Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP haben weltweit Warnungen und vorsorgliche Abschaltungen von Internetangeboten ausgelöst. Nach einem Bericht der BBC wurden am Mittwochnachmittag Updates veröffentlicht. Internationale Sicherheitsbehörden fordern Betreiber auf, betroffene Systeme schnellstmöglich abzusichern oder vorübergehend vom Netz zu nehmen.

PHP bildet die technische Grundlage zahlreicher Websites und Anwendungen. Die Sprache wird unter anderem bei WordPress, Drupal, Joomla und Magento eingesetzt. Auch Hostingplattformen, Verwaltungsoberflächen und andere Softwareprodukte können PHP enthalten.

Finnland schaltete öffentliche Webdienste seiner Regierung vorübergehend ab. Die niederländische Cybersicherheitsbehörde nahm ebenfalls ihre eigene Website offline. Auch das niederländische Institut für öffentliche Gesundheit und Umwelt reagierte mit einer Abschaltung.

Die Wikimedia Foundation erklärte, die Schwachstellen zu bearbeiten und mehrere Systeme vorsorglich außer Betrieb genommen zu haben. Dadurch waren zeitweise Teile von Wikipedia nicht erreichbar. Weitere Ausfälle betrafen unter anderem die Stadtverwaltung von Edinburgh und einzelne BBC-Programmseiten. Ein Zusammenhang mit den PHP-Schwachstellen war dort zunächst nicht bestätigt.

Entdeckt wurden die Sicherheitslücken nach Angaben der beteiligten Unternehmen mithilfe fortgeschrittener KI-Werkzeuge. Forschende der Sicherheitsfirmen Calif und Wiz waren daran beteiligt. Calif und die PHP Foundation arbeiteten dabei im Rahmen des von OpenAI gestarteten Programms „Patch the Planet“. OpenAI berichtete zudem von einer etwa zeitgleichen Entdeckung durch einen eigenen Forscher.

Die Fehler sollen mehr als ein Jahrzehnt unentdeckt geblieben sein. Ursprünglich war eine koordinierte Veröffentlichung zu einem späteren Zeitpunkt vorgesehen. Nachdem jedoch am Dienstag technische Einzelheiten in sozialen Medien aufgetaucht waren, wurde die Bekanntgabe vorgezogen.

Wiz schätzt, dass rund 70 Prozent des Internets betroffen sein könnten. Die BBC konnte diese Zahl nicht unabhängig bestätigen. Aus der weiten Verbreitung von PHP lässt sich außerdem nicht ableiten, dass jede darauf basierende Website gleichermaßen angreifbar ist.

Nach Einschätzung des europäischen Computer-Notfallteams CERT-EU könnten die Schwachstellen unter bestimmten Voraussetzungen eine Ausführung fremden Programmcodes ohne vorherige Anmeldung ermöglichen. Angreifer könnten dadurch Systeme kompromittieren, Schadsoftware installieren oder Dienste lahmlegen.

Cloudflare-Technikchef Dane Knecht berichtete bereits von ersten Angriffsversuchen. Die britische Cybersicherheitsbehörde NCSC und die US-amerikanische NSA empfehlen deshalb, gefährdete Systeme bei fehlender kurzfristiger Absicherung vorübergehend abzuschalten.

Für Betreiber besteht die Herausforderung auch darin, sämtliche PHP-Komponenten in ihrer Infrastruktur zu finden. Fachleute raten zudem, nach Anzeichen bereits erfolgter Angriffe zu suchen und Sicherheitsmeldungen der jeweiligen Softwareanbieter weiterzuverfolgen.

Updates stehen dem Bericht zufolge für neuere PHP-Versionen bereit. Wer PHP 8.1 oder ältere Versionen betreibt, wird zum Wechsel auf eine unterstützte Version aufgefordert. Die konkrete Betroffenheit einzelner Systeme muss jeweils geprüft werden. Eine vorsorglich abgeschaltete Website ist dabei für sich genommen kein Beleg für einen erfolgreichen Hackerangriff.