Kritische Sicherheitslücken in PHP: Experten raten zur vorübergehenden Abschaltung von Webseiten

Die Entwickler der weit verbreiteten Programmiersprache PHP bereiten die Veröffentlichung von Sicherheitskorrekturen für zwei kritische Schwachstellen vor. Da PHP eine zentrale Rolle bei der Bereitstellung zahlreicher Internetseiten spielt, warnen Cybersicherheitsbehörden vor erheblichen Risiken durch unbefugte Zugriffe.

Das Computer Emergency Response Team der Europäischen Union (CERT-EU) wies darauf hin, dass die Schwachstellen mit einem Wert von 9,2 auf der Schweregrad-Skala CVSS v4.0 eingestuft wurden. Dieser hohe Wert deutet auf das Risiko einer unauthentifizierten Remote-Code-Ausführung hin. Dabei könnten Angreifer bösartigen Code auf verwundbaren Systemen ausführen, ohne sich zuvor anmelden zu müssen. Das CERT-EU riet Organisationen, die sofortigen Einsatz der Patches vorzubereiten. Sollte eine zeitnahe Behebung nicht möglich sein, wurde empfohlen, die betroffenen Webseiten vorübergehend offline zu nehmen.

Ähnliche Anweisungen gab das australische Cyber Security Centre (ACSC). Die Behörde forderte Unternehmen auf, PHP-Systeme in ihrer Infrastruktur zu identifizieren, die Installation der Updates vorzubereiten und Anwendungen auf Anzeichen von Aktivitäten durch Angreifer zu überwachen. Laut ACSC liegen derzeit jedoch keine Informationen über eine bereits stattfindende Ausnutzung dieser Lücken vor.

Die Tragweite der Sicherheitslücken wird durch den Webhosting-Anbieter GoDaddy unterstrichen. Die Schwachstellen könnten es Angreifern ermöglichen, über das Internet Code auf betroffenen Servern auszuführen, was zu Datendiebstahl, der Entstellung von Webseiten oder einer vollständigen Kompromittierung des Systems führen kann. Da PHP unter anderem die Basis für Systeme wie WordPress, Drupal, Joomla und Magento bildet, ist eine Vielzahl von Webseiten und Hosting-Plattformen potenziell betroffen. Nach Angaben von CERT-EU und ACSC könnten alle PHP-Versionen ab Version 5 anfällig sein, wobei die Entwickler noch keine detaillierte Liste der betroffenen Versionen veröffentlicht haben.