Millionen Angriffsversuche im Netz

PHP-Lücke

Das Cloud-Dienstleistungsunternehmen Cloudflare hat Millionen Angriffsversuche verzeichnet, nachdem kritische Sicherheitslücken in der weit verbreiteten Programmiersprache PHP öffentlich bekanntgeworden waren. Das teilte CEO Matthew Prince mit. Zahlreiche Institutionen weltweit schalteten vorsorglich ihre Websites ab. Gegen die Gefahr steht laut PHP-Entwicklern ein Update zur Verfügung.

Online seit heute, 8.39 Uhr

„In den zehn Stunden vor der öffentlichen Bekanntgabe verzeichneten wir im gesamten Netzwerk Tausende von Versuchen, diese Sicherheitslücken auszunutzen. Diese Zahl stieg in den 45 Minuten nach Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und liegt nun bei Millionen“, schrieb Prince am späten Mittwoch in einem Beitrag auf der Onlineplattform X.

Im Kampf gegen die schwerwiegende PHP-Lücke müssten ungeschützte Websites nach Ansicht des deutschen IT-Sicherheitsexperten Christoph Fischer sofort abgeschaltet werden. „Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte Fischer.

Dringlicher Appell zu Update

„Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle“, so der Experte. Die Entwickler der PHP Foundation hatten bereits am Mittwoch angekündigt, dass eine neue Version zur Behebung der Sicherheitslücken verfügbar sei. Sie appellierten an alle Nutzer und Nutzerinnen, das Update sofort durchzuführen.

Zahlreiche Websites aus dem Netz genommen

Die schweren Sicherheitslücken mit großem Schadpotenzial waren am Mittwoch einer großen Öffentlichkeit bekanntgeworden. Zahlreiche Institutionen hatten daraufhin ihren Internetauftritt vorsorglich aus dem Netz genommen. In Österreich waren unter anderem die Websites der Uni Wien, TU Wien und der „Niederösterreichischen Nachrichten“ („NÖN“) vorübergehend nicht erreichbar.

Ein großer Teil des gesamten Internets – von einfachen Blogs über große Nachrichtenportale bis zu komplexen Onlineshops und Content-Management-Systemen wie WordPress – basiert auf PHP. Schätzungen von Fachleuten zufolge werden allein mit WordPress weltweit zwischen 400 und 500 Millionen Websites betrieben. Auf PHP setzen aber auch andere populäre Content-Management-Systeme auf, zum Beispiel Moodle, Joomla!, Typo3 und Drupal.

Entwickler raten dringend zu Update

In Österreich verbreitete unter anderem das nationale Computer Emergency Response Team (CERT.at), laut Innenministerium in Abstimmung mit dem neuen Bundesamt für Cybersicherheit, die Warnung und verwies auf die Updates zur Abhilfe gegen das Problem. Generell sei empfohlen, „sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden“, heißt es bei CERT.at als zusätzlicher Rat.

Es ist noch nicht klar, welche Versionen der Programmiersprache betroffen sind, aber das Computernotfallteam der EU (CERT-EU) erklärte, dass alle Versionen ab PHP5 betroffen sein könnten, das 2004 veröffentlicht wurde. Unter dem Namen „PHP2Shell“ warnten Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Bankdaten nicht betroffen

Angreifer können die Lücke nutzen, um aus der Ferne einen fremden Code auszuführen und Server vollständig zu übernehmen. Der Chef des österreichischen Cloud-Anbieters Anexia, Alexander Windbichler, sagte gegenüber dem Ö1-Morgenhjournal, Bankdaten und Bankkonten seien nicht betroffen. „Gefährdet sind vor allem die klassischen Webseiten im Internet, Onlineportale, Onlineshops, die diese Technologie nutzen.“ Auch Windbichler bestätigte Angriffsversuche auf die von Anexia betriebenen Websites.

Für normale Internetnutzer und -nutzerinnen besteht beim alltäglichen Surfen auf dem Smartphone und PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein, etwa durch Ausfälle wichtiger Onlinedienste und potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Websites.

Ruf nach Notfallplänen

Über das reine Abschalten hinaus wies Fischer auf ein zentrales datenschutzrechtliches Problem hin: Wenn ein System über eine Schwachstelle kompromittiert wurde, sei es oft schwer zu sagen, was genau passiert und was abhandengekommen sei. Gemäß der Europäischen Datenschutz-Grundverordnung (DSGVO) sei dieser Nachweis für betroffene Organisationen jedoch zwingend notwendig.

Zudem forderte Fischer, dass alle Beteiligten – vom PHP-Team über Provider und Webssitebetreiber bis zu Behörden – für derartige IT-Katastrophen künftig fertige Notfallpläne in den Schubladen haben müssen.

Schwachstelle durch KI entdeckt

Nach Angaben aus dem Weißen Haus wurde die US-Regierung über PHP-Sicherheitslücken bereits am Freitag informiert. Es würden derzeit Auswirkungen auf Regierungssysteme und kritische Infrastruktur geprüft. Aufgedeckt wurden die Lücken mit künstlicher Intelligenz (KI) von OpenAI durch Cybersicherheitsforscher der Unternehmen Calif und Wiz.

Wiz bezeichnete sie als die „schwerwiegendsten Sicherheitslücken, die jemals von dieser Technologie entdeckt wurden“. Den Unternehmen zufolge waren die Schwachstellen mehr als ein Jahrzehnt unentdeckt geblieben, berichtete die BBC.

Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste in Deutschland, Marc Henrichmann, sprach von einer neuen Dimension der Cyberbedrohung. „Wir erleben einen Wendepunkt“, sagte er dem „Handelsblatt“ (Donnerstag-Ausgabe). Künstliche Intelligenz (KI) mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit „echte Einfallstore“.