Cybersicherheit – Gravierende PHP-Sicherheitslücke bedroht Millionen Webseiten

• Eine kritische Sicherheitslücke in einer weitverbreiteten Programmiersprache macht Webseiten, Onlineshops und Nachrichtenportale weltweit angreifbar.
• Betroffen ist die Programmiersprache PHP, auf der ein Grossteil des Internets basiert.
• Das zuständige Sicherheitsteam spricht von einer Notfallsituation. Es hat ein Sicherheitsupdate veröffentlicht.

Neben IT-Sicherheitsunternehmen wie Huntress und dem PHP-Team schlägt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm.

In seiner Warnung ordnet das BSI das Risiko mit Warnstufe «3 / Orange» als ausserordentlich hoch ein: Eine massive Beeinträchtigung des Regelbetriebs droht.

Das Amt stellte klar: «Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.» Diese Empfehlung unterstreicht die Dringlichkeit der Lage.

«PHP2Shell» ermöglicht vollständige Serverübernahme

Unter «PHP2Shell» warnen Experten vor zwei kritischen Schwachstellen. Kriminelle können diese aus der Ferne ohne Anmeldung ausnutzen, um Schadcode auszuführen, sensible Kundendaten abzugreifen oder Server für weitere Angriffe zu kapern.

Da Details vorab durchsickerten, steht die IT-Branche unter Zeitdruck: Experten befürchten baldige automatisierte Angriffe im Sekundentakt.

Die Warnungen zeigen weltweit drastische Konsequenzen: Regierungswebseiten in Europa und Übersee gingen vorsorglich offline, während Betreiber fieberhaft versuchten, ihre Systeme abzusichern. Mehrere Kommunen, Universitäten und Spitäler folgten bereits dem BSI und schalteten Angebote vorübergehend ab. Ämter bleiben per Telefon und E-Mail erreichbar, Termine finden statt – die Abschaltung betrifft rein den externen Webauftritt zum Schutz der internen Systeme.

Höchste Alarmbereitschaft für Seitenbetreiber

Die Entwickler der Programmiersprache PHP gaben die sofortige Verfügbarkeit der bereinigten Version PHP 8.5.12 bekannt. Das Entwicklerteam betonte, dass das Update die beiden kritischen Lücken behebt, und forderte Webseitenbetreiber mit Nachdruck auf, das Update unverzüglich einzuspielen.

Gleichzeitig vermeldete der Cloudflare-CTO, dass entsprechende Schutzanpassungen im Cloudflare-Netzwerk live geschaltet wurden. Für Seitenbetreiber gilt dennoch weiterhin höchste Eile: Verfügbare Patches müssen ohne Verzug installiert werden. Für normale Endnutzer besteht auf Heimgeräten kein Handlungsbedarf, allerdings kann es zu temporären Dienstausfällen kommen.

SRF-Digitalredaktor Jürg Tschirren beantwortet die dringendsten Fragen zur Sicherheitslücke.

Was ist PHP?

PHP ist eine Programmiersprache, die auf dem Webserver läuft. Sie holt Inhalte aus einer Datenbank, baut daraus eine Webseite und schickt sie an den Browser. Die jetzt bekannt gewordenen Lücken stecken in PHP selbst und nicht in Anwendungen wie etwa WordPress, die auf PHP aufbauen.

Wie wichtig ist PHP?

Es wird geschätzt, dass PHP bei rund 70 Prozent der Websites, bei denen sich das feststellen lässt, zum Einsatz kommt. Auf PHP bauen bekannte Anwendungen wie WordPress, Drupal, Joomla oder MediaWiki, die Software hinter Wikipedia, auf.

Was könnten die Auswirkungen dieser Schwachstellen sein?

Angreifer können über die Lücken ohne Anmeldung eigenen Code auf einem Webserver ausführen und ihn so übernehmen. Seit Mittwochnachmittag gibt es ein Sicherheits-Update, aber nur für die PHP-Versionen 8.2 bis 8.5. Da rund drei Viertel aller Server auf älteren Versionen ohne offiziellen Fix laufen, bleiben sie vorerst ungeschützt. Erste Angriffsversuche gibt es, bestätigte Einbrüche bisher noch nicht.