Bisher keine Angriffe in Österreich bekannt

PHP-Lücke

Weltweit hat es Millionen Versuche von Cyberangriffen auf Websites gegeben, nachdem am Mittwoch gravierende Sicherheitslücken in der Programmiersprache PHP bekanntgeworden waren. Angriffe mit Schäden wurden bisher nicht bekannt. Auch in Österreich wurden bisher keine Cyberattacken auf Websites gemeldet, hieß es am Donnerstag vom Innenministerium. Dennoch waren vorsorglich zahlreiche Seiten vom Netz genommen worden. „Diese Nervosität ist Teil des Plans gewesen“, meint Harald Kapper, Präsident der Dachorganisation der Internetwirtschaft (ISPA, Internet Service Providers Austria).

Online seit heute, 21.19 Uhr

Schätzungen zufolge verwenden rund 70 Prozent aller Websites PHP. Das Softwarepaket WordPress etwa ist mit PHP programmiert sowie zahlreiche Onlineshops und Portale der öffentlichen Verwaltung. Dieser große „Popanz“ rund um die veröffentlichten Sicherheitslücken sei eingesetzt worden, um allen zu signalisieren, dass es ein Problem gebe, erklärte Kapper im ORF.at-Interview. Wäre die Sicherheitslücke und Codereparatur vorzeitig und in kleinerem Umfang veröffentlicht worden, hätten kriminelle Hacker mehr Vorlaufzeit gehabt, bis tatsächlich alle Systemadministratoren und Websitebetreiber reagieren.

Bekanntgeworden war das Sicherheitsproblem im Rahmen einer Überprüfung durch eine KI von OpenAI im Sommer. Künstliche Intelligenz ermöglicht Sicherheitsfachleuten das Aufspüren von Schwachstellen, gibt zugleich aber auch Hackern die Möglichkeit, schnell und in einem größeren Ausmaß anzugreifen. Die Behebung der Schwachstellen ist ein Wettlauf zwischen Websitebetreibern und Cyberkriminellen. Da kann auch der Zeitpunkt und die Art der Veröffentlichung eine Rolle spielen – besonders wenn viele Menschen betroffen sind. PHP zählt zu einer der am weitesten verbreiteten Technologien im Internet.

Längerer Prozess bis zur Veröffentlichung von Lücken

Der lange Zeitraum von der Entdeckung der Schwachstelle bis zur Veröffentlichung sei üblich, erklärte Kapper. Die Lücken seien nach ihrer Entdeckung in einem wissenschaftlichen Prozess verifiziert worden. Dann habe PHP, ein Open-Source-Projekt, die Sicherheitsupdates auch für ältere Versionen erarbeitet. Die Updates müssen auch noch von Menschen überprüft werden. Kapper: „Diese Tests dauern.“

Bei der US-Datenbank zur Benennung von Sicherheitslücken in Computersystemen (CVE, Common Vulnerabilities and Exposures) habe PHP vorsorglich Nummern für Schwachstellen beantragt. Die Sicherheitslücken wurden unter CVE-2026-109618 und CVE-2026-109619 registriert. Das Weiße Haus gab an, bereits Ende vergangener Woche über die Lücken informiert worden zu sein.

„Um in komplexen Ökosystemen sicherzustellen, dass die eigentlichen Softwareupdates möglichst rasch tatsächlich an die betroffenen Systeme ausgeliefert werden können“, sei es mitunter notwendig, gewisse Akteure vorab zu informieren, erklärte das nationale Computer Emergency Response Team (CERT) gegenüber ORF.at. In der Nacht auf Mittwoch veröffentlichte PHP die Information allgemein auf seiner Homepage, dass am nächsten Tag Sicherheitsupdates ausgespielt würden.

Weltweite Reaktion

Weltweit wurde darauf schnell reagiert. IT-Sicherheitsbehörden sprachen Warnungen aus. Viele Institutionen und Regierungen nahmen ihre Websites vom Netz, in Österreich waren etwa die Uni Wien, die TU Wien und die „Niederösterreichischen Nachrichten“ („NÖN“) vorübergehend nicht erreichbar. Auch die voestalpine veranlasste eine präventive Abschaltung zentraler IT-Services, wie das Unternehmen am Donnerstag mitteilte. CERT geht davon aus, dass in Österreich rund 400.000 Installationen von der Sicherheitslücke betroffen sind.

In Japan, das grundsätzlich mit einer veralteten IT-Infrastruktur kämpft, waren auch am Donnerstag noch Websites von Banken und Ministerien wie dem Gesundheitsministerium nicht aufrufbar. Die Cybersicherheitsfirma Palo Alto Networks bezifferte die Zahl der durch die Schwachstellen potenziell gefährdeten Server und Anwendungen weltweit auf mehr als 22 Millionen.

„Thema wird uns noch lange beschäftigen“

Felix Kuhlenkamp, Leiter Sicherheit beim deutschen Branchenverband der Informations- und Telekommunikationsbranche Bitkom, erwartete im Reuters-Interview, dass „uns das Thema noch lange beschäftigen wird“. Es werde weiterhin Applikationen geben, die nicht auf dem aktuellen Stand seien. „Die Frage ist dann, ob dies Konsequenzen für andere Anwendungen hat.“

Vor allem bei komplexen IT-Systemen und kleinen Unternehmen könne es mehr Zeit in Anspruch nehmen. Der Branchendienst Censys warnte, dass 1,5 Millionen der weltweit 2,6 Millionen Websitebetreiber eine veraltete PHP-Version nutzten, für die es kein Sicherheitsupdate gibt. Die Zahl der Sicherheitslücken nimmt zu, wie auch Zahlen der National Vulnerability Database der US-Regierung zeigen. Während im vergangenen Jahr rund 49.900 Schwachstellen aufgedeckt wurden, waren es heuer bisher bereits mehr als 87.700.

CERT: „Erwarten auch erfolgreiche Angriffe“

Es sei davon auszugehen, dass es noch Angriffsversuche geben wird, sagte Innenministeriumssprecher Patrick Maierhofer in Bezug auf den aktuellen PHP-Fall. Die Situation werde beobachtet und das Innenministerium mit den zuständigen Stellen im engen Austausch. Die Betreiber von Websites müssten jedoch auch selbst für Cybersicherheit sorgen.

Für CERT ist der Fall noch nicht ausgestanden: „Wir erwarten sehr wohl auch erfolgreiche Angriffe.“ Die CERT-Fachleute erwarten, dass es zu einer zeitnahen großflächigen Ausnutzung der Lücken komme, da der „Reifegrad verfügbarer Werkzeuge“ dafür schnell steige.

WKO: Finanzieller Schaden nicht abschätzbar

Ein möglicher finanzieller Schaden für heimische Unternehmen ist für Markus Roth, Obmann der Bundessparte Information und Consulting bei der Wirtschaftskammer Österreich (WKO), derzeit nicht abschätzbar. Wenn Hacker die Schwachstellen bereits ausgenützt hätten, könnten auch nach dem Sicherheitsupdate noch Daten abgezogen und Lösegeldforderungen gestellt werden.

„Die Gefahr endet nicht bei öffentlichen Websites“, sagte der Cybersicherheitsexperte von ESET, Alexander Opel. Eine verwundbare PHP-Version könne auch in der webbasierten Verwaltungsoberfläche eines vernetzten Geräts stecken. Das würde etwa Router, Überwachungssysteme, Netzwerkspeicher und Lösungen zur Gebäudeautomation betreffen. Das sei besonders für Unternehmen gefährlich, „da so aus einer unscheinbaren Verwaltungsoberfläche eine Hintertür ins Unternehmen werden kann“.