Die PHP Foundation hat eingeräumt, dass Probleme bei der Entscheidungsfindung und begrenzte Ressourcen eine PHP-Sicherheitskorrektur für eine Schwachstelle verzögerten, die erstmals 2024 entdeckt wurde. Als am Mittwoch Notfall-Patches für zwei damit zusammenhängende kritische Schwachstellen veröffentlicht wurden, nahmen Regierungsbehörden und andere Organisationen Websites vorsorglich offline.

Die wichtigsten Erkenntnisse

  • Die Foundation bezeichnete die verzögerte Reaktion als strukturelles Versagen, das ihren Sicherheitsprozess und ihre Ressourcen betraf.
  • Die Schwachstellen könnten nicht authentifizierten Angreifern ermöglichen, Code auf betroffenen Servern auszuführen.
  • Kryptoorganisationen prüften ihre mögliche Betroffenheit; Coinbase und BitGo meldeten, dass keine ihrer Systeme betroffen sei.

Inhaltsverzeichnis

PHP-Sicherheitskorrektur wegen Kompatibilitäts- und Personalproblemen ins Stocken geraten

Der Bericht der Foundation lenkt den Blick darauf, wie ein bekanntes technisches Problem monatelang ungelöst blieb. Entwickler erkannten 2024 Hinweise auf die Schwachstelle, hatten jedoch Schwierigkeiten, eine Abhilfe zu finden, die das umfangreiche Software-Ökosystem, das auf PHP basiert, nicht beeinträchtigen würde. PHP wird häufig für Websites und Webanwendungen verwendet.

Zu diesem Zeitpunkt hatten die Entwickler noch keinen Weg zur Remote-Code-Ausführung ermittelt. Die kleine Gruppe mit den nötigen Kenntnissen der PHP-Engine hatte zudem andere Aufgaben, sodass die Arbeiten an einer Korrektur laut der Foundation wiederholt unterbrochen und neu aufgenommen wurden.

Die Foundation bezeichnete die Verzögerung als „strukturelles Versagen“, das sowohl auf den Entscheidungsprozess des Sicherheitsteams als auch auf unzureichende Ressourcen zurückzuführen sei.

Das Problem wurde zu einer vorrangigen Sicherheitsangelegenheit, nachdem das Sicherheitsunternehmen Calif und OpenAI am 11. August unabhängig voneinander dasselbe zugrunde liegende Problem gemeldet hatten. Calif demonstrierte eine bedingungslose Remote-Code-Ausführung.

Vorsorgliche Abschaltungen weiten sich auf öffentliche Dienste aus

Die Notfallveröffentlichungen lösten in mehreren Ländern Störungen aus, da Betreiber Dienste vom Netz nahmen, während sie Updates vorbereiteten. Die Niederlande schalteten ihren digitalen Identitätsdienst ab, und ihr Nationales Zentrum für Cybersicherheit nahm die eigene Website offline.

Der finnische staatliche IT-Dienstleister Valtori trennte öffentliche staatliche Webdienste vom Netz, während das französische Innenministerium die Websites der Präfekturen vorübergehend außer Betrieb nahm. Auch der deutsche IT-Dienstleister des Bundes, ITZBund, deaktivierte mehrere Websites.

Die australische Signals Directorate erklärte, cyber.gov.au gehöre zu den Regierungswebsites, die von dem PHP-Problem betroffen seien. Japans Premierministerin Sanae Takaichi forderte Betreiber auf, sich auf eine rasche Installation der Patches vorzubereiten, und sagte, die vorübergehende Aussetzung von Website-Funktionen könne das Risiko verringern, wenn sofortige Updates nicht möglich seien.

Auch die Wikimedia Foundation nahm unterstützende Dienste, darunter Toolforge und Cloud VPS, offline. Dadurch waren am Mittwoch einige Wikipedia-Funktionen beeinträchtigt.

Kryptounternehmen prüfen mögliche Betroffenheit

Das Blockchain-Sicherheitsunternehmen SlowMist erklärte, sein Dienst MistEye habe auf 793 von 1.488 untersuchten Domains aus der Kryptobranche direkte PHP-Fingerabdrücke festgestellt. Das Unternehmen forderte Börsen, DeFi-Plattformen und Wallet-Anbieter auf, ihre mögliche Betroffenheit zu prüfen und ein Upgrade durchzuführen. Die Ergebnisse wiesen auf die Verwendung von PHP hin, bestätigten jedoch nicht, dass diese Domains verwundbar waren.

Intersect, die Mitgliederorganisation zur Unterstützung der Entwicklung und Governance von Cardano, schloss ihren Members Area vorübergehend, während sie eine mögliche Betroffenheit prüfte.

Jeff Lunglhofer, Chief Security Officer von Coinbase, sagte, das Unternehmen habe keine Hinweise auf exponierte PHP-Instanzen gefunden und prüfe die Angelegenheit auch bei Drittanbietern. BitGo erklärte separat, seine Plattform sei nicht betroffen.

Exploit-Status ist von nachgewiesenem Risiko zu unterscheiden

Trotz des nachgewiesenen Risikos einer Remote-Code-Ausführung erklärte das PHP-Sicherheitsteam, zum Zeitpunkt der öffentlichen Bekanntgabe keine funktionsfähigen Exploits festgestellt zu haben.

OpenAI veröffentlichte über GitHub einen Codex-Skill, der Betreibern dabei helfen soll, potenziell verwundbare PHP-Versionen zu überprüfen und geeignete Updates zu ermitteln.

Fazit

Die Notfall-Patches beheben die unmittelbaren Schwachstellen, während das Eingeständnis der Foundation auf Versäumnisse in dem Prozess hinweist, die zu deren Verzögerung führten. Die gemeldeten Abschaltungen waren vorsorgliche Maßnahmen und kein Beleg dafür, dass die betroffenen Organisationen kompromittiert worden waren.

Weitere Nachrichten lesen

Weitere FinanceVelix-Nachrichten

Haftungsausschluss

Dieser FinanceVelix-Artikel enthält allgemeine Informationen und stellt keine individuelle Finanz-, Anlage-, Rechts- oder Steuerberatung dar. Marktpreise, Zinssätze und wirtschaftliche Bedingungen können sich ändern; Anlagen sind mit Verlustrisiken verbunden. Die Fakten entsprechen dem Informationsstand zum Zeitpunkt der Veröffentlichung und können sich ändern. Überprüfen Sie wichtige Informationen eigenständig und ziehen Sie bei Bedarf qualifizierte Fachleute hinzu. Die Erwähnung eines Vermögenswerts, eines Unternehmens oder einer Dienstleistung stellt keine Empfehlung dar.