Microsoft-Chef Satya Nadella hat erklärt, eine Lage wie den PHP-Notfall habe er seit sehr langer Zeit nicht mehr erlebt, berichtete die BBC. Bei einer Konferenz sprach er über die weltweiten Bemühungen, eine kritische Sicherheitslücke in Millionen Websites zu schließen. Für alle IT- und Sicherheitsfachleute sei es ein langer Tag und eine lange Nacht gewesen.
Die BBC hat mehrere IT- und Cyber-Experten befragt, die über ihre Schwierigkeiten in den vergangenen 48 Stunden berichteten. Ihre Schilderungen zeigen, wie es an vorderster Front eines größeren Cyber-Notfalls zugeht. Zugleich betonen sie, dass Falschinformationen und Panik die Lage deutlich verschlimmert haben.
Der britische Systemadministrator Adam M. spricht von einem unablässigen Druck. Er habe noch nie so viele Nachrichten von besorgten Menschen über ihre Websites erhalten. Seine größte Herausforderung sei es, Kunden zu koordinieren, die ihre Seiten vorsorglich offline nehmen wollen, während er Updates und Korrekturen über unzählige unterschiedliche Systeme hinweg abstimmen müsse. Manchmal dauere es länger, eine Website vom Netz zu nehmen, als das PHP-Problem selbst zu beheben.
PHP ist eine sehr populäre Programmiersprache, die Millionen Websites antreibt. In dem System wurden zwei kritische Schwachstellen gefunden. Nationale Cyber-Sicherheitsbehörden drängten IT-Teams daher, einen Sicherheitsfix dringend herunterzuladen oder Websites und Server offline zu nehmen.
Adam M. berichtet, seither unter enormem Druck zu stehen und viel Schlaf verloren zu haben. Er arbeite früh am Morgen und beende seine Arbeit erst um 22.30 Uhr britischer Sommerzeit (BST), um die Systeme seiner Kunden abzusichern.
Auf Mauritius sagte der IT-Administrator Loganaden V., auch bei ihm sei die Arbeit seit der Erkenntnis, wie stark so viel Software auf PHP angewiesen ist, auf Hochtouren gelaufen. Viele laufende PHP-Versionen seien vollständig außer Unterstützung, weshalb Web-Anwendungen neu aufgebaut und in einigen Fällen Code verändert werden müsse. Ein Teil des Problems sei gewesen, dass die Ankündigung der Sicherheitslücken überraschend kam und kaum Zeit zur Vorbereitung blieb.
Jon J., technischer Direktor eines Unternehmens für digitale Werbung, wurde ebenfalls durch die Warnungen zum Handeln gebracht. Die Warnmeldung sei für ihn eine neue Erfahrung gewesen, wie er sagte. Es habe sich zugleich aufregend angefühlt, fast wie in einer Hollywood-Actionszene. Der Patch der PHP Foundation, die die Sprache verwaltet, wurde am Mittwoch um 15 Uhr BST veröffentlicht, und viele wollten ihn sofort herunterladen. Jon J. habe das Gefühl gehabt, ein Wettlauf habe begonnen. Er sagte zudem, jedes Software-Update könne andere Probleme verursachen.
Cyberexperten stellen nun in Frage, ob diese Gerüchte zutrafen. Daniel C., ein britischer Cyberexperte, sprach von einer Flut wertloser Informationen über Hacker, die angeblich mit funktionierenden Proof-of-Concept-Methoden aktiv seien. Auch er sei seit Dienstag ausgelastet gewesen, als die Gerüchte über PHP-Hacks die Runde machten. Die Schwachstellen seien auf dem Papier sehr ernst zu nehmen, doch viele Fachleute ärgern sich über die Falschinformationen über Hacker.
Neben den Warnungen von Regierungsstellen, darunter die des japanischen Premierministers, machten auch Cybersicherheitsfirmen Fehler. Ein großes Unternehmen der Branche warnte, Hacker hätten einen funktionierenden Proof of Concept, musste diese Warnung aber zurückziehen. Trotz Warnungen von Cloudflare und AWS, dass stündlich Millionen Angriffsversuche registriert worden seien, gibt es nach Angaben der BBC keine Belege für großflächige Datenschutzverletzungen oder Cyberangriffe. Hacker haben zwar KI eingesetzt, um Angriffsmethoden zu entwickeln, doch keine davon scheint derzeit im großen Maßstab zu funktionieren. Das könne sich bald ändern.
Die KI wurde auch genutzt, um die PHP-Lücken aufzuspüren, die seit Jahrzehnten vor menschlichen Forschern verborgen waren. Die befragten IT-Fachleute waren sich einig, dass solch gravierende Schwachstellen künftig häufiger aufgedeckt werden, da KI-Werkzeuge beim Hacken inzwischen so gut geworden seien. Einige in der Branche sorgen sich jedoch, wie die Öffentlichkeit über die kritischen Schwachstellen informiert wurde, und befürchten, dass weitere Fortschritte bei der KI ähnliche Vorfälle hervorbringen könnten.
Mark Maunder, Gründer von Wordfence, einem Sicherheitswerkzeug für WordPress, schrieb, man werde mit den beeindruckenden Fähigkeiten, die OpenAI und Anthropic bereitstellen, gefährliche Schwachstellen finden. Man müsse aber die Kommunikation darüber kalibrieren. Er sieht die Gefahr einer sogenannten Alarmmüdigkeit, die zum großen Problem werden könnte, falls eine voll ausnutzbare und schwere Lücke auftaucht.
Kommentare (0)