Zwei kritische Sicherheitslücken in PHP sorgen für Alarm bei IT-Experten. Die Schwachstellen könnten Angreifern ermöglichen, aus der Ferne Schadcode auf betroffenen Servern auszuführen – ohne sich zuvor anmelden zu müssen. Am Mittwoch, 21. Oktober, sollen Sicherheitsupdates veröffentlicht werden. Betreiber von Websites und Webanwendungen müssen rasch reagieren.
Als Vorsichtsmaßnahmen gingen viele Webseiten offline – von der TU und WU Wien, JKU Linz bis zu den "Niederösterreichischen Nachrichten" und dem OTS-Dienst der APA. Es handelt sich um ein weltweites Phänomen.
Die Schwachstellen wurden vom PHP-Entwicklerteam als kritisch eingestuft und jeweils mit 9,2 von 10 Punkten bewertet. PHP ist eine weitverbreitete Programmiersprache, die unter anderem hinter Websites und Plattformen wie WordPress, Drupal, Joomla und Magento steckt. Betroffen sein könnten laut europäischen Sicherheitsexperten Versionen ab PHP 5. Die vollständige Liste der betroffenen und korrigierten Versionen soll mit den Updates bekannt werden.
"Heute" auf Google als bevorzugte Quelle festlegen
Besonders brisant: Nach Angaben von CERT.at ist inzwischen möglicher Exploit-Code im Internet aufgetaucht. Ob dieser tatsächlich funktioniert, konnte die österreichische Sicherheitsbehörde zunächst nicht bestätigen. Dennoch wird damit gerechnet, dass Angreifer nach Veröffentlichung der Updates versuchen könnten, die Schwachstellen auszunutzen. Sobald die Fehler öffentlich dokumentiert sind, können Kriminelle leichter herausfinden, wie sie verwundbare Systeme angreifen.
Die Bilder des Tages
?
Administratoren sollen sofort handeln
CERT-EU und CERT.at raten dazu, alle Systeme mit PHP zu identifizieren und die Sicherheitsupdates unmittelbar nach ihrer Veröffentlichung einzuspielen. Besonders wichtig sind öffentlich erreichbare Server und Webanwendungen. Ist ein sofortiges Update nicht möglich, sollten betroffene Systeme nach Möglichkeit vorübergehend vom Internet getrennt oder ihre Erreichbarkeit eingeschränkt werden.
Auch Unternehmen, die ihre Websites von einem Hosting-Anbieter betreiben lassen, sollten klären, wann die Aktualisierung erfolgt. Ein Update des Content-Management-Systems allein reicht nicht unbedingt aus, da die Schwachstellen in PHP selbst liegen. Die Korrektur muss daher auf der Server- beziehungsweise PHP-Ebene erfolgen.
