Update 1-EU-Behörde warnt: Websites müssen möglicherweise offline genommen werden, da PHP Patches für Sicherheitslücken vorbereitet
- von Rajveer Pardesi und Raphael Satter
21. Okt (Reuters) - Die Entwickler der weit verbreiteten Programmiersprache PHP kündigten am Mittwoch an, Patches für zwei kritische Sicherheitslücken zu veröffentlichen, während EU-Cybersicherheitsbehörden Organisationen, die die Korrekturen nicht anwenden können, dazu aufforderten, betroffene Websites offline zu nehmen.
PHP wird in weiten Teilen des Internets verwendet, und im Laufe des vergangenen Tages kursierten Spekulationen, dass Websites, auf denen die Software läuft, ernsthaften Cyberangriffen ausgesetzt sein könnten.
„PHP ist überall. Es treibt still und leise WordPress-, Drupal-, Joomla- und Magento-Seiten, Shared-Hosting-Plattformen, Control Panels und eine Unmenge an Software an, die nicht einmal damit wirbt, dass sie unter der Haube mit PHP läuft“, erklärte das Cybersicherheitsunternehmen Huntress in einem Blogbeitrag.
In einem Sicherheitsupdate teilte PHP mit, dass beide Schwachstellen auf der CVSS-v4.0-Schweregradskala mit 9,2 bewertet wurden, und forderte die Nutzer dringend auf, „das Upgrade durchzuführen, sobald die neue Version verfügbar ist“.
Ein Patch für beide Schwachstellen sei für Mittwoch um 14:00 Uhr GMT geplant.
Das Computer Emergency Response Team der Europäischen Union (, CERT-EU,) erklärte am Dienstag in einer Sicherheitsempfehlung, dass die Bewertung von 9,2 auf das Risiko einer nicht authentifizierten Remote-Code-Ausführung hindeute – eine Art von Schwachstelle, die es Angreifern ermöglichen kann, bösartigen Code auf anfälligen Systemen auszuführen, ohne sich anzumelden.
CERT-EU forderte Organisationen nachdrücklich auf, sich auf die sofortige Behebung der betroffenen Systeme vorzubereiten, und erklärte, dass diejenigen, denen dies nicht möglich sei, erwägen sollten, die betroffenen Websites offline zu nehmen.
Das Australian Cyber Security Centre (ACSC) gab ähnliche Empfehlungen heraus und forderte Organisationen auf, PHP-Systeme in ihren Umgebungen zu identifizieren, sich auf die Installation von Patches vorzubereiten und Anwendungen auf Anzeichen böswilliger Aktivitäten zu überwachen.
„Dem ACSC sind derzeit keine aktiven Angriffe im Zusammenhang mit diesen Schwachstellen bekannt“, erklärte die Behörde.
Der Webhosting-Anbieter GoDaddy erklärte, die Schwachstellen könnten es Angreifern ermöglichen, über das Internet Code auf betroffenen Servern auszuführen, was potenziell zu Datendiebstahl, der Verunstaltung von Websites oder einer vollständigen Kompromittierung des Systems führen könnte.
Das Sicherheitsteam von PHP erklärte, dass Details zu den Sicherheitslücken, den betroffenen Versionen und den korrigierten Versionen veröffentlicht würden, sobald Patches bereitgestellt würden.
CERT-EU und das ACSC gaben an, dass alle PHP-Versionen ab PHP 5 betroffen sein könnten, obwohl PHP noch nicht bekannt gegeben hat, welche Versionen anfällig sind.
(Als Service bietet die Nachrichtenagentur Reuters eine automatische Übersetzung einiger englischer Artikel in eine Reihe von Sprachen an, darunter auch Deutsch. Da durch eine maschinelle Übersetzung Fehler entstehen können und der notwendige Kontext möglicherweise fehlt, übernimmt Reuters keine Gewähr für die Korrektheit der automatisch übersetzten Texte. Sie werden ausschließlich als Service zur Verfügung gestellt. Reuters lehnt eine Haftung für etwaige Schäden oder Verluste jeglicher Art ab, die aus der Nutzung der automatischen Übersetzungen entstehen.)