Kritische PHP-Sicherheitslücke: In Europa werden Websites abgeschaltet, während Entwickler die Bedrohung beheben

In Europa werden Websites von Behörden sowie Online-Angebote von Krankenhäusern und anderen Organisationen wegen kritischer Schwachstellen in PHP, einer der am weitesten verbreiteten Programmiersprachen für Websites, vorübergehend abgeschaltet. Die Entwickler haben bereits Fehlerbehebungen veröffentlicht, die Betreiber der betroffenen Angebote müssen die Updates jedoch so schnell wie möglich installieren und die Sicherheit ihrer Server überprüfen, Berichte SDWSKI.com.

Die Nachrichtenagentur Reuters berichtete am 21. Oktober über die Bedrohung. Ihren Angaben zufolge ist die Infrastruktur in mehreren europäischen Ländern von dem Problem betroffen. Einige Organisationen entschieden sich dazu, ihre Websites vorübergehend abzuschalten, um das Risiko möglicher Cyberangriffe zu verringern.

Was ist passiert

PHP wird zur Verarbeitung von Daten auf Servern und zum Betrieb zahlreicher Websites eingesetzt. Darauf basieren beliebte Content-Management-Systeme wie WordPress, Drupal und Joomla.

Die entdeckten Schwachstellen wurden auf der Skala CVSS 4.0 mit 9,2 von 10 Punkten bewertet, was einer kritischen Gefahrenstufe entspricht. Unter bestimmten Bedingungen können sie es Angreifern ermöglichen, ohne vorherige Authentifizierung Befehle auf dem Server auszuführen.

Bei einem erfolgreichen Angriff könnte dies den Zugriff auf Daten, die Veränderung von Website-Dateien oder die Kompromittierung des Servers ermöglichen. Die tatsächlichen Folgen hängen von der Systemkonfiguration und den vorhandenen Schutzmechanismen ab.

Das Ausmaß des potenziellen Problems ist aufgrund der weiten Verbreitung von PHP besonders groß. Laut den von Reuters zitierten Daten wird diese Sprache auf etwa 75% der Websites eingesetzt, deren serverseitige Technologie bekannt ist. WordPress, wiederum, bildet die Grundlage für etwa 43% aller Websites im Internet.

Welche Websites abgeschaltet wurden

Nach der Entdeckung der Schwachstellen ergriffen Organisationen in mehreren europäischen Ländern umgehend Sicherheitsmaßnahmen.

• Niederlande. Mehrere staatliche Ressourcen sowie Websites von Krankenhäusern, des Fußballverbands und politischer Parteien wurden vorübergehend abgeschaltet.
• Finnland. Der Betrieb einiger staatlicher Webdienste wurde ausgesetzt.
• Frankreich. Die Websites lokaler Verwaltungsbehörden wurden vorübergehend abgeschaltet.
• Deutschland und Belgien. Auch über die vorübergehende Abschaltung einzelner Ressourcen wurde berichtet.
• Wikimedia Foundation. Sie teilte mit, dass an der Behebung der Sicherheitslücken gearbeitet werde und einige Systeme vorübergehend abgeschaltet würden, bis entsprechende Patches installiert seien.

Die vorübergehende Abschaltung einer Website bedeutet jedoch nicht, dass sie bereits gehackt wurde. In einigen Fällen begründeten die Organisationen ihre Maßnahmen damit, mögliche Angriffe verhindern zu müssen.

Gibt es bestätigte Fälle erfolgreicher Angriffe?

Zum Zeitpunkt der Veröffentlichung berichtete Reuters von ersten Angriffsversuchen. Die australische Cybersicherheitsbehörde erklärte jedoch, ihr sei keine aktive Ausnutzung dieser Schwachstellen bekannt.

Dies ist ein wichtiger Unterschied: Eine kritische Schwachstelle bedeutet, dass ein System potenziell angreifbar ist, beweist jedoch nicht, dass sich Angreifer bereits Zugriff darauf verschafft haben.

Dennoch ist es riskant, die Installation von Sicherheitsupdates aufzuschieben. Nach der öffentlichen Bekanntgabe einer Schwachstelle können Angreifer verstärkt nach verwundbaren Servern suchen und versuchen, bekannte Angriffsmethoden anzuwenden.

Warum Updates von WordPress möglicherweise nicht ausreichen

Betreiber von Websites auf WordPress sollten beachten, dass die Aktualisierung des CMS selbst und die Aktualisierung von PHP zwei unterschiedliche Vorgänge sind.

WordPress kann auf die neueste Version aktualisiert werden, während der Server weiterhin mit einer verwundbaren PHP-Version läuft. Die standardmäßigen automatischen Updates von WordPress ersetzen keine Aktualisierung der Serversoftware.

Je nach Hostingtyp wird PHP über das Control Panel oder durch den Anbieter aktualisiert. Websitebetreiber sollten daher prüfen, welche Version auf dem Server verwendet wird und ob ein Sicherheitsupdate installiert wurde, das die entdeckten Schwachstellen behebt.

Auch andere Komponenten der Infrastruktur müssen berücksichtigt werden: Plugins, Servermodule, Zugriffseinstellungen und Sicherheitsmaßnahmen.

Was Websitebetreiber tun sollten

Die PHP-Entwickler haben bereits Fehlerbehebungen veröffentlicht. Für Websitebetreiber und Serveradministratoren ist es jetzt wichtig, nicht nur zu prüfen, ob Updates verfügbar sind, sondern auch sicherzustellen, dass sie tatsächlich installiert wurden und funktionieren.

Empfohlen:

1. Die PHP-Version überprüfen. Ermitteln, welche Version auf dem Server verwendet wird, und sie mit den offiziellen Empfehlungen der Entwickler abgleichen.
2. Die Fehlerbehebung installieren. PHP auf eine fehlerbereinigte Version aktualisieren, die mit den verwendeten Anwendungen kompatibel ist.
3. Den Hostinganbieter kontaktieren. Wenn der Websitebetreiber die Serverumgebung nicht selbst verwaltet, sollte geklärt werden, ob das Update installiert wurde und welche Schutzmaßnahmen getroffen wurden.
4. Die Serverprotokolle überprüfen. Bei verdächtigen Aktivitäten sollten die Protokolle überprüft und mögliche Versuche zur Ausnutzung von Schwachstellen untersucht werden.
5. Sicherheit der Website überprüfen. Bei Anzeichen einer Kompromittierung sind weitere Untersuchungen sowie die Überprüfung von Dateien, Konten und Zugriffsrechten erforderlich. Außerdem müssen potenziell betroffene Zugangsdaten geändert werden.

Falls noch kein Sicherheitsupdate verfügbar ist, sollte der Provider um Empfehlungen für vorübergehende Schutzmaßnahmen gebeten werden. Je nach Situation kann es erforderlich sein, den Zugriff auf den anfälligen Dienst einzuschränken oder ihn vorübergehend zu deaktivieren.

Kann Cloudflare helfen?

Der Einsatz von Cloudflare kann durch die Filterung des Datenverkehrs und Regeln der Web Application Firewall eine zusätzliche Schutzebene bieten. Cloudflare allein garantiert jedoch keinen Schutz vor der Ausnutzung einer bestimmten PHP-Sicherheitslücke.

Die Schutzmöglichkeiten hängen von der Art des Angriffs, der Konfiguration des Dienstes und davon ab, ob der gesamte relevante Datenverkehr über Cloudflare läuft. Daher sollte Cloudflare nicht als Ersatz für ein PHP-Update betrachtet werden.

Was dies für das Internet bedeutet

Die aktuelle Situation zeigt, wie stark die Sicherheit zahlreicher Websites von einer vergleichsweise kleinen Zahl weitverbreiteter Technologien abhängt. Eine Sicherheitslücke in serverseitiger Software kann für Behörden, Unternehmen, Medien und unabhängige Projekte gleichermaßen zum Problem werden.

Die vorübergehende Abschaltung einer Website kann unter diesen Umständen eine gerechtfertigte Vorsichtsmaßnahme sein, ist jedoch nicht für jede Ressource zwingend erforderlich. Welche Maßnahmen notwendig sind, hängt von der PHP-Version, der Serverkonfiguration, der Verfügbarkeit eines Sicherheitsupdates und der Risikobewertung ab.

Websitebetreiber sollten sich an den offiziellen Empfehlungen der PHP-Entwickler und ihres Hosting-Providers orientieren und nicht allein an Berichten über das Ausmaß der Bedrohung.

Die Hauptschlussfolgerung: Die Entdeckung kritischer Schwachstellen bedeutet nicht, dass alle PHP-Websites gehackt wurden oder zwingend deaktiviert werden müssen. Wenn der Server jedoch eine anfällige PHP-Version verwendet, haben eine zeitnahe Aktualisierung und eine Sicherheitsüberprüfung höchste Priorität.