Sicherheitslücke in Programmiersprache PHP: Websites weltweit vorsorglich abgeschaltet
Wegen einer Warnung vor Cyberangriffen aufgrund einer gravierenden Sicherheitslücke in der Web-Programmiersprache PHP haben Regierungsbehörden und Unternehmen weltweit zahlreiche Internetseiten abgeschaltet. In Europa waren am Mittwoch unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Belgien betroffen. Der US-Geheimdienst National Security Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn hatten dringend zu diesem Schritt geraten.
Die Sicherheitslücke könne es Hackern ermöglichen, sich „direkten Zugriff“ auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA. „Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen“, erklärte das BSI.
Die NSA und das BSI rieten zur „umgehenden“ Installation eines Sicherheitsupdates, das am Mittwoch zur Verfügung gestellt wurde. Gelinge dies nicht, sollten die Internetseiten vorsorglich abgeschaltet werden. Sonst könnten Cyberangreifer Server ohne ein Passwort übernehmen.
PHP ist eine beim Erstellen von Websites und Webanwendungen weltweit verbreitete Programmiersprache. Laut BSI sind vermutlich alle Versionen bis mindestens PHP 5 betroffen. „Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen“, erklärte die PHP-Stiftung in einem Blogbeitrag.
In Deutschland nahmen am Mittwoch Landes- und Polizeibehörden sowie mehrere Städte ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen. In Nordrhein-Westfalen wurden laut dem Landesamt für Zentrale Polizeiliche Dienste „einige Online-Dienste der Polizei NRW als Vorsichtsmaßnahme vorübergehend abgeschaltet“.
Die Berliner Polizei meldete Ausfälle der „Internetwache“, über die Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110. Betroffen war auch die Berliner Universitätsklinik Charité. Zudem nehmen zahlreiche Städte ihre Online-Angebote vorübergehend vom Netz, darunter München, Flensburg und Saarbrücken.
In Frankreich waren die Internetauftritte mehrerer Behörden, unter ihnen die Pariser Polizei, nicht mehr erreichbar. In Belgien war unter anderem die Website des Außenministeriums offline. In den Niederlanden waren der digitale Identitätsdienst DigiD, die Parlamentswebsite und der Internetauftritt des nationalen Cybersicherheitszentrums betroffen.
Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander am selben Tag entdeckt hatten. Die Google-Tochter Wiz meldete später weitere Möglichkeiten, sie auszunutzen.
Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Details wurden am Dienstag - einen Tag vor der geplanten Veröffentlichung des Updates - online geleakt. Dies führte zur vorsorglichen Abschaltung vieler Websites.
Der für die PHP-Stiftung tätige Softwareentwickler Volker Dusch sagte dem „Wall Street Journal“, es handele sich um das gravierendste Sicherheitsproblem in der Programmiersprache seit mehr als einem Jahrzehnt. OpenAI sprach ebenfalls „von einer der folgenschwersten Sicherheitslücken der jüngeren Vergangenheit“. Zugleich zeige sich, dass KI inzwischen in der Lage sei, weltweit relevante Schwachstellen aufzudecken.
Der KI-Experte Ethan Mollick von der US-Elitehochschule University of Pennsylvania warnte zugleich, dass Unternehmen Mühe hätten, mit dem Tempo der Updates Schritt zu halten, die zum Schutz vor KI-gestützten Cyberangriffen erforderlich seien. Auch Verbraucher würden nun die Erfahrung machen, „dass alles häufig und schnell aktualisiert wird“, schrieb er auf X.