionen ab PHP 5 betroffen sein, die im Jahr 2004 erschienen ist. Die PHP Foundation hat das Update nur für die neuesten Versionen herausgegeben. Nutzer von PHP 8.1 und älteren Versionen sollen auf eine neuere Version aufrüsten.

PHP wurde für die Webentwicklung geschaffen. Auf Servern erzeugt es die Inhalte, die Besucher beim Aufrufen einer Website sehen. Nicht alle Websites nutzen die Sprache, doch sie treibt einen großen Teil des Internets an.