Behörden in Europa, Asien und auf anderen Kontinenten haben nach Angaben von Al Jazeera einige Regierungswebsites vorübergehend vom Netz genommen. Der Schritt soll sie vor neu entdeckten Sicherheitslücken in der Programmiersprache PHP schützen, die einen Großteil der Websites im Internet betreibt. Nach Angaben des Berichts wird PHP von mehr als 70 Prozent der Websites genutzt.
Die US-Sicherheitsbehörde National Security Agency warnte in einem Beitrag in sozialen Netzwerken selten öffentlich vor den Lücken. Sie riet allen Organisationen, die PHP für ihre Systeme nutzen, sich auf ein Update vorzubereiten, das zwei kritische Sicherheitslücken schließen soll. Könnten Websites nicht sofort aktualisiert werden, empfahl die NSA, sie offline zu nehmen.
In Deutschland erklärte das Bundesministerium für Digitale Transformation und Staatsmodernisierung, es habe einige Websites vorbeugend abgeschaltet. Das französische Innenministerium deaktivierte die offiziellen Websites der lokalen Verwaltungsbehörden. Auch in Belgien, den Niederlanden, Finnland und Tschechien wurden Websites abgeschaltet, um einen Sicherheitspatch gegen die PHP-Lücke einzuspielen. Japans Premierministerin Sanae Takaichi warnte ebenfalls in sozialen Netzwerken vor dem PHP-Risiko.
Das Lückenpaar mit dem Namen PHP2Shell wurde von Sicherheitsexperten mithilfe von Modellen künstlicher Intelligenz entdeckt. Forscher der Sicherheitsfirma Calif meldeten gemeinsam mit OpenAI die erste Schwachstelle am 11. August. Die zweite meldete am 24. August das Unternehmen Wiz, das zum Technologiekonzern Alphabet gehört.
Wiz zufolge zählen die Funde zu den schwersten Sicherheitslücken, die jemals in PHP entdeckt wurden, und wohl auch in der Geschichte der Software überhaupt. Die zugrunde liegenden Fehler bestanden nach Angaben der Firma seit Jahrzehnten. Sie nachzuweisen, erforderte jedoch eine Kette von Schritten, die an der Grenze dessen lag, was menschliche Forscher praktisch erreichen können. KI-Werkzeuge ermöglichen es Forschern, Software auf Schwachstellen zu prüfen, indem sie weit mehr Angriffe testen, als Programmierer allein schaffen.
PHP wird von Freiwilligen gepflegt. Die gemeinnützige PHP Foundation teilte mit, die Lücken gehörten zu den schwersten, auf die sie je gestoßen sei. Sie forderte alle, die eine Website betreiben, auf, ihren Code umgehend zu aktualisieren.
Beide Lücken beruhen darauf, dass auf Teile des Arbeitsspeichers ohne ausreichende Berechtigung zugegriffen wird. Diesen Zugriff können Angreifer nutzen, um schädlichen Code auszuführen. Dadurch könne ein Angreifer über das Internet Befehle auf einem Server ausführen, auf dem ältere PHP-Versionen laufen, ohne Passwort oder legitimen Kontozugang.
Die PHP Foundation warnte außerdem, KI erleichtere es, solche Sicherheitsschwächen aufzuspüren. Sie rief Technologiekonzerne dazu auf, gemeinsam zu reagieren, um größere Störungen von Online-Diensten zu vermeiden. Werkzeuge fänden Fehler schneller als je zuvor, sowohl für Verteidiger als auch für Angreifer, und die Zahl der Meldungen werde weiter steigen, erklärte die Stiftung.
Kommentare (0)