Sehr viel Webseiten basieren auf PHP. Die nun bekannt gewordene Sicherheitslücke erfordert sofortigen Handeln der Administratoren, (Quelle: Lawrence Monk/Pixabay/hiz)

 

Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen. Eine Veröffentlichung entsprechender Sicherheitsupdates durch die Entwickler wird für den heutigen Nachmittag um 16 Uhr erwartet. Das BSI ruft IT-Sicherheitsverantwortliche und Betreiber dazu auf, diese umgehend nach Veröffentlichung zu installieren.

 

Aktuellen Informationen zufolge sind alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar. Derzeit kann nicht ausgeschlossen werden, dass es Angreifern durch die Schwachstellen möglich ist, aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen. PHP ist ein zentraler Baustein in Webanwendungen und wird weltweit eingesetzt. Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen, massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.

 

BSI-Vizepräsident Thomas Caspers: „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“

 

Dazu erklärt Felix Kuhlenkamp, Leiter Sicherheit beim Digitalverband Bitkom: „In der Programmiersprache PHP sind zwei kritische Sicherheitslücken bekannt geworden, über die Angreifer aus der Ferne Schadcode auf Webservern ausführen könnten. Diese Sicherheitslücken sind sehr ernst, denn PHP läuft auf einem großen Teil der Webserver weltweit, von Online-Shops über Unternehmenswebsites bis zu Portalen der Verwaltung. Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden und in diesem Fall die in Kürze zur Verfügung stehenden Sicherheitsupdates ohne Verzögerung einspielen. Das gilt besonders für Hoster und IT-Dienstleister, die Systeme für viele Kunden betreiben. Unternehmen sollten zudem prüfen, wo PHP in ihrer IT überall steckt, auch in älteren Versionen, die keine Updates mehr erhalten.

 

Viele wissen nicht genau, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können. Wie schnell Kriminelle solche Lücken ausnutzen, hat das Jahr 2021 gezeigt. Damals wurden Schwachstellen im weit verbreiteten E-Mail-Server Microsoft Exchange bekannt, und gegen Jahresende die Lücke Log4Shell in einem Software-Baustein, der in unzähligen Anwendungen steckte. In beiden Fällen suchten Kriminelle binnen Stunden weltweit nach verwundbaren Systemen. Heute dürfte das Auffinden von verwundbaren Systemen mit Hilfe von KI noch um ein Vielfaches schneller gehen.“

 

Die Entwickler stellen am 21. Oktober um 16 Uhr deutscher Zeit Patches für unterschiedliche PHP-Versionen bereit, die vor Angriffen schützen. Um unverzüglich auf die Veröffentlichung reagieren zu können, sollten Organisationen entsprechende personelle Ressourcen bereithalten: IT-Sicherheitsverantwortliche und Betreiber sind dazu aufgerufen, zu diesem Zeitpunkt umgehend die Patches auf PHP-Webserver einzuspielen sowie den Patchstatus anhand des Advisories zu verifizieren. Betreiber sollten exponierte PHP-Webserver zudem verstärkt auf Auffälligkeiten beobachten.

 

Siehe auch:

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032