PHP-Sicherheitslücke: Städte nehmen Webseiten vorsorglich vom Netz

Zwei kritische Schwachstellen in PHP gefährden weltweit Webseiten und Onlinedienste. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert schnelle Gegenmaßnahmen.

BSI stuft Risiko als außerordentlich hoch ein

PHP gehört zu den verbreitetsten Programmiersprachen im Internet. Zahlreiche Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme nutzen die Sprache. Dazu zählt auch WordPress. Expert:innen schätzen, dass damit weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden.

Sicherheitsexpert:innen warnen vor zwei kritischen Schwachstellen im Kern von PHP. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam hat auch das BSI eine offizielle Cybersicherheitswarnung veröffentlicht. Es bewertet die Gefahr mit der Warnstufe „3 / Orange“ als außerordentlich hoch. Laut BSI sind unverzüglich Gegenmaßnahmen nötig, weil eine massive Beeinträchtigung des Regelbetriebs droht.

Angreifer:innen könnten Server übernehmen

Kriminelle könnten die Sicherheitslücken aus der Ferne ausnutzen und eigenen Schadcode auf betroffenen Servern ausführen. Dadurch könnten sie die Kontrolle über Webseiten erlangen, sensible Kundendaten abgreifen oder die Server für weitere Cyberangriffe missbrauchen.

Informationen zu den Schwachstellen gelangten unbeabsichtigt vorab an die Öffentlichkeit. Dadurch steht die internationale IT-Branche unter erheblichem Zeitdruck. Fachleute raten Betreiber:innen, umgehend ihre Systemadministrator:innen, IT-Dienstleister:innen oder Webhosting-Anbieter zu kontaktieren. Sie sollten verfügbare Sicherheitsupdates für PHP und die eingesetzten Systeme sofort installieren.

Das PHP-Projekt veröffentlichte am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache, die die Sicherheitslücken schließen. Heise Security empfiehlt, PHP-betriebene Webserver vom Netz zu trennen, solange das Update noch fehlt. So lasse sich das Risiko einer erfolgreichen Kompromittierung vermeiden.

Kommunen und Einrichtungen schalten Webseiten ab

Erste Kommunen, Behörden, Universitäten und Krankenhäuser reagierten auf die Warnungen und nahmen ihre Online-Angebote vorsorglich vom Netz. Die Landeshauptstadt Mainz schaltete nach einer Warnung des Bundes mehrere städtische Internetdienste und ihr zentrales Webportal vorübergehend ab.

Auch Potsdam und Halberstadt nahmen ihre Webseiten vorsorglich offline. Die Universitätsmedizin Charité in Berlin schaltete ebenfalls ihre offizielle Website ab. Verbraucher:innen können indirekt betroffen sein, wenn sie auf die Angebote der betroffenen Einrichtungen zugreifen möchten.

Via: https://www.tagesschau.de

Den Beitrag in unserem Forum kommentieren