Die vorzeitige Veröffentlichung einer Sicherheitslücke in der Programmiersprache PHP hat nach Angaben von POLITICO praktisch alle Cybersicherheitsbehörden der Welt in einen hektischen Einsatz über 72 Stunden versetzt. Cyberbehörden in Europa, den USA, Großbritannien, Australien und Kanada gaben am selben Tag dringende Warnungen heraus. Zahlreiche Regierungen nahmen Websites vorsorglich vom Netz.
Die Lücke wurde mithilfe von KI-Werkzeugen entdeckt, in einem über Monate laufenden Prozess, der von OpenAI koordiniert wurde. Den Ausschlag für die Panik gab eine Entscheidung des Cybersicherheitsunternehmens Chainguard, Informationen über die Schwachstelle vorzeitig zu veröffentlichen. Dadurch blieb ein großer Teil des Internets Hackern ausgesetzt, bevor eine Lösung bereitstand.
Chainguard-Chef Dan Lorenc hatte sich zunächst in einem Beitrag auf LinkedIn entschuldigt. In einem Interview mit POLITICO sagte er, er habe die Informationen früher geteilt, weil die Lücke bereits ausgenutzt werde. Andere widersprachen dieser Darstellung. Lorenc erklärte, er habe nach eigener Einschätzung genug Hinweise gesehen, um ein Embargo aufzuheben, das eingerichtet worden war, damit eine Lösung für die Schwachstellen gefunden werden kann. Er bestritt, dass sein Vorgehen anderen Verteidigern geschadet hätte. Zugleich räumte er ein, dass die Schwelle für eine solche Entscheidung in koordinierten Abwehrsystemen ein „grey area“ sei.
Die PHP Foundation warf Chainguard vor, das Embargo einseitig gebrochen zu haben. Dadurch seien Wochen der Arbeit vieler Beteiligter an einer koordinierten Veröffentlichung missachtet worden. Die geschäftsführende Direktorin Elizabeth Barron teilte POLITICO per E-Mail mit, man sei von Chainguard enttäuscht, hoffe aber, das Vertrauen wieder aufzubauen, um künftig weiter wirksam zusammenarbeiten zu können.
Nach dem Leck waren die Informationen über die Fehler öffentlich, bevor die Lösung fertig war. Regierungsstellen und Unternehmen schalteten daraufhin ihre Websites vorübergehend ab, um kein Risiko für Daten und Seiten einzugehen. Matthew Prince, Chef des Internetdienstleisters Cloudflare, schrieb auf X, sein Unternehmen habe Millionen Versuche gesehen, die Lücke auszunutzen. Laut Prince gab es zunächst Tausende Versuche in den zehn Stunden vor der öffentlichen Ankündigung, danach Zehntausende in den 45 Minuten nach der Ankündigung und Hunderttausende innerhalb von zwei Stunden. Auch die Cloud-Sparte von Amazon erklärte, die Lücke werde inzwischen breit in freier Wildbahn ausgenutzt.
Ein hochrangiger Cyberbeamter der US-Regierung sagte, die Bundesbehörden seien überlastet, und das nicht nur wegen PHP. Am selben Tag hätten sie sich auch mit Fehlern in Node.js, Fortinet, GitHub und Oracle befasst. Die Lage beschrieb er mit einem Bild: Die Feuerwehr bekämpfe mehrere Brände gleichzeitig. Die gute Nachricht sei, dass es sich um eingeschossige Gebäude handle, mit denen die Feuerwehr täglich zu tun habe.
OpenAI erklärte in einer Mitteilung, diese Fehler gehörten zu mehreren gravierenden Schwachstellen, die man bereits gefunden habe und zu beheben versuche. Man erwarte, dass ähnliche Funde in den kommenden Monaten stark zunehmen würden.
Matthijs van Amelsfort, Leiter der niederländischen Cybersicherheitsbehörde, sagte in einem Interview, die Aufgabe, Computersysteme sicher zu halten, habe sich durch den Fortschritt der KI verändert. Schon als die neuesten Modelle erschienen, habe man genau das vorhergesagt. Nun passiere es tatsächlich. Thomas Caspers, Vizepräsident der deutschen Cyberbehörde BSI, bestätigte diese Einschätzung. Man erwarte, dass dies in den kommenden Monaten immer häufiger geschehe.
Caspers bezeichnete die Empfehlung der Behörden, Websites offline zu nehmen, als „wirklich eine drastische Maßnahme“. Vor einigen Jahren hätte man das nicht getan. Weil KI es schneller und leichter mache, Lücken auszunutzen, habe man aber so handeln müssen. Zugleich könne der Einsatz fortgeschrittener KI zur Erkennung von Fehlern einen neuen Schutz gegen Hacker bieten. Die BSI habe zwar auch Angriffe registriert, bislang jedoch keine erfolgreiche Ausnutzung der Lücke durch Hacker beobachtet. Die Lücke sei offenbar schwieriger auszunutzen als erwartet.
Die eigentliche Arbeit bleibt nach Darstellung von POLITICO schlicht. Die Behörden forderten Organisationen auf, den von der PHP Foundation bereitgestellten Fix zu installieren, also zu patchen. Van Amelsfort fasste es so zusammen: Man müsse jetzt drei Dinge tun, nämlich patchen, patchen und nochmals patchen.
Kommentare (0)