Ein ehrenamtlicher Softwarebetreuer, der bei der Verteilung von Sicherheitsupdates für PHP hilft, ist zu einer Schlüsselfigur bei den Bemühungen geworden, Websites weltweit zu schützen. Das berichtete die Hindustan Times. Auslöser war eine Dringlichkeit, mit der betroffene Systeme nach zwei schweren Sicherheitslücken gepatcht werden mussten.
Ondřej Surý lebt in Tschechien und hilft, Softwarepakete für PHP zu pflegen und zu automatisieren. PHP ist eine Programmiersprache, die nach Angaben von The Atlantic von etwa 70 Prozent der Websites genutzt wird. Die Lücken waren erst kurz zuvor bekannt geworden. Sie könnten es Angreifern ermöglichen, eigenen Code auf betroffenen Servern auszuführen. Damit könnten Daten gestohlen, Websites gestört oder kompromittierte Systeme für kriminelle Aktivitäten genutzt werden.
Die PHP Foundation, die die Programmiersprache betreut, hatte von den Schwachstellen erfahren, bevor Informationen darüber online durchsickerten. Das Leck veranlasste Entwickler, die Veröffentlichung eines Patches zu beschleunigen. Der Zeitplan wurde dadurch um einen Tag vorgezogen.
Nach der Veröffentlichung des Patches nahmen Websites und Organisationen ihre Systeme vom Netz, um die Korrektur einzuspielen. Betroffen waren laut Bericht Regierungsseiten in Deutschland und Finnland sowie einige Krankenhaus- und Schulwebsites in Europa. Cloudflare-Chef Matthew Prince sagte, die Versuche, die Lücken auszunutzen, seien rund um die öffentliche Bekanntgabe stark angestiegen. In den zehn Stunden vor der Ankündigung habe es Tausende Versuche gegeben, danach Zehntausende innerhalb von 45 Minuten, Hunderttausende innerhalb von zwei Stunden und anschließend Millionen.
Surýs Beitrag besteht darin, PHP-Quellcode in Pakete aufzubereiten, die Administratoren auf Servern installieren können. Diese Pakete erleichtern es, Updates auf einer großen Zahl von Maschinen auszurollen, ohne die Software manuell kompilieren zu müssen. Surý sagte dem Atlantic, dass er seit mehr als 20 Jahren in diesem Bereich arbeite und vor der Freigabe des Fixes Zeit gehabt habe, die Pakete vorzubereiten. Zwar könnten auch andere Quellen den PHP-Code liefern, doch fertig installierbare Pakete machten den Vorgang für Administratoren schneller und einfacher.
Surý arbeitet nicht für die PHP Foundation. Neben seiner Vollzeitstelle als Direktor für DNS-Technik beim gemeinnützigen Internet Systems Consortium engagiert er sich ehrenamtlich in dem Projekt. Seine Arbeit erhalte Spenden, die er jedoch als bescheiden bezeichnete. Nach dem Sicherheitsvorfall seien die Spenden deutlich gestiegen. Innerhalb von 24 Stunden seien Beiträge eingegangen, die etwa dem Wert eines Jahres früher gesammelter Spenden entsprächen, sagte Surý.
Surý erklärte außerdem, mit Raphaël Hertzog von dem Softwareunternehmen Freexian werde über Notfallpläne gesprochen, damit andere die Arbeit übernehmen könnten, falls er ausfalle. Zugleich warnte er, dass das Risiko nicht verschwunden sei, weil nicht jede Website die Updates installiert habe. Ungepatchte Systeme könnten weiterhin Vandalismus, Störungen, Botnet-Infektionen oder den Missbrauch für Kryptowährungs-Mining erleben. Behauptungen, ältere PHP-Versionen ließen sich dauerhaft nicht patchen, wies er zurück. Updates seien möglich, wenn Betreiber die nötigen Schritte unternähmen.
Der Vorfall hat die Frage neu aufgeworfen, ob Unternehmen und Organisationen ausreichend in die Infrastruktur investieren, auf die sie angewiesen sind. Surý sagte, Werkzeuge der künstlichen Intelligenz beschleunigten das Auffinden von Schwachstellen. Verteidiger könnten large language models aber ebenfalls nutzen, um Sicherheitslücken zu erkennen. Unternehmen, die von Open-Source-Software profitieren, sollten nach seiner Ansicht die Menschen, die sie pflegen, finanziell besser unterstützen. Andernfalls könne das derzeitige System unhaltbar werden, wenn Freiwillige die Motivation verlören.
Normalen Internetnutzern empfahl Surý, sich bei solchen Vorfällen auf Cybersicherheitsexperten zu verlassen. Den Vorfall beschrieb er als weitere Warnung, dass kritische digitale Infrastruktur nicht als selbstverständlich gelten dürfe.
Kommentare (0)