Update 1-Cyber-Behörde warnt: Websites könnten ausfallen, da PHP einen kritischen Patch vorbereitet

- von Rajveer Pardesi und Raphael Satter

21. Okt (Reuters) - Die Entwickler der weit verbreiteten Programmiersprache PHP kündigten am Mittwoch an, Patches für zwei kritische Sicherheitslücken zu veröffentlichen, während EU-Cybersicherheitsbehörden Organisationen, die die Korrekturen nicht anwenden können, dazu aufforderten, betroffene Websites offline zu nehmen.

PHP wird in weiten Teilen des Internets verwendet, und im Laufe des vergangenen Tages kursierten Spekulationen, dass Websites, auf denen die Software läuft, ernsthaften Cyberangriffen ausgesetzt sein könnten.

„PHP ist überall. Es treibt still und leise WordPress-, Drupal-, Joomla- und Magento-Seiten, Shared-Hosting-Plattformen, Control-Panels und eine ganze Menge Software an, die nicht einmal damit wirbt, dass sie unter der Haube mit PHP läuft“, erklärte das Cybersicherheitsunternehmen Huntress in einem Blogbeitrag.

In einem Sicherheitsupdate teilte PHP mit, dass beide Schwachstellen auf der CVSS-v4.0-Schweregradskala mit 9,2 bewertet wurden, und forderte die Nutzer dringend auf, „das Upgrade durchzuführen, sobald die neue Version verfügbar ist“.

Ein Patch für beide Schwachstellen sei für Mittwoch um 14:00 Uhr GMT geplant.

Dane Knecht, Chief Technology Officer des Web- und Cloud-Sicherheitsunternehmens Cloudflare NET.N, sagte, dass bereits Angriffe aufträten und Cloudflare als Notmaßnahme seine Firewall-Regeln aktualisiere.

„Wir beobachten erste Angriffe und passen unsere Abwehrmaßnahmen an, sobald neue Angriffsvektoren auftreten. Dies ist lediglich eine ÜBERBRÜCKUNGSMASSNAHME. Führen Sie das Update durch, sobald PHP die Aktualisierung veröffentlicht“, sagte er auf X.

Das Computer Emergency Response Team der Europäischen Union (CERT-EU) erklärte am Dienstag in einer Sicherheitsempfehlung, dass die Bewertung 9,2 auf das Risiko einer nicht authentifizierten Remote-Code-Ausführung hinweise – eine Art von Sicherheitslücke, die es Angreifern ermöglichen kann, bösartigen Code auf anfälligen Systemen auszuführen, ohne sich anzumelden.

CERT-EU forderte Organisationen nachdrücklich auf, sich auf die sofortige Behebung der betroffenen Systeme vorzubereiten, und erklärte, dass diejenigen, denen dies nicht möglich sei, erwägen sollten, betroffene Websites offline zu nehmen.

Das Australian Cyber Security Centre (ACSC) gab ähnliche Empfehlungen heraus und forderte Organisationen auf, PHP-Systeme in ihren Umgebungen zu identifizieren, sich auf die Installation von Patches vorzubereiten und Anwendungen auf Anzeichen böswilliger Aktivitäten zu überwachen.

„Dem ACSC sind derzeit keine aktiven Angriffe im Zusammenhang mit diesen Schwachstellen bekannt“, erklärte die Behörde.

Der Webhosting-Anbieter GoDaddy erklärte, die Schwachstellen könnten es Angreifern ermöglichen, über das Internet Code auf betroffenen Servern auszuführen, was potenziell zu Datendiebstahl, der Verunstaltung von Websites oder einer vollständigen Kompromittierung des Systems führen könnte.

Wordfence, ein Sicherheits-Plugin zum Schutz von WordPress-Websites, wies darauf hin, dass alle WordPress-Seiten auf einem Server mit installiertem PHP laufen. Das Unternehmen warnte, dass automatische Updates den Patch nicht installieren würden, und riet Website-Betreibern, herauszufinden, wer für die Aktualisierung von PHP auf ihren Seiten verantwortlich ist.

Das PHP-Sicherheitsteam erklärte, dass Details zu den Sicherheitslücken, den betroffenen Versionen und den korrigierten Versionen veröffentlicht würden, sobald Patches herausgegeben werden.

CERT-EU und das ACSC gaben an, dass alle PHP-Versionen ab PHP 5 betroffen sein könnten, obwohl PHP noch nicht bekannt gegeben hat, welche Versionen anfällig sind.

(Als Service bietet die Nachrichtenagentur Reuters eine automatische Übersetzung einiger englischer Artikel in eine Reihe von Sprachen an, darunter auch Deutsch. Da durch eine maschinelle Übersetzung Fehler entstehen können und der notwendige Kontext möglicherweise fehlt, übernimmt Reuters keine Gewähr für die Korrektheit der automatisch übersetzten Texte. Sie werden ausschließlich als Service zur Verfügung gestellt. Reuters lehnt eine Haftung für etwaige Schäden oder Verluste jeglicher Art ab, die aus der Nutzung der automatischen Übersetzungen entstehen.)