PHP weist eine schwerwiegende Sicherheitslücke auf, globale Website-Betreiber beginnen dringend mit dem Patchen

Laut dem vom PHP-Entwicklungsteam veröffentlichten Sicherheitsbulletin beträgt der Schweregrad der beiden Schwachstellen 9,2 Punkte, wobei das Schwachstellenbewertungssystem CVSS v4.0 mit einem Gesamtwert von 10 Punkten ermittelt wurde. Das Entwicklungsteam bittet alle PHP-Benutzer, sich im Voraus vorzubereiten und ein Upgrade durchzuführen, sobald ein Fix veröffentlicht wird. In der Ankündigung heißt es außerdem, dass der Patch möglicherweise im Voraus veröffentlicht wird, wenn die Details der Sicherheitslücke im Voraus bekannt gegeben werden oder sich herausstellt, dass die Sicherheitslücke tatsächlich ausgenutzt wird.

PHP ist die am weitesten verbreitete serverseitige Programmiersprache in der Internet-Infrastruktur. Viele Websites verlassen sich darauf, um Webseiten zu generieren, Benutzeranfragen zu bearbeiten, eine Verbindung zu Datenbanken herzustellen und Hintergrundgeschäftslogik auszuführen. Mainstream-Content-Management-Systeme und E-Commerce-Plattformen, darunter WordPress, Drupal, Joomla und Magento, nutzen PHP in großem Umfang. Daher sind die potenziellen Auswirkungen dieser Sicherheitslücke nicht auf eine bestimmte Software oder eine bestimmte Art von Website beschränkt, sondern können eine große Anzahl von Internetdiensten betreffen.

Unter diesen ist der Umfang des Einflusses von WordPress besonders hervorzuheben. Von WordPress im letzten Jahr veröffentlichte Daten zeigten, dass die Plattform mehr als 40 % der Websites weltweit unterstützt. Das Cybersicherheitsunternehmen Wordfence weist darauf hin, dass WordPress-Websites häufig auf Servern laufen, auf denen PHP installiert ist. Solange es also ungepatchte Schwachstellen in der zugrunde liegenden PHP-Umgebung gibt, können die entsprechenden Websites gefährdet sein.

Sicherheitsforscher schätzen, dass die Zahl potenziell betroffener Internet-Hosts über 1,3 Millionen beträgt. Allerdings handelt es sich bei dieser Zahl um eine vorläufige Schätzung der Forscher und bedeutet weder, dass alle relevanten Hosts kompromittiert wurden, noch kann daraus geschlossen werden, dass zwangsläufig alle Websites im gleichen Ausmaß betroffen sein werden.

Sicherheitslücken bei der Remotecodeausführung sind gefährlich, da ein Angreifer über das Netzwerk speziell gestaltete Anfragen an einen anfälligen Server senden könnte, um bösartigen Code auszuführen, ohne dass ein legitimes Konto oder Anmeldeinformationen erforderlich sind. Sobald der Angriff erfolgreich ist, kann es zu Manipulationen an Website-Seiten, Datendiebstahl auf dem Server, Einschleusung von Schadprogrammen und noch weitergehender Kontrolle des gesamten Servers kommen. Bei Websites, die Benutzerprofile, Kundeninformationen oder Transaktionsaufzeichnungen speichern, könnte ein Verstoß auch zu umfassenderen Datenschutzverletzungen und Geschäftsunterbrechungen führen.

Die Sicherheitsforschungsorganisation watchTowr gab an, dass diese beiden Schwachstellen auf der Grundlage der derzeit durchgesickerten relevanten Informationen mehrere Versionen ab PHP 5 betreffen könnten. Bevor PHP jedoch die Details der Schwachstelle und die Liste der betroffenen Versionen offiziell vollständig offenlegt, muss der konkrete Umfang der Auswirkungen noch offiziell bekannt gegeben werden.

Um die Sache noch schwieriger zu machen: Webmaster können sich nicht einfach auf die automatische Aktualisierungsfunktion von WordPress verlassen, um das Problem zu lösen. Wordfence weist ausdrücklich darauf hin, dass die Schwachstelle dieses Mal in PHP selbst liegt, nicht im WordPress-Kernprogramm oder einem Plug-in. Selbst wenn also eine Website automatisch den WordPress-Kern und die Plugins aktualisiert hat, muss die PHP-Umgebung, auf der der Server tatsächlich läuft, möglicherweise dennoch separat aktualisiert werden.

Für Benutzer, die virtuelles Hosting nutzen, wird PHP normalerweise vom Hosting-Anbieter verwaltet; Wenn die Website auf einem selbstverwalteten virtuellen privaten Server, Cloud-Server oder unabhängigen Server ausgeführt wird, liegt die Wartungsverantwortung möglicherweise beim Website-Eigentümer oder Systemadministrator. Website-Betreiber müssen bestätigen, welche PHP-Version aktuell verwendet wird, wer den Server verwaltet und ob der Dienstanbieter zeitnah eine Reparaturversion bereitstellt.

Das European Cybersecurity Emergency Response Team (CERT-EU) und das UK National Cyber ​​​​Security Centre haben beide Warnungen herausgegeben und Organisationen, die die Reparatur nicht sofort abschließen können, empfohlen, mit dem Internet verbundene Anwendungen vorübergehend vom öffentlichen Netzwerk zu isolieren oder relevante Websites direkt offline zu schalten, bis die Schwachstelle effektiv gemindert ist. Die EU wies ausdrücklich darauf hin, dass die Sicherheitslücke es Angreifern ermöglichen könnte, Schadcode auszuführen, ohne sich beim System anzumelden. Daher sollten Organisationen betroffene Vermögenswerte im Voraus identifizieren und sich auf Notfallaktualisierungen vorbereiten.

Einige Institutionen haben bereits vorbeugende Maßnahmen ergriffen. Das Entwicklungsteam des mobilen Betriebssystems GrapheneOS sagte, es habe sein Benutzerdiskussionsforum vorübergehend geschlossen, um unnötige Risiken zu vermeiden, da ein Proof-of-Concept-Angriffscode für die Schwachstelle in der Entwicklung sei. PHP-Entwicklerin Gina Peter Bagyard sagte auch, dass die Installation von Patches der Schlüssel zur Lösung des Problems sei; Wenn es nicht rechtzeitig repariert werden kann, ist das Herunterfahren des Servers möglicherweise die sicherere Wahl.

Cybersicherheitsforscher warnten außerdem, dass Angreifer nach der Veröffentlichung des Patches schnell die Codeunterschiede vor und nach dem Patch analysieren, herausfinden könnten, wie die Schwachstelle ausgenutzt werden kann, und groß angelegte Angriffe auf Server starten könnten, die nicht aktualisiert wurden. Das Sicherheitsforschungsunternehmen Sansec prognostiziert, dass bereits 15 Minuten nach Veröffentlichung des Patches groß angelegte Angriffe auftreten können. Diese Vorhersage bedeutet nicht, dass innerhalb dieses Zeitraums definitiv ein Angriff stattfinden wird, sie spiegelt jedoch die Besorgnis der Sicherheitsbranche über die rasche Ausweitung der Risiken wider, nachdem die Schwachstelle öffentlich bekannt wurde.

Unterdessen sagte Dane Knecht, Chief Technology Officer von Cloudflare, dass die Plattform erste Anzeichen von Angriffen auf Websites beobachtet habe, auf denen PHP ausgeführt wird. Cloudflare passt die Firewall-Regeln vorübergehend an, um zusätzlichen Schutz zu bieten, bis ein offizieller Patch veröffentlicht wird. Er betonte jedoch, dass diese Maßnahmen nur als Übergangslösung dienen und formelle Reparaturen nicht ersetzen können.

Das Australian Cyber ​​​​Security Centre gab an, dass zu diesem Zeitpunkt keine bestätigten Ausnutzungsaktivitäten im Zusammenhang mit diesen beiden Schwachstellen entdeckt worden seien, und empfahl Organisationen, so schnell wie möglich eine Bestandsaufnahme der Systeme durchzuführen, auf denen PHP intern ausgeführt wird, Patches im Voraus vorzubereiten und Anwendungen kontinuierlich auf Anomalien zu überwachen. Verschiedene Sicherheitsbehörden haben unterschiedliche Aussagen zu Angriffssituationen, was bedeutet, dass sich die Bedrohungsinformationen immer noch schnell ändern und Website-Betreiber nicht davon ausgehen sollten, dass ihre Systeme sicher sind, nur weil groß angelegte Angriffe noch nicht bestätigt wurden.

Für normale Website-Besitzer ist die wichtigste Lehre aus diesem Vorfall, dass die Website-Sicherheit nicht nur davon abhängt, ob das Content-Management-System und die Plug-Ins auf dem neuesten Stand gehalten werden, sondern auch davon, ob die zugrunde liegende Betriebsumgebung des Servers rechtzeitig gewartet wird. Auch wenn der Inhalt einer Website nur selten aktualisiert wird, können schwerwiegende Schwachstellen in der zugrunde liegenden Software zu Einfallstoren für Angriffe werden, solange die Dienste weiterhin über das Internet bereitgestellt werden.

PHP plant offiziell, eine reparierte Version am 21. Oktober 2026 um 14:00 UTC zu veröffentlichen, was 22:00 Uhr Pekinger Zeit entspricht. Das Entwicklungsteam erklärte, dass es zu diesem Zeitpunkt weitere Details zur Schwachstelle, betroffene Versionen und reparierte Versionsinformationen bekannt geben werde. Website-Administratoren sollten schnellstmöglich nach Veröffentlichung des offiziellen Updates bestätigen, ob der Dienstanbieter oder ihr eigener Server die Reparatur abgeschlossen hat, und gegebenenfalls Systemprotokolle und ungewöhnliche Aktivitäten überprüfen.

Da der PHP-Patch kurz vor der Veröffentlichung steht, werden zahlreiche Websites auf der ganzen Welt in die Notfallwartungsphase eintreten. Das Risiko dieses Vorfalls ergibt sich nicht nur aus der Sicherheitslücke selbst, sondern auch aus der großen Anzahl von Servern mit alten Versionen im Internet und der Tatsache, dass Websitebesitzer möglicherweise nicht in der Lage sind, Aktualisierungen rechtzeitig abzuschließen. Bei kritischen Systemen, die nicht sofort repariert werden können und direkt dem Internet ausgesetzt sind, kann es sicherer sein, den Zugriff vorübergehend einzuschränken oder sie offline zu schalten, als das Risiko weiterhin einzugehen.

Weitere Informationen:

https://www.php.net/index.php