Fehler in Programmiersprache bringt IT-Experten um ihren Schlaf

- von Hakan Ersen

Frankfurt, 22. Okt (Reuters) - Schwachstellen in der populären Programmiersprache PHP haben einen Wettlauf zwischen Webseitenbetreibern und Cyberkriminellen ausgelöst. Die einen arbeiteten am Donnerstag mit Hochdruck daran, eine aktualisierte Version der Software zu installieren, während die anderen die Sicherheitslücken auszunutzen versuchten. Weltweit nahmen Unternehmen, Behörden und andere Organisationen ihre Internetauftritte vorübergehend vom Netz, um ihre IT-Systeme zu schützen.

Der Cybersicherheitsfirma CloudflareNET.N zufolge löste das Bekanntwerden der PHP-Fehler eine Flut von Attacken aus. In den Stunden davor habe es einige tausend Versuche gegeben, die Sicherheitslücken auszunutzen, schrieb Unternehmenschef Matthew Prince auf dem Kurznachrichtendienst X. "Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und geht mittlerweile in die Millionen." Die Zahl der durch die Schwachstellen potenziell gefährdeten Server und Anwendungen beziffert die Cybersicherheitsfirma Palo Alto Networks auf mehr als 22 Millionen weltweit. Schätzungen zufolge basieren etwa zwei Drittel bis drei Viertel aller Webseiten auf PHP.

REGE UPDATE-TÄTIGKEIT

"Die größeren Betreiber scheinen die Updates bereits eingespielt zu haben", sagte Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom. "Nichtsdestotrotz wird uns das Thema noch lange beschäftigen. Es wird weiterhin Applikationen geben, die nicht auf dem aktuellen Stand sind. Die Frage ist dann, ob dies Konsequenzen für andere Anwendungen hat." Der deutsche Cloud-Anbieter und Webhoster IonosIOSn.DE teilte am Donnerstagmorgen mit, er habe das PHP-Update bereits eingespielt. Lediglich Ionos-Kunden, die eigene Server betrieben, müssten selbst aktiv werden. Der Branchendienst Censys warnte jedoch, dass 1,5 Millionen der weltweit 2,6 Millionen Webseitenbetreiber eine veraltete PHP-Version nutzten, für die es kein Sicherheitsupdate gibt.

Die PHP-Sicherheitslücke habe IT-Verantwortlichen eine schlaflose Nacht beschert, sagte MicrosoftMSFT.O-Chef Satya Nadella auf einer Veranstaltung in Köln. "So etwas habe ich schon lange nicht mehr gesehen." Es sei ein Weckruf und erinnere die Verantwortlichen daran, dass man bei IT-Systemen nicht nur einzelne Anwendungen betrachten dürfe, sondern auch die Abhängigkeiten im Blick behalten müsse.

ECKPFEILER DES WORLD WIDE WEB

PHP dient als Basis für zahlreiche Webanwendungen wie Online-Shops oder Portale der öffentlichen Verwaltung. In dieser Sprache ist zudem das Softwarepaket WordPress programmiert, mit dem auch Privatpersonen Webseiten erstellen und veröffentlichen können. Die Schwachstellen seien bereits vor längerer Zeit durch Künstliche Intelligenz (KI) aufgedeckt worden, teilten zwei Cybersicherheitsfirmen unabhängig voneinander mit. Seither wurde an einer Lösung gearbeitet. Die Lücken seien mehr als ein Jahrzehnt lang unentdeckt geblieben.

"Früher war das Aufspüren von Sicherheitslücken die größte Herausforderung", sagte Madeline Lawrence, Mitgründerin der Softwarefirma Aikido Security. "Die neuesten KI-Modelle machen dies sowohl für Angreifer als auch für Verteidiger wesentlich einfacher. Es erfordert weniger Zeit, Geld und Fachwissen, um eine Schwachstelle für einen Angriff zu nutzen." Dadurch werde es immer schwieriger, rasch Gegenmaßnahmen zu ergreifen.

Die Entwickler von PHP hatten am Mittwochnachmittag (MESZ) eine aktualisierte Version (PHP 8.5.12) veröffentlicht und eindringlich dazu geraten, diese umgehend zu installieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schloss sich dieser Aufforderung ebenso an wie das chinesische Industrieministerium. Die südkoreanische Regierung ergriff Notfallmaßnahmen.