Die PHP Foundation hat kürzlich zwei kritische Sicherheitslücken öffentlich gemacht, die unmittelbar nach ihrer Ankündigung zu einem Flurschaden bei unzähligen Webseiten geführt haben. Diese Schwachstellen erlauben es Angreifern, Code direkt auf betroffenen Servern auszuführen, ohne dass eine Authentifizierung nötig wäre.
Die Situation zeigt ein bekanntes Muster bei der Sicherheitsforschung: Jahre von Vorbereitungsarbeit und Koordination münden in eine hektische Offenlegung unter Zeitdruck. Forscher hatten die Lücken bereits seit zwei Jahren gekannt, doch die koordinierte Offenbarung lief nicht wie geplant ab. Dies führte dazu, dass viele Administratoren nur kurze Zeit hatten, um ihre Systeme zu aktualisieren.
Unmittelbar nach der Veröffentlichung gingen zahlreiche Webseiten offline, während Entwickler-Teams fieberhaft daran arbeiteten, aktualisierte PHP-Versionen bereitzustellen und auszurollen. Linux-Distributionen wie Debian, Ubuntu und andere eilten herbei, um Updates über ihre Paketquellen zur Verfügung zu stellen. Parallel begannen erste Angriffe auf ungepatche Systeme, wobei bislang noch keine massiven Exploit-Kampagnen dokumentiert wurden.
Für KMU-IT-Dienstleister ist dies ein Weckruf: PHP läuft immer noch auf schätzungsweise 77 Prozent aller bekannten Webserver. Ein Sicherheitsproblem in dieser Technologie hat daher enorme Auswirkungen auf die Branche. Kunden mit PHP-basierten Webseiten, Content-Management-Systemen wie WordPress oder anderen Anwendungen sind unmittelbar bedroht. Der Rat ist eindeutig: Betroffene Server müssen so schnell wie möglich auf die neuesten, gepatchten PHP-Versionen aktualisiert werden. Wer keine regelmässigen Sicherheits-Updates einfährt oder keinen Service-Level mit garantierten Patch-Zeiten hat, läuft Gefahr, zum Opfer solcher Lücken zu werden.
Dies verdeutlicht auch, warum ein proaktives Sicherheitsmanagement und Monitoring unerlässlich sind. Admins sollten in der Lage sein, Sicherheitswarnungen schnell zu erfassen und reagieren zu können, oder noch besser, automatisierte Update-Systeme und Patch-Management-Tools im Einsatz haben.