Rasanter Anstieg von Angriffen auf Webseiten wegen PHP-Lücke

Das Cloud-Dienstleistungsunternehmen Cloudflare verzeichnete Millionen von Angriffsversuchen, nachdem kritische Sicherheitslücken in der weit verbreiteten Programmiersprache PHP öffentlich bekannt geworden waren, teilte CEO Matthew Prince am späten Mittwoch in einem Beitrag auf X mit.

“In den zehn Stunden vor der öffentlichen Bekanntgabe verzeichneten wir im gesamten Netzwerk Tausende von Versuchen, diese Sicherheitslücken auszunutzen. Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und liegt nun bei Millionen”, so Prince.

Experten fordern, ungeschützte Webseiten vom Netz zu nehmen

Ungeschützte Webseiten müssen im Kampf gegen die schwerwiegende PHP-Lücke nach Ansicht eines IT-Sicherheitsexperten sofort abgeschaltet werden. Angesichts drohender automatisierter Angriffswellen fordert der Karlsruher IT-Sicherheitsexperte Christoph Fischer ein drastisches Durchgreifen der Betreiber.

“Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben”, sagte Fischer der Deutschen Presse-Agentur. “Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.”

Über das reine Abschalten hinaus weist Fischer auf ein zentrales datenschutzrechtliches Problem hin: Wenn ein System über eine Schwachstelle kompromittiert wurde, sei es oft schwer zu sagen, was genau passiert sei und was abhandengekommen sei. Gemäß der Europäischen Datenschutz-Grundverordnung (DSGVO) sei dieser Nachweis für betroffene Organisationen jedoch zwingend notwendig. Hier müsse man dringend nachbessern und eine bessere Forensik bereitstellen.

Zudem fordert Fischer, dass alle Beteiligten – vom PHP-Team über Provider und Webseiten-Betreiber bis hin zu den Behörden – für derartige IT-Katastrophen künftig fertige Notfallpläne in den Schubladen haben müssen.

Gravierende Schwachstelle

Am Mittwoch hatte unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor der gravierenden Schwachstelle mit dem Namen “PHP-Shell” gewarnt. Bundesländer, Kommunen, Behörden, Krankenhäuser, Universitäten sowie andere öffentliche Einrichtungen, aber auch private Webseiten-Betreiber hatten daraufhin bereits ihren Internetauftritt vorsorglich vom Netz genommen. Angreifer können die Lücke nutzen, um aus der Ferne einen fremden Code auszuführen und Server vollständig zu übernehmen.

Ob die breite Masse der Betreiber den Aufrufen von Behörden und Experten folgte und ungeschützte Systeme abgeschaltet hat, sollte sich in den nächsten Stunden zeigen. Experte Fischer geht davon aus, dass es Monate dauern wird, bis die vielen Millionen Systeme bereinigt sind.

Warnung auch von Geheimdienst-Kontrollgremium

Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann (CDU), hat angesichts einer schwerwiegenden Sicherheitslücke in der Programmiersprache PHP vor einer neuen Dimension der Cyberbedrohung gewarnt. “Wir erleben einen Wendepunkt”, sagte Henrichmann dem “Handelsblatt” (Donnerstag). Künstliche Intelligenz (KI) mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit “echte Einfallstore”.