Eine neu entdeckte, schwerwiegende Sicherheitslücke gefährdet nach Angaben der Süddeutschen Zeitung zahlreiche Webseiten und Onlinedienste weltweit. Betroffen ist die Programmiersprache PHP, auf der nach Darstellung des Blattes ein großer Teil des Internets beruht. Dazu zählen einfache Blogs, große Nachrichtenportale, Onlineshops und Content-Management-Systeme wie Wordpress.
Betreiber von Internetseiten in aller Welt müssten schnell handeln. Auch Moodle, Joomla, Typo 3 und Drupal setzen auf PHP.
Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor zwei kritischen Schwachstellen im Kern der Programmiersprache. Ohne vorherige Anmeldung könnten Angreifer so die vollständige Kontrolle über eine Website übernehmen, sensible Datenbanken und Kundendaten abgreifen oder die Infrastruktur für weitere Cyberattacken missbrauchen.
Auf der internationalen CVSS-Skala, dem Common Vulnerability Scoring System, werden die Lücken mit 9,2 bewertet. Die Lage sei geschäftskritisch, der Regelbetrieb könne massiv beeinträchtigt werden.
Falls Sicherheitsupdates nicht umgehend installiert werden können, hält das BSI laut Quelle eine vorübergehende Trennung des Webservers vom Internet für erwägenswert, bis der Patch eingespielt ist. Dadurch solle eine Kompromittierung verhindert werden.
Der Sicherheitslücke ging nach Darstellung des Wall Street Journal eine Entdeckung voraus. Aus Sorge, bösartige Hacker könnten mit KI ebenfalls die Schwachstelle massenhaft ausnutzen, hätten die Fachleute sie zunächst geheim gehalten, während sie an einer Lösung arbeiteten. Die Warnung samt Update war eigentlich für diesen Donnerstag vorgesehen.
Dann kam es anders. Detaillierte Informationen zur Schwachstelle gelangten unbeabsichtigt vorab in Umlauf. Branchenexperten befürchten, dass Kriminelle bald automatisierte Skripte einsetzen, um ungeschützte Server im Internet im großen Stil aufzuspüren und anzugreifen.
Die Stadt München schaltete verschiedene Webseiten und Onlinedienste der Stadtverwaltung ab.
Bereitgestellte Sicherheitsupdates für PHP und genutzte Systeme müssten ohne Verzug eingespielt werden.
Zum aktuellen Zeitpunkt seien keine bestätigten Ausnutzungen der Schwachstellen bekannt, wie die Behörde mitteilt. Angreifer könnten mittels KI-gestützter Werkzeuge Exploits in kurzer Zeit generieren. Es bestehe unverzüglicher Handlungsbedarf.
Für normale Internetnutzer besteht beim Surfen auf Smartphone oder PC kein direkter Handlungsbedarf, weil die Lücke nicht auf den Endgeräten liegt, sondern auf den Servern im Hintergrund.
Kommentare (0)