PHP-Sicherheitslücke: Experten fordern mehr als nur Updates
Nach der kritischen PHP-Schwachstelle reicht das Einspielen des Patches laut Sicherheitsexperten nicht aus. Sie verlangen unter anderem eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026, neue API-Schlüssel und den Aufbau eines Systeminventars. Das BSI hat bislang keine erfolgreichen Angriffe festgestellt, schließt sie aber nicht aus.
Die kritische Sicherheitslücke in der Programmiersprache PHP ist entdeckt, ein Update ist verfügbar – doch Sicherheitsexperten warnen davor, sich damit zufriedenzugeben. Nach Einschätzung von Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, reicht das bloße Einspielen des Patches bei weitem nicht aus. Systembetreiber müssten über die reine Installation hinaus aktiv werden, sagte Boele der Nachrichtenagentur dpa.
Zu den notwendigen Sofortmaßnahmen gehört nach seinen Worten eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026. An diesem Tag wurden auf einem sogenannten Honeypot von Amazon – einer digitalen Falle, die Angreifer anlocken soll – erste Angriffsversuche registriert. Wer seine Daten nicht bis zu diesem Datum prüfe, übersehe möglicherweise, ob das eigene System bereits vor dem Update heimlich infiltriert wurde. Ein Update allein sage nichts darüber aus, ob Hacker längst im System seien.
Boele forderte die Verantwortlichen zudem auf, die Zugangsdaten und Schlüssel für Programmierschnittstellen, sogenannte API-Keys, konsequent zu erneuern. Ein zentraler Baustein der Verteidigung sei außerdem die Aktualisierung von Web Application Firewalls (WAF). Eine WAF fungiert als Schutzschild zwischen einer Webanwendung und dem Internet; sie analysiert den eingehenden Datenverkehr und blockiert bösartige Anfragen, bevor diese das System erreichen können.
Ferner mahnte Boele den Aufbau eines vollständigen Systeminventars an. Nur so lasse sich überhaupt Transparenz darüber schaffen, wo und in welchen Versionen PHP-Komponenten im eigenen Netzwerk im Einsatz sind. Da PHP auf einem Großteil der weltweiten Webserver läuft, sei das Risiko durch die Schwachstelle, die als Einfallstor für Angriffe auf interne Netzwerke dienen kann, weiterhin als hoch einzustufen.
Christian Nern, Partner und Head of Cyber Security & Threat Management Solution bei der Unternehmensberatung KPMG, wies darauf hin, dass PHP meist nicht als eigenes Programm erkennbar sei, sondern als Werkzeug im Hintergrund digitaler Anwendungen arbeite. Es werde zum Beispiel auf Webseiten, Zielseiten für Werbung, in Kundenbereichen sowie in Systemen zur Verwaltung von Webseiten-Inhalten wie TYPO3, Drupal oder WordPress genutzt. Auch beim Online-Handel, bei digitalen Bezahldiensten oder in älteren, bereits länger genutzten Programmen sei PHP tief im Verborgenen integriert.
Um kritische Geschäftsprozesse auch im Krisenfall aufrechtzuerhalten, müssten insbesondere Finanzinstitute ihre Sicherheitssysteme stärker automatisieren, Patchzyklen verkürzen und externe IT-Dienstleister in die Sicherheitsüberwachung einbeziehen, sagte Nern. «Gleichzeitig müssen sie auch KI-Anwendungen selbst absichern und KI gezielt für die Cyberabwehr einsetzen.»
Die Schwachstellen in der PHP-Technik waren am vergangenen Dienstag entdeckt worden und hatten zu hektischen Aktivitäten bei Betreibern von Webseiten weltweit geführt. Inzwischen liegt ein Update für die PHP-Software vor, das aber bislang nicht überall eingespielt wurde. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nach eigenen Angaben bislang keine Fälle festgestellt, in denen die Lücke ausgenutzt wurde. Die Behörde erklärte jedoch, erfolgreiche Angriffe könnten derzeit nicht ausgeschlossen werden.
4
