Zwei kritische Sicherheitslücken in PHP, einer weit verbreiteten Programmiersprache, haben Behörden, Unternehmen und Online-Dienste in mehreren Ländern dazu veranlasst, Websites und Systeme vorübergehend abzuschalten. PHP treibt nach Angaben von Euronews rund 70 Prozent der Websites weltweit an.
Entwickler stellten Notfall-Korrekturen bereit. Cybersicherheitsbehörden forderten Organisationen auf, betroffene Systeme sofort zu aktualisieren oder bis zu ihrer Absicherung offline zu nehmen. Die Warnung führte dazu, dass Regierungen, Firmen und große Online-Dienste in mehreren Ländern Websites und andere Systeme vorsorglich vom Netz nahmen.
Die Lücken wurden mit Hilfe künstlicher Intelligenz aufgespürt. Die Sicherheitsfirma Calif entdeckte eine der Schwachstellen im August bei einem von OpenAI finanzierten Audit von PHP. Wiz, ein Cybersicherheitsunternehmen im Besitz von Google, fand und meldete beide Lücken unabhängig davon. OpenAI teilte mit, bei der Forschung von Calif sei das Modell GPT-5.6 Sol eingesetzt worden.
Das PHP-Sicherheitsteam stufte beide Schwachstellen mit 9,2 von zehn möglichen Punkten ein. Details sollten vertraulich bleiben, bis die Korrekturen fertig sind. Informationen über die Lücken gelangten jedoch vor dem geplanten Veröffentlichungstermin an die Öffentlichkeit und verschärften das Rennen, die verwundbaren Systeme abzusichern.
Zunächst hatten Sicherheitsforscher nur wenige Hinweise auf eine breite Ausnutzung der Lücken gesehen. Inzwischen wurden jedoch Angriffsversuche registriert. Damit wächst die Sorge, dass ungepatchte Systeme gezielt angegriffen werden könnten.
Die Wikimedia Foundation, die Wikipedia betreibt, nahm nach eigenen Angaben bewusst eine Reihe unterstützender Dienste vom Netz, während Sicherheitsupdates installiert wurden. Die Stiftung warnte Nutzer, dass es zu Störungen kommen könne. Amazon Threat Intelligence entdeckte ebenfalls Versuche, die Schwachstellen auszunutzen, darunter Aktivitäten vor deren öffentlicher Bekanntgabe. Seitdem hätten Forscher Versuche gemeldet, verwundbare Systeme im Netz anzugreifen.
Auch mehrere europäische Regierungen ergriffen vorsorgliche Maßnahmen. Frankreichs Innenministerium nahm Websites der Präfekturen vorübergehend offline, während Updates eingespielt wurden. Der deutsche Bundes-IT-Dienstleister ITZBund schaltete mehrere Regierungswebsites ab. Deutsche Beamte erklärten, die Maßnahme sei vorsorglich erfolgt, und es seien keine Sicherheitsvorfälle festgestellt worden.
Auch in den Niederlanden und in Finnland waren Regierungs- und öffentliche Websites zeitweise offline, während die Behörden ihre Systeme absicherten.
Das britische National Cyber Security Centre rief Organisationen, die PHP einsetzen, dazu auf, verwundbare Systeme zu identifizieren, diese auf verdächtige Aktivitäten zu überwachen und Sicherheitsupdates so schnell wie möglich zu installieren.
Kommentare (0)