Zwei kritische Sicherheitslücken in der weit verbreiteten Programmiersprache PHP gefährden derzeit zahlreiche Webseiten und Onlinedienste weltweit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung herausgegeben.
PHP bildet die technische Grundlage für einen großen Teil des Internets. Betroffen sein können unter anderem Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress.
Nach Einschätzung von Sicherheitsexperten ist das Gefahrenpotenzial extrem hoch. Kriminelle Akteure könnten die Schwachstellen aus der Ferne ausnutzen, um eigenen Schadcode auf betroffenen Servern auszuführen. Dadurch wäre es möglich, die Kontrolle über eine Website zu übernehmen, sensible Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.
Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam warnt auch das BSI vor den Risiken. Weil detaillierte Informationen zu den Schwachstellen unbeabsichtigt vorab öffentlich wurden, steht die IT-Branche unter erheblichem Zeitdruck.
Die Entwickler des PHP-Projekts haben am Mittwochnachmittag aktualisierte Versionen veröffentlicht, in denen die Sicherheitslücken geschlossen sind. IT-Experten raten Betreibern, sich unverzüglich an ihre Systemadministratoren, IT-Dienstleister oder Webhosting-Anbieter zu wenden und die verfügbaren Sicherheitsupdates für PHP sowie für die genutzten Systeme einzuspielen.
Heise Security warnte, dass funktionierende Exploits innerhalb von Stunden oder spätestens innerhalb eines Tages auftauchen könnten. Wer eine mögliche Kompromittierung vermeiden wolle, müsse mit PHP betriebene Webserver vom Netz trennen, solange das Update noch nicht installiert sei.
Einige Kommunen, Behörden, Universitäten und Krankenhäuser reagierten bereits auf die Warnungen und nahmen ihre Online-Angebote vorübergehend offline. Die Landeshauptstadt Mainz schaltete vorsorglich mehrere städtische Internetdienste sowie ihr zentrales Webportal ab. Auch die Universitätsmedizin Charité in Berlin nahm ihre offizielle Website vom Netz.
Für normale Internetnutzer besteht beim täglichen Surfen auf Smartphone oder PC kein unmittelbarer Handlungsbedarf. Die Schwachstelle betrifft die Server im Hintergrund und nicht die Endgeräte der Anwender. Verbraucher können dennoch indirekt betroffen sein, etwa durch vorübergehende Ausfälle von Onlinediensten oder mögliche Datenabflüsse bei nicht rechtzeitig geschützten Webseiten.
Schreibe einen Kommentar