PHP-Lücken: Millionen Angriffsversuche – was Schweizer Website-Betreiber jetzt tun müssen

Zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP haben am Mittwoch, 21. Oktober, weltweit zur vorsorglichen Abschaltung zahlreicher Websites geführt. In der Schweiz waren unter anderem der Kanton Basel-Stadt, die Universität Genf und die ETH Lausanne betroffen. Seit Mittwochnachmittag stehen Sicherheitsupdates bereit. Für Betreiber eigener Webserver ist rasches Handeln entscheidend: Angreifer versuchen bereits millionenfach, die Schwachstellen auszunutzen.

Am Donnerstagmorgen waren verschiedene Websites von Bildungseinrichtungen, Unternehmen und Behörden weiterhin nicht erreichbar. Die meisten der genannten Schweizer Angebote waren inzwischen wieder online. Eine vorsorgliche Abschaltung bedeutet dabei nicht, dass ein Dienst erfolgreich angegriffen wurde. Sie soll zunächst verhindern, dass ein ungeschützter Server über das Internet erreichbar bleibt.

Warum die Lücken so gefährlich sind

PHP arbeitet auf Webservern im Hintergrund und wird für dynamische Websites eingesetzt. Die Sprache steckt unter anderem hinter Anwendungen wie WordPress, Drupal und MediaWiki, der Software hinter Wikipedia. Schätzungen zufolge haben mehr als 60 Prozent aller Websites in irgendeiner Form mit PHP zu tun. Diese Verbreitung erklärt die grosse Tragweite der Warnungen. Sie bedeutet aber nicht, dass ebenso viele Websites bereits angegriffen oder übernommen worden sind.

Die beiden Schwachstellen ermöglichen es Angreifern, aus der Ferne und ohne Anmeldung eigenen Schadcode auf betroffenen Servern auszuführen. Im schlimmsten Fall können sie die Kontrolle über den Server und die darauf betriebenen Websites übernehmen. Damit drohen nicht nur Ausfälle: Auch Kundendaten könnten gestohlen oder Daten verschlüsselt werden, um Lösegeld zu erpressen.

Die Fehler waren über Jahre unentdeckt geblieben. Das PHP-Projekt wusste seit August davon und arbeitete an Sicherheitsupdates. Bis zu deren Veröffentlichung sollte die Existenz der Schwachstellen geheim bleiben, damit Angreifer keinen zeitlichen Vorsprung erhielten. Bereits einige Stunden zuvor kursierten jedoch Hinweise auf die Lücken und auf Möglichkeiten, sie auszunutzen.

Wie schnell sich die Gefahr zuspitzte, zeigen die vom Cloud-Dienstleister Cloudflare registrierten Versuche. Schon in den rund zehn Stunden vor der öffentlichen Bekanntgabe beobachtete das Unternehmen Tausende Angriffsversuche. In den ersten 45 Minuten danach stieg die Zahl auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und anschliessend auf Millionen. Diese Zahlen beschreiben Versuche, nicht nachgewiesene erfolgreiche Einbrüche.

Was Schweizer Betreiber jetzt prüfen müssen

Das Bundesamt für Cybersicherheit hat Betreiber von Websites, Onlineshops und digitalen Unternehmensplattformen zum unverzüglichen Handeln aufgefordert. Entscheidend ist zunächst eine Bestandsaufnahme: Wo läuft PHP, welche Version wird verwendet, welche Systeme sind aus dem Internet erreichbar und wer ist für deren Betrieb zuständig? Auch eingebundene Komponenten und extern betriebene Anwendungen müssen berücksichtigt werden.

Die seit Mittwoch um 16 Uhr verfügbaren Sicherheitsupdates müssen umgehend installiert werden. Damit ist die Arbeit allerdings nicht automatisch abgeschlossen. Betroffene PHP-Dienste und dauerhaft laufende Prozesse müssen anschliessend neu gestartet werden. Bei Anwendungen in Containern kann es nötig sein, diese neu zu bauen und bereitzustellen.

Danach müssen Verantwortliche kontrollieren, ob die tatsächlich laufende Anwendung die korrigierte PHP-Version verwendet oder ein Paket, dessen Anbieter die Behebung bestätigt hat. Ein heruntergeladenes Update allein schützt keinen Dienst, der weiterhin mit dem alten Softwarestand arbeitet.

Besonders problematisch sind ältere PHP-Versionen, die nicht mehr offiziell unterstützt werden. Für diese stehen keine entsprechenden Updates bereit. Solche Systeme sollten isoliert oder vom Netz genommen werden, bis eine Umstellung auf eine aktuelle, unterstützte und korrigierte Version erfolgt ist. Gerade bei lange unveränderten Webauftritten kann deshalb mehr nötig sein als das Einspielen eines einzelnen Updates.

Hoster oder eigener Server: Wer ist zuständig?

Für Schweizer Vereine, Privatpersonen und Unternehmen hängt der unmittelbare Aufwand stark vom Betriebsmodell ab. Viele mieten Speicherplatz für ihre WordPress-Website oder andere Anwendungen bei einem Hostinganbieter. Dort liegt die Aktualisierung der zugrunde liegenden Serverumgebung in der Regel beim Anbieter. Wer unsicher ist, sollte dessen Statusinformationen prüfen oder sich die Behebung ausdrücklich bestätigen lassen.

Wer hingegen einen eigenen Server betreibt, muss die PHP-Aktualisierung selbst veranlassen. Inhalte in WordPress zu pflegen und die darunterliegende Serverumgebung abzusichern sind unterschiedliche Aufgaben. Entscheidend ist deshalb nicht nur, welches Redaktionssystem eine Website verwendet, sondern auch, wer die technische Infrastruktur wartet.

Unabhängig vom Betriebsmodell gilt: Ein Update schliesst die Lücke, beseitigt aber keinen bereits erfolgten Einbruch. Verantwortliche sollten Protokolle und Systeme auf ungewöhnliche Anfragen, Abstürze, veränderte Dateien und unerwartete Prozesse untersuchen. Das gilt auch vor einer erneuten Aufschaltung. Ein vorübergehend abgeschalteter Server ist nicht automatisch frei von Schadsoftware, wenn er zuvor schon angegriffen wurde.

Was Internetnutzer merken – und was nun folgt

Wer lediglich auf dem Smartphone oder Computer surft, muss wegen dieser PHP-Lücken am eigenen Gerät nichts aktualisieren. Die Schwachstellen liegen auf den Servern der Anbieter, nicht auf den Endgeräten der Besucher. Indirekt können Nutzer dennoch betroffen sein: durch nicht erreichbare Onlinedienste oder mögliche Datenabflüsse bei unzureichend geschützten Angeboten.

Für die kommenden Tage ist mit weiteren Angriffen und Ausfällen zu rechnen, weil nicht alle Betreiber ihre Systeme gleichzeitig absichern können. Im Zentrum stehen nun drei Aufgaben: Updates einspielen, deren Wirksamkeit überprüfen und mögliche frühere Einbrüche abklären. Für Schweizer Organisationen mit eigener Website ist daher die wichtigste Frage, ob der zuständige Betreiber diese Arbeiten bereits abgeschlossen hat.