Globale Sicherheitskrise: Massive Hackerangriffe nach Schwachstellen in PHP-Programmiersprache

Weltweit versuchen Unternehmen und Regierungen derzeit, kritische Sicherheitslücken in der Programmiersprache PHP zu schließen. Die Bekanntgabe der Schwachstellen löste laut Cloud-Anbietern wie Cloudflare und Amazon einen massiven Anstieg von Hacking-Versuchen aus, die mittlerweile in die Millionen gehen. Cloudflare-Chef Matthew Prince berichtete, dass bereits in den zehn Stunden vor der öffentlichen Bekanntgabe tausende Versuche registriert wurden. Nach der Ankündigung stiegen die Zahlen innerhalb von 45 Minuten auf zehntausende, innerhalb von zwei Stunden auf Hunderttausende und erreichten schließlich die Millionenmarke. Auch Amazon bestätigte eine weit verbreitete Ausnutzung der Lücken.

Die Sicherheitslücken in der weit verbreiteten Sprache PHP, die eine fundamentale Basis des Internets bildet und vergleichbar mit HTML oder Python ist, wurden mithilfe von Künstlicher Intelligenz aufgedeckt. Die Entwickler von PHP veröffentlichten am Mittwoch Korrekturen und riefen alle Nutzer zu sofortigen Updates auf. Madeline Lawrence, Mitbegründerin der belgischen Cybersicherheitsfirma Aikido Security, erklärte, dass Details zu den Fehlern öffentlich wurden, noch bevor die Reparaturen bereitstanden, was Angreifern den nötigen Vorsprung verschaffte. Sie beschrieb die Situation als ein Wettrennen zwischen Unternehmen, die versuchen zu aktualisieren, und Angreifern, die KI nutzen, um die Lücken auszunutzen.

Die Auswirkungen der Sicherheitslage sind global spürbar. In Japan sahen sich große Unternehmen wie die Bank Mitsubishi UFJ Financial Group, der Broker Nomura, die Fluggesellschaft ANA sowie die East Japan Railway gezwungen, Teile ihrer Internetdienste als Notfallmaßnahme vorübergehend einzustellen. Auch die Asahi Group Holdings reagierte mit der Suspendierung bestimmter Webseiten und Systemen sowie der Durchführung einer Sicherheitsprüfung der Auswirkungen, während der Versicherer Tokio Marine Holdings seine Gruppenwebseite vorübergehend offline nahm. Staatliche Stellen in Japan, darunter das Finanzministerium, die Wetterbehörde und die nationale Steuerbehörde, nahmen ebenfalls Dienste vorübergehend offline. Diese präventiven Abschaltungen zeigen die wachsende Besorgnis in Japan, da das Land laut TrendAI in den ersten neun Monaten des Jahres bereits mehr Cyber-Vorfälle verzeichnete als im gesamten Vorjahr.

In Europa reagierten Behörden und Konzerne ebenfalls mit Vorsichtsmaßnahmen. Der finnische staatliche IT-Dienstleister Valtori schaltete Regierungswebseiten ab, um Sicherheitsupdates zu installieren, und begann nach einer nächtlichen Patch-Phase damit, die Dienste schrittweise wieder freizugeben. Der Generaldirektor von Valtori, Hannu Naumanen, wies darauf hin, dass die Ausfälle nicht durch einen bereits erfolgten Einbruch oder eine aktive Ausnutzung der Schwachstellen verursacht wurden. Er betonte jedoch, dass die Wiederherstellung der Dienste aufgrund notwendiger Tests Tage oder Wochen dauern könne. Der französische Telekommunikationskonzern Orange suspendierte ebenfalls vorsorglich den Zugriff auf bestimmte PHP-basierte Anwendungen über mehrere Tochtergesellschaften hinweg.

In Asien haben mehrere Regierungen reagiert: Während Chinas Industrieministerium Organisationen zur Systemprüfung und zum Upgrade auf die neueste PHP-Version aufforderte und zudem empfahl, die Cybersicherheitsüberwachung zu verstärken sowie Passwörter und Schlüssel zu ändern, erhöhte Südkorea die Alarmstufe für die Cybersicherheit im Privatsektor und aktivierte Notfallmaßnahmen. Tencent Cloud rief seine Kunden ebenfalls zu Sicherheitsupdates auf, forderte jedoch keine flächendeckenden Abschaltungen von Webseiten.

Microsoft-Chef Satya Nadella bezeichnete den Vorfall bei einer Veranstaltung in Deutschland als eine Situation, wie er sie seit langer Zeit nicht mehr erlebt habe. Er betonte die Notwendigkeit, Software so zu entwickeln, dass sie auch bei zunehmender Komplexität sicher gewartet werden kann, und wünschte den IT- und Sicherheitsexperten nach den langen Arbeitsstunden alles Gute. Felix Kuhlenkamp vom deutschen Digitalverband Bitkom merkte an, dass die Aktualisierung bei komplexen IT-Systemen oder kleineren Organisationen, die ihre Webseiten weniger intensiv überwachen, deutlich mehr Zeit in Anspruch nehmen könne. Er warnte zudem, dass bei Webseiten, die auf veralteten PHP-Versionen ohne Sicherheitsupdates basieren, das gesamte System aktualisiert werden müsse.