BSI warnt vor schwerer PHP-Sicherheitslücke und drängt auf sofortiges Update
Eine kritische Schwachstelle in der Programmiersprache PHP hat weltweit Behörden und Unternehmen zu Notabschaltungen von Websites veranlasst. Das BSI und die NSA raten dringend zur umgehenden Installation eines Sicherheitsupdates, das seit Mittwoch verfügbar ist.
Eine gravierende Sicherheitslücke in der weit verbreiteten Web-Programmiersprache PHP hat am Mittwoch weltweit zu vorsorglichen Abschaltungen zahlreicher Internetseiten geführt. Betroffen waren in Europa unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Belgien. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn und der US-Geheimdienst National Security Agency (NSA) hatten wegen der Gefahr von Cyberangriffen dringend zu diesem Schritt geraten und zugleich die «umgehende» Installation eines Sicherheitsupdates empfohlen, das am Mittwoch bereitgestellt wurde.
Die Schwachstellen ermöglichen es Angreifern nach Einschätzung der NSA, sich «direkten Zugriff» auf Datensysteme oder Server-Datenbanken zu verschaffen. Das BSI erklärte, «kritische Schwachstellen innerhalb der Programmiersprache PHP» bedrohten aktuell weltweit Webanwendungen. Ohne das Update könnten Cyberangreifer Server ohne Passwort übernehmen, warnten die Behörden. BSI-Vizepräsident Thomas Caspers riet auch Nutzern zur Vorsicht im Umgang mit möglicherweise kompromittierten Websites.
In Deutschland nahmen Landes- und Polizeibehörden sowie mehrere Städte ihre Online-Angebote vorsorglich vom Netz, um die Updates einzuspielen. In Nordrhein-Westfalen wurden nach Angaben des Landesamts für Zentrale Polizeiliche Dienste «einige Online-Dienste der Polizei NRW als Vorsichtsmaßnahme vorübergehend abgeschaltet». Die Berliner Polizei meldete Ausfälle der «Internetwache», über die Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110. Auch die Berliner Universitätsklinik Charité war betroffen. Zahlreiche Städte, darunter München, Flensburg und Saarbrücken, nahmen ihre Online-Angebote vorübergehend offline.
Im europäischen Ausland waren die Internetauftritte mehrerer Behörden nicht erreichbar, darunter die Pariser Polizei in Frankreich und das Außenministerium in Belgien. In den Niederlanden betraf es den digitalen Identitätsdienst DigiD, die Parlamentswebsite und den Internetauftritt des nationalen Cybersicherheitszentrums. In Australien gehörte nach Angaben des Australian Signals Directorate auch die eigene Website cyber.gov.au zu den betroffenen Regierungsseiten. Nach Angaben der Wikimedia-Stiftung war zudem das Online-Lexikon Wikipedia betroffen, dessen Nutzer mit Ausfällen rechnen sollten. Mehrere Apps der Pokémon-Spiele wurden am Mittwoch offline geschaltet, in einem Fall wurden Sicherheitsmaßnahmen als Grund genannt.
Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander am selben Tag entdeckt hatten. Das Unternehmen Wiz meldete später weitere Möglichkeiten zur Ausnutzung und bezeichnete die Lücken als «eine der schwerwiegendsten Schwachstellen, die jemals in PHP – und womöglich in der gesamten Softwaregeschichte – entdeckt wurden». Nach Einschätzung von Wiz basieren etwa 70 Prozent der weltweiten Websites auf PHP. Die Details wurden zunächst vertraulich an die PHP-Entwickler gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Am Dienstag – einen Tag vor der geplanten Veröffentlichung des Updates – wurden Details online geleakt, was die vorsorglichen Abschaltungen vieler Websites auslöste.
Laut BSI sind vermutlich alle Versionen bis mindestens PHP 5 betroffen. Die PHP-Stiftung erklärte in einem Blogbeitrag: «Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen.» Betroffen sind nur Websites, die PHP auf eigenen Servern betreiben. Viele große Plattformen basieren auf anderen Programmiersprachen oder verfügen über Betreiber, die das Update zügig einspielen konnten, sodass sie online blieben.
BSI-Vizepräsident Caspers sagte am Mittwochabend in den ARD-«Tagesthemen», bis zum jetzigen Zeitpunkt sei noch nicht beobachtet worden, «dass eine große Schadwirkung eingetreten ist». Er warnte jedoch: «Wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein.» Es sei davon auszugehen, dass nicht alle Betreiber die Updates installierten. «Dann werden wir auch die ersten Schäden sehen.» Nutzer seien zunächst nicht betroffen, sollten aber damit rechnen, dass in den nächsten Tagen über kompromittierte Webseiten versucht werden könnte, «Schadgut auch auf ihren Systemen» zu installieren.
Der KI-Experte Ethan Mollick von der University of Pennsylvania warnte unterdessen, Unternehmen hätten Mühe, mit dem Tempo der Updates Schritt zu halten, die zum Schutz vor KI-gestützten Cyberangriffen erforderlich seien. Auch Verbraucher würden nun die Erfahrung machen, «dass alles häufig und schnell aktualisiert wird», schrieb er auf X.
3
