Wegen einer als hochkritisch eingestuften Sicherheitslücke in der weltweit verbreiteten Programmiersprache PHP haben zahlreiche Behörden und öffentliche Einrichtungen in Hessen ihre Internetauftritte zeitweise vorsorglich vom Netz genommen. Über die Schwachstelle droht die Gefahr, dass Angreifer die Kontrolle über Webseiten übernehmen oder sensible Daten entwenden. Ein inzwischen bereitgestelltes Sicherheitsupdate soll das schwerwiegende Einfallstor schließen, dennoch sorgt das Ausmaß des Problems für erhebliche Alarmbereitschaft bei Sicherheitsbehörden und IT-Verantwortlichen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor einer akuten Bedrohung für Webanwendungen rund um den Globus und forderte IT-Sicherheitsverantwortliche sowie Serverbetreiber auf, bereitgestellte Sicherheitsupdates umgehend nach ihrer Veröffentlichung zu installieren. Nach aktuellen Erkenntnissen sind sämtliche bekannten PHP-Versionen, zurückgehend bis mindestens zu PHP 5, verwundbar. Da PHP einen zentralen Baustein im weltweiten Web darstellt, kann derzeit nicht ausgeschlossen werden, dass Angreifer aus der Ferne schadhaften Code auf Webservern ausführen und damit massive Angriffswellen auf Systeme unterschiedlichster Branchen starten. BSI-Vizepräsident Thomas Caspers unterstrich die Dringlichkeit der Lage: Man halte eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich, da Angreifer die Patches mittels KI-gestützter Werkzeuge binnen kürzester Zeit analysieren und entsprechende Exploits generieren könnten. Es bestehe daher unverzüglicher Handlungsbedarf.
Die Entwickler hatten angekündigt, am 21. Oktober um 16 Uhr deutscher Zeit Patches für unterschiedliche PHP-Versionen zur Verfügung zu stellen, die vor Angriffen schützen. Das BSI appellierte an Organisationen, entsprechende personelle Kapazitäten bereitzuhalten, um die Aktualisierungen ohne jeden Verzug auf die Webserver einzuspielen. Neben der Installation sollten Betreiber den erfolgreichen Patchstatus anhand des offiziellen Advisories überprüfen und exponierte PHP-Server zudem verstärkt auf Auffälligkeiten hin überwachen.
Angesichts des Vorfalls warnte der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann (CDU), vor einer neuen Dimension der Cyberbedrohung. Gegenüber dem „Handelsblatt“ betonte der CDU-Politiker, man erlebe einen echten Wendepunkt, da Künstliche Intelligenz aus Schwachstellen, die bislang als kaum ausnutzbar galten, in kurzer Zeit reale Einfallstore mache. Henrichmann bezeichnete das Leck als eine der ernstesten Sicherheitslücken der vergangenen Jahre. Da sie einen Großteil aller Internetseiten weltweit betreffe, handle es sich um ein Problem für die gesamte digitale Infrastruktur. Der Fall führe vor Augen, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre hinweg unentdeckte Fehler enthalte, die gezielt von Kriminellen und staatlichen Akteuren ausgenutzt werden könnten.
Vor diesem Hintergrund begrüßte Henrichmann die im Haushaltsentwurf für 2027 vorgesehene Stärkung des BSI. Die deutschen Sicherheitsbehörden benötigten die entsprechenden Werkzeuge, Fachleute und rechtlichen Befugnisse, um in diesem dynamischen Wettlauf vorn zu bleiben. Zugleich nahm der Politiker auch zivile Akteure und Unternehmen in die Pflicht: Jeder Betreiber digitaler Infrastruktur müsse endlich begreifen, wie real und folgenschwer Sicherheitslücken im Netz tatsächlich seien. +++
and then
Hinterlasse jetzt einen Kommentar