Wer eine Website betreibt, hatte am Mittwoch ein Zeitproblem: Das Entwicklungsteam der Programmiersprache PHP veröffentlichte Sicherheitsupdates für zwei kritische Schwachstellen, doch Details zu den Lücken waren zuvor durchgesickert.
PHP ist eine Sprache, auf der laut dem Analysedienst W3Techs 69,3 Prozent aller Websites mit bekannter serverseitiger Sprache laufen. Dazu zählen Content-Management-Systeme (CMS) wie WordPress, Typo3 und Drupal, aber auch Onlineshops und Kundenportale, wie etwa auch von Stadtwerken.
Bedrohungslage ist ernst
Die Schwachstellen werden unter dem Namen "PHP2Shell" zusammengefasst. Das PHP-Team bewertet beide mit 9,2 auf der zehnstufigen CVSS-Skala, der Standardbewertung für Sicherheitslücken. Angreifer können damit ohne Anmeldung Schadcode auf einem Server ausführen und ihn im schlimmsten Fall komplett übernehmen. Der Fehler liegt im PHP-Kern selbst; ein Update des CMS allein genügt nicht.
Die Lage gilt deshalb als ernst. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) etwa hatte am Mittwoch seine Warnung auf Stufe "3 / Orange" von vier Stufen eingeordnet. "Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich", lässt sich BSI-Vizepräsident Thomas Caspers in einer Mitteilung zitieren. Angreifer könnten demnach die Updates mit KI-gestützten Werkzeugen analysieren und daraus schnell Angriffscode ableiten.
Erste Angriffe vermutet
Teils bewahrheitet sich diese Prognose bereits. Der Technikchef des US-Netzwerkdienstleisters Cloudflare, Dane Knecht, schrieb am Mittwochvormittag auf der Plattform X, man sehe "erste Angriffe". Eine Bestätigung dafür durch das BSI oder das PHP-Team lag der ZFK bei Redaktionsschluss am Mittwochabend jedoch nicht vor. Die Angaben stützen sich bislang auf einzelne Unternehmen und Fachmedien.
Gleiches gilt für den öffentlichen Angriffscode. Laut dem Beratungsunternehmen Six Eight Consulting war am Mittwoch zwischenzeitlich auf der Plattform GitHub ein Machbarkeitsnachweis (Proof of Concept) aufgetaucht. Das BSI nennt ihn in den vorliegenden Veröffentlichungen nicht.
Patch-Lücke bei älteren Versionen
Betroffen sind demnach lediglich die Zweige PHP 8.2 bis 8.5. Die Fachseite "cms-admins.de" nennt konkret die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Diese Nummern sollten Betreiber auf php.net prüfen. Für PHP 8.1 und ältere Versionen erscheint kein offizielles Update. Das BSI hält dennoch alle Versionen bis mindestens PHP 5 für verwundbar.
Betreiber solcher Systeme müssen auf Rückportierungen (Backports) ihres Hosters oder Linux-Anbieters hoffen oder auf eine neue Version wechseln. Wie groß das Problem ist, zeigt eine Auswertung über die Suchmaschine Shodan: Weltweit laufen demnach rund 884.000 erreichbare Server noch mit PHP 8.1 oder älter. Eine offizielle Zählung existiert nicht.
Kommunen reagieren
Erste Reaktionen gab es bereits am Mittwochnachmittag. Die Stadt Mainz hatte vorsorglich ihr zentrales Portal mainz.de und mehrere städtische Dienste abgeschaltet. Auch die Berliner Charité hatte ihre Website vom Netz genommen.
Außerdem war Internetauftritt der Landesregierung Baden-Württemberg und Webseiten der Universität Mannheim nicht erreichbar. In Österreich schränkte die Technische Universität Wien den Zugriff auf einige Dienste ein.
Offen ist, wie schnell Betreiber ihre Systeme aktualisieren und ob die Berichte über erste Angriffe bestätigt werden. Für Versorger und Stadtwerke, die Kundenportale und Webseiten betreiben, dürfte sich das in den kommenden Stunden und Tagen entscheiden.
