PHP-Lücke legt Websites lahm
Eine kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP setzt weltweit Millionen Websites unter Druck. Das BSI warnt mit Stufe 3, erste Städte und Einrichtungen haben ihre Seiten vorsorglich abgeschaltet.
Weltweit geraten derzeit Millionen Internetseiten unter Druck: In der Programmiersprache PHP sind zwei kritische Sicherheitslücken entdeckt worden. Betroffen ist damit ein zentrales Fundament des Netzes, denn PHP steckt hinter unzähligen Blogs, Shops, Portalen und Content-Management-Systemen wie WordPress. Allein dort laufen laut Experten weltweit 400 bis 500 Millionen Webseiten.
BSI stuft Gefahr als sehr hoch ein
Die Warnungen kommen gleich von mehreren Seiten. Neben Huntress und dem PHP-Sicherheitsteam hat auch das BSI eine offizielle Cyberwarnung veröffentlicht. Die Behörde ordnet die Lage mit Warnstufe 3 / Orange als außerordentlich riskant ein. Hintergrund: Angreifer könnten die Schwachstellen aus der Ferne ausnutzen, eigenen Schadcode auf Servern ausführen und so im schlimmsten Fall komplette Websites übernehmen.
Damit wären nicht nur Betreiber betroffen. Nach Einschätzung der Experten könnten Kriminelle auch sensible Kundendaten abgreifen oder kompromittierte Systeme für weitere Angriffe missbrauchen. Zusätzlichen Druck erzeugt, dass Details zu den Schwachstellen unbeabsichtigt vorzeitig öffentlich wurden. Die IT-Branche muss deshalb schnell reagieren.
Erste Seiten bereits vom Netz
Mehrere Einrichtungen haben vorsorglich schon Konsequenzen gezogen und Online-Angebote vorübergehend abgeschaltet. Genannt werden unter anderem:
- die Landeshauptstadt Mainz mit mehreren städtischen Internetdiensten
- die Städte Potsdam und Halberstadt
- Einrichtungen aus Bereichen wie Behörden, Universitäten und Krankenhäuser
Die Entwickler von PHP haben inzwischen aktualisierte Versionen veröffentlicht, in denen die Lücken geschlossen sein sollen. IT-Fachleute raten dringend dazu, Sicherheitsupdates sofort einzuspielen und Kontakt zu Administratoren, Dienstleistern oder Hosting-Anbietern aufzunehmen. Laut Heise Security bleibt ohne installiertes Update im Zweifel nur eine harte Maßnahme: PHP-Server vorübergehend vom Netz nehmen, um eine mögliche Kompromittierung zu vermeiden.
Quelle: Tagesschau