„Honigfalle“

Experte zu PHP-Lücke: Updates allein reichen nicht

Etwa 70 Prozent aller Webseiten weltweit machen von der Programmiersprache PHP Gebrauch.(Bild: EPA/NEIL HALL)

Nach der Entdeckung der kritischen PHP-Sicherheitslücke reicht das bloße Einspielen von Software-Updates nach Einschätzung von Experten bei weitem nicht aus. Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, warnte davor, sich in falscher Sicherheit zu wiegen. Er forderte Systembetreiber eindringlich auf, über die reine Patch-Installation hinaus aktiv zu werden.

Zu den notwendigen Sofortmaßnahmen gehöre eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026, um mögliche Kompromittierungen zu erkennen. Der Grund: An diesem Tag wurden auf einem sogenannten Honeypot von Amazon – einer digitalen Falle, die Angreifer anlocken soll – erste Angriffe registriert. Wer seine Daten nicht bis zu diesem Datum prüfe, übersehe möglicherweise, ob sein System bereits vor dem Update heimlich infiltriert wurde.

  Boele forderte die Verantwortlichen außerdem auf, die Zugangsdaten und Schlüssel für sogenannte Programmierschnittstellen (API-Keys) konsequent zu erneuern. Ein zentraler Baustein der Verteidigung sei zudem die Aktualisierung von Web Application Firewalls (WAF).

  Eine WAF fungiert als Schutzschild zwischen einer Webanwendung und dem Internet; sie analysiert den eingehenden Datenverkehr und blockiert bösartige Anfragen, bevor diese das System erreichen können.

Hausaufgaben für die Verantwortlichen
Ferner mahnte Boele in einem Gespräch mit der Nachrichtenagentur dpa den Aufbau eines vollständigen Systeminventars an, um überhaupt erst Transparenz darüber zu schaffen, wo und in welchen Versionen PHP-Komponenten im eigenen Netzwerk im Einsatz sind. Da PHP auf einem Großteil der weltweiten Webserver läuft, sei das Risiko durch die Schwachstelle, die als Einfallstor für Angriffe auf interne Netzwerke dienen kann, weiterhin als hoch einzustufen.

Tief im Verborgenen integriert
Christian Nern, Partner und Head of Cyber Security & Threat Management Solution bei der Unternehmensberatung KPMG, sagte, PHP sei meist nicht als eigenes Programm erkennbar, sondern arbeite als Werkzeug im Hintergrund digitaler Anwendungen. Es werde zum Beispiel auf Webseiten, Zielseiten für Werbung, in Kundenbereichen sowie in Systemen zur Verwaltung von Webseiten-Inhalten wie TYPO3, Drupal oder WordPress genutzt. Auch beim Online-Handel, bei digitalen Bezahldiensten oder in älteren, bereits länger genutzten Programmen sei PHP tief im Verborgenen integriert.

  Um kritische Geschäftsprozesse auch im Krisenfall aufrechtzuerhalten, müssten insbesondere Finanzinstitute ihre Sicherheitssysteme stärker automatisieren, Patchzyklen verkürzen und externe IT-Dienstleister in die Sicherheitsüberwachung einbeziehen. „Gleichzeitig müssen sie auch KI-Anwendungen selbst absichern und KI gezielt für die Cyberabwehr einsetzen“, sagte Nern.

CERT erwartet erfolgreiche Angriffe
Die Schwachstellen in der PHP-Technik waren am vergangenen Dienstag entdeckt worden und hatten zu hektischen Aktivitäten bei Betreibern von Webseiten weltweit geführt. Inzwischen liegt ein Update für die PHP Software vor, die aber bisher nicht überall eingespielt wurde. Das nationale Computer Emergency Response Team in Österreich (CERT.at) befürchtet daher auch „erfolgreiche Angriffe“.

„Es ist zu erwarten, dass der Reifegrad verfügbarer Werkzeuge zur Ausnutzung dieser Lücken schnell steigt“, erklärte ein CERT-Experte am Donnerstag. Dadurch werde die Ausnutzung der Lücken entsprechend einfacher, hieß es. Das CERT erwartet außerdem, dass über die aktuellen Sicherheitslücken hinaus in den nächsten Monaten ähnliche Probleme bekannt werden. Ein denkbares Szenario wäre die Kompromittierung eines verwundbaren Webservers, welcher missbraucht wird, um Besucher mit Schadsoftware zu infizieren oder auf bösartige Webseiten umzuleiten.