Die Notfall-Updates sind draußen, jetzt beginnt das Wettrennen. Nach der Veröffentlichung von zwei kritischen Sicherheitslücken in der Programmiersprache PHP melden erste Sicherheitsfirmen Angriffe. In Österreich sind dem Innenministerium bisher keine erfolgreichen Attacken bekannt. Entwarnung gibt man dort aber nicht.

“Davon auszugehen, dass es Versuche geben wird”

Auf Anfrage von oe24 erklärte das Innenministerium, das Bundesamt für Cybersicherheit (BCS) habe “die Entwicklung frühzeitig aufgegriffen und die entsprechenden Strukturen informiert”. Zur Frage nach Angriffen hieß es: “Zum aktuellen Zeitpunkt liegen dem BCS und der Polizei keine konkreten Meldungen über erfolgreiche Angriffe auf Grund der Schwachstellen vor.” Allerdings: “Es ist davon auszugehen, dass es zu entsprechenden Versuchen kommen wird.” Man beobachte die Lage genau.

Die Updates sind da

Das PHP-Team hat die Korrekturen am Mittwoch um 16 Uhr österreichischer Zeit veröffentlicht, einen Tag früher als ursprünglich geplant. Sie stecken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, wie das Sicherheitsunternehmen Brandefense zusammenfasst. Laut PHP-Projekt sind “alle PHP-Installationen, die Webanfragen bearbeiten” gefährdet, betroffen sind demnach Versionen ab etwa PHP 5.4. Wer eine ältere, nicht mehr unterstützte Version einsetzt, bekommt keine offizielle Korrektur und muss umsteigen. Wichtig für Administratoren: Nach dem Update muss auch der Webserver bzw. der PHP-Dienst neu gestartet werden, sonst läuft weiter die alte, verwundbare Version.

Angriffe schon vor der Veröffentlichung?

Wie groß die Gefahr bereits ist, darüber gehen die Einschätzungen auseinander. Das Sicherheitsunternehmen Hadrian und der Konzern Amazon berichten laut dem Analysedienst Rescana inzwischen von Ausnutzung “in großem Stil”. Amazons Bedrohungsforscher wollen laut Tenable sogar schon ab dem 17. Oktober erste Angriffsversuche beobachtet haben, also vor der öffentlichen Bekanntgabe. Andere Stellen sind vorsichtiger: Die US-Cybersicherheitsbehörde CISA und das kanadische Cyber-Zentrum hatten am Mittwoch noch keine Ausnutzung festgestellt, die PHP Foundation erklärte, bei der Veröffentlichung keine funktionierenden Angriffswerkzeuge identifiziert zu haben. Fest steht: Im Netz kursieren inzwischen Beispielcodes, die zeigen, wie sich die Lücken ausnutzen lassen.

Was Betreiber jetzt tun müssen

Für Betreiber von Webseiten gibt es nur eine Empfehlung: sofort aktualisieren. Wer eine Seite bei einem Hosting-Anbieter betreibt, sollte nachfragen, ob das Update bereits eingespielt wurde. Besonders gefährdet sind laut Fachleuten Seiten, auf denen PHP direkt als Modul im Webserver Apache läuft. Für normale Internetnutzer, die Webseiten nur besuchen, besteht kein direkter Handlungsbedarf. Zur Einordnung: Laut dem Statistikdienst W3Techs setzen rund drei Viertel aller Webseiten mit bekannter Server-Technik auf PHP.