Ein grossflächiger Angriff auf Firewalls weltweit zeigt die systematische Vorgehensweise von staatlich unterstützten Hackergruppen. Chinesische Akteure haben nach verfügbaren Quellen systematisch nach anfälligen Firewall-Konfigurationen im Internet gesucht, identifiziert und dann ausgenutzt.
Die Angreifer nutzten eine Sicherheitslücke namens PHP2Shell aus. Diese Lücke ermöglicht es, über fehlerhaft konfigurierte oder veraltete PHP-Komponenten auf Firewalls Zugriff zu erlangen und Schadcode auszuführen. Dies ist besonders problematisch, da Firewalls eine der ersten Verteidigungslinien in der Netzwerk-Sicherheit sind. Ein Angreifer mit Kontrolle über eine Firewall kann den gesamten Datenfluss eines Netzwerks überwachen, manipulieren oder umleiten.
Die Tatsache, dass auch US-Regierungsserver betroffen sind, unterstreicht die Gefahr dieser Lücken. Während die USA selbst über bedeutende Cybersicherheitskapazitäten verfügen, zeigt dies, wie schwierig es ist, alle Systeme jederzeit aktuell zu halten. Für kleinere Organisationen ist die Herausforderung noch grösser.
Das Exploit funktioniert, weil PHP-Komponenten nicht korrekt sandboxed oder deaktiviert sind. Viele ältere Firewall-Modelle oder solche in speziellen Konfigurationen können versehentlich PHP-Verarbeitung ermöglichen, was Angreifern einen Einstiegspunkt bietet.
Für KMU-Betriebe mit eigenen Firewalls ist dies ein Weckruf: Es reicht nicht, eine Firewall zu installieren und zu vergessen. Regelmässige Sicherheitsupdates, die Deaktivierung nicht benötigter Dienste (wie PHP-Verarbeitung auf einer reinen Netzwerk-Firewall) und die Überwachung von Admin-Interfaces sind essentiell. Ausserdem sollten Firewall-Logs regelmässig auf verdächtige Aktivitäten überprüft werden. Ein Sicherheits-Audit der eigenen Firewall-Konfiguration wäre jetzt ratsam.