Es wurden Details zu einer kritischen Sicherheitslücke in der Programmiersprache PHP veröffentlicht, die das Rückgrat von über 70 % aller Websites. Bleibt diese Lücke ungelöst, könnten Hacker Millionen von Websites und die darauf gespeicherten Daten problemlos übernehmen und kompromittieren. Als Reaktion darauf mehrere europäische Regierungen und Betreiber, darunter der Rotterdamer Hafen, ihre Websites offline genommen.
Das Australian Signals Directorate, die amerikanische Cyber Defence Agencyund ähnliche Organisationen aus Großbritannien, Europa und Japan haben Webentwickler aufgefordert, dringend Aktualisierungen an ihren Kernsystemen vorzunehmen und die Abschaltung von Websites in Erwägung zu ziehen, bis die Sicherheit gewährleistet werden kann.
Die Organisation hinter der freien Open-Source-Sprache hat zwar Updates veröffentlicht , die den Fehler beheben, aber die Durchführung der Updates auf den Millionen von Systemen, die PHP verwenden, wird Zeit in Anspruch nehmen.
Was ist PHP?
PHP wird oft als „das Rückgrat des Webs“ bezeichnet . Es handelt sich um eine Programmiersprache – eine Möglichkeit, Computern Anweisungen zu geben –, die seit 1997 existiert und es Websites ermöglicht, Benutzereingaben zu verwalten und Informationen im Hintergrund zu verarbeiten.
Die Stärke von PHP liegt in seiner Vielseitigkeit. Webseiten nutzen es für alles Mögliche, von der Anmeldung von Benutzern in Konten und dem Betrieb von Online-Shops bis hin zum Abrufen von Daten aus Datenbanken und dem Betrieb von Millionen von Blogbeiträgen und Nachrichtenseiten.
PHP läuft auf dem Server und nicht auf Ihrem persönlichen Computer. Das bedeutet, dass die meisten von uns täglich mit PHP interagieren, ohne es jemals zu bemerken.
Eine Chronologie der Bedenken
Im August durchsuchten Cybersicherheitsforscher der Firma Wiz mithilfe eigener Tools und der neuesten Versionen der KI-Modelle Gemini von Google und ChatGPT von OpenAI den riesigen Quellcode von PHP.
Das Wiz-Team suchte nach versteckten Programmierschwachstellen, die ein Angreifer miteinander verknüpfen könnte, um ein System, auf dem PHP läuft, zu übernehmen, indem er einfach eine sorgfältig präparierte Anfrage über das Internet sendet.
Innerhalb weniger Tage fanden sie Wege, in PHP-basierte Systeme wie Drupal und WordPress , die in großen Teilen des Internets eingesetzt werden.
Wiz kontaktierte das PHP-Sicherheitsteam, um es über die gefundenen Schwachstellen zu informieren. Ende September bestätigten die PHP-Entwickler das Problem und begannen umgehend mit der Arbeit an einer Lösung.
In der Cybersicherheit ist es verantwortungsvoll, einen gefundenen Fehler geheim zu halten, bis ein Patch verfügbar ist. Denn eine öffentliche Bekanntgabe könnte Hackern eine detaillierte Anleitung zur Ausnutzung von Sicherheitslücken liefern.
Dies scheint der Plan der PHP-Entwickler gewesen zu sein. Gestern jedoch veröffentlichte ein Nutzer der bekannten Branchenwebsite Hacker News versehentlich Informationen über die Sicherheitslücken, bevor Patches verfügbar waren.
Nach dem Bekanntwerden des Datenlecks beeilten sich die PHP-Entwickler, das Problem am 21. Oktober öffentlich zu bestätigen und veröffentlichten vorzeitig Notfall-Patches.
Die Implementierung der Patches ist alles andere als einfach. Da PHP Tausenden von Drittanbieter-Plugins, Frameworks und Managed Hosting-Diensten zugrunde liegt, sind Websites erst dann sicher, wenn jede einzelne Ebene der Lieferkette den PHP-Fix integriert und implementiert hat.
Warum passiert das immer wieder?
Ein Großteil des Internets basiert auf grundlegenden Technologien, die von Hobbyentwicklern entwickelt und gepflegt wurden. Viele sind eher auf Wohlwollen und Spenden als auf solide Unternehmensfinanzierung angewiesen.
Viele dieser Tools wurden vor Jahrzehnten entwickelt. Sie waren nie dafür ausgelegt, eine Welt sicher zu unterstützen, in der Millionen von Websites und Milliarden von Geräten sie zur Verarbeitung sensibler und privater Daten nutzen.
Erschwerend kommt hinzu, dass die Instandhaltung für Unternehmen selten Priorität hat. Allzu oft verfügen Unternehmen nur über rudimentäre Kenntnisse über alle Bestandteile ihrer Lieferketten – ob physisch oder digital.
Selbst in so aufsehenerregenden Fällen wie diesem ist vielen Unternehmen nicht einmal bewusst, auf welche Software sie angewiesen sind, geschweige denn, dass sie eine Vorstellung davon haben, wie sicher diese tatsächlich ist.
Was sollten Sie tun?
Dieses Thema betrifft vor allem Webseitenbetreiber und IT-Infrastrukturverwalter. Für sie ist die Priorität klar: Systeme sollten umgehend nach Verfügbarkeit von Updates gepatcht und kritische Systeme vorübergehend vom Internet getrennt werden, bis deren Sicherheit gewährleistet ist.
Für normale Internetnutzer betreffen diese Sicherheitslücken die Server, auf denen Websites gehostet werden, und nicht Ihr persönliches Gerät. Da einige Websites jedoch vorübergehend kompromittiert sein könnten, bevor sie die Sicherheitslücken beheben können, ist es ratsam, in den nächsten Tagen vorsichtig zu sein und keine sensiblen persönlichen Daten auf unbekannten Websites einzugeben.
Die großen Cloud-Anbieter und Sicherheitsfirmen führen Notfallfilter ein, aber der weltweite Wettlauf um die Sicherung des Internets hat gerade erst begonnen.
Weltweit arbeiten Cybersicherheitsteams fieberhaft daran, den Schaden einzudämmen. Doch das Ausmaß dieses Problems sollte ein Weckruf sein.
Regierungen und Unternehmen dürfen die Stabilität ihrer digitalen Lieferketten nicht ignorieren. So wie Hersteller die Lieferanten der von ihnen benötigten physischen Komponenten nachverfolgen, sollten wir erwarten, dass auch die digitale Infrastruktur jedes System und Framework, auf dem sie basiert, erfasst.
Die Sammlung dieser Informationen ist der erste Schritt für Unternehmen und Regierungen, um wirklich zu verstehen, wie stark ihre digitale Überlebensfähigkeit von unterfinanziertem, ehrenamtlich gepflegtem Code abhängt. Solange Unternehmen die Finanzierung von Open-Source-Grundlagenwerkzeugen nicht als kritische Sicherheitsinvestition und nicht als Wohltätigkeit betrachten, werden diese Sicherheitslücken weiterhin bestehen.
Andrew Cullen, Gastwissenschaftler an der Fakultät für Informatik und Informationssysteme der Universität Melbourne.
Dieser Artikel wurde mit freundlicher Genehmigung von The Conversation unter einer Creative-Commons-Lizenz erneut veröffentlicht. Lesen Sie den Originalartikel.
