Die PHP-Entwickler-Gemeinschaft warnt vor zwei kritischen Schwachstellen, die nach einem Sicherheits-Leak öffentlich bekannt geworden sind. Diese Lücken ermöglichen es Angreifern, beliebigen Code aus der Ferne auf betroffenen Webservern auszuführen, ohne dass bislang Sicherheitspatches verfügbar sind.
Das Szenario ist für Webhosting-Anbieter, Content-Management-System-Betreiber und Unternehmen mit PHP-basierten Webanwendungen äusserst kritisch. PHP wird auf etwa 76 Prozent aller bekannten Webserver eingesetzt. Eine nicht gepatchte kritische Schwachstelle bedeutet damit ein enormes Angriffsrisiko für möglicherweise Millionen von Websites weltweit.
Die PHP-Group kündigte an, dass technische Details und Patches folgen würden, aber zum Zeitpunkt der Warnung waren diese noch nicht verfügbar. Dies schafft ein Zeitfenster, in dem Systeme ohne Patch exponentiell von Angreifern gefährdet sind. Cyberkriminelle, die solche Zero-Day-Lücken ausnutzen, können Websites kompromittieren, Benutzer-Daten stehlen, Malware verbreiten oder Server für DDoS-Attacken missbrauchen.
Für betroffene Organisationen ist sofortige Massnahmen notwendig. Zu den möglichen Massnahmen gehören temporäre Isolation kritischer PHP-Anwendungen, verstärkte Firewall-Regeln, kontinuierliches Monitoring auf verdächtige Aktivitäten und Vorbereitung auf schnelle Patch-Deployment-Prozesse. KMU, die auf PHP-basierte Anwendungen angewiesen sind, sollten ihre Incident-Response-Pläne aktivieren und mit ihren Hosting-Providern oder System-Administratoren kommunizieren, um Bereitschaft zu koordinieren.