Sicherheitslücke bedrohte Websites weltweit: Kanton Basel-Stadt schaltet Webseiten ab
Da ein riesiger Teil des Internets auf PHP basiert, sind potenziell Millionen von Websites akut gefährdet. Hier sind die wichtigsten Fragen und Antworten zur aktuellen Lage.
Wer ist betroffen?
Ein Grossteil des gesamten Internets – von Blogs über grosse Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie Wordpress.
Auch watson war betroffen. Die IT-Abteilung informierte: «Bis wir die Lücke schliessen können, müssen wir uns gegen mögliche Angriffe schützen, und deshalb riegeln wir die Seite weitgehend ab.» Unter anderem könnte die Kommentarfunktion beeinträchtigt worden sein.
Die Lücke traf auch den Schweizer Cyberspace. Mehrere Schweizer Websites waren am Mittwochabend offline, darunter die Webseiten der Universität Genf und der EPFL sowie das Online-Portal jobs.ch.
Der Kanton Basel-Stadt hat am Mittwoch seine kantonalen Webseiten ebenfalls präventiv bis zum Donnerstagmorgen heruntergefahren. Verschiedene Informationen und Dienstleistungen seien online bis dahin nicht mehr zugänglich, teilte der Kanton mit. Mehrere Schweizer Hostinganbieter schalteten ihre Seiten ebenfalls vorsorglich ab.
Das Bundesamt für Cybersicherheit riet am Mittwoch dazu, unverzüglich Sicherheitsupdates einzuspielen, um die betroffenen Systeme zu aktualisieren.
International war etwa Wikipedia von der Lücke betroffen. Am Mittwochabend wurden nach 17:00 Uhr über hundert Fehler bei Zugriffen auf Wikimedia-Seiten aus der ganzen Welt gemeldet. Einzelne Meldeseiten verzeichnen sogar über 500 Fehlermeldungen. Die deutsche Seite schien teilweise normal zu funktionieren. Im Verlauf des Abends scheint sich die Lage beruhigt zu haben und die Sicherheitslücke so weit geschlossen worden zu sein.
Was genau ist passiert?
Am Dienstag sind Details zu zwei schwerwiegenden Sicherheitslücken in PHP durchgesickert, noch bevor die Entwickler ein rettendes Update bereitstellen konnten.
Da Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Fachleute befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um im grossen Stil ungeschützte Server im Internet aufzuspüren und anzugreifen.
Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten unter Hochdruck daran, korrigierte Softwareversionen bereitzustellen und zu verteilen.
Am späten Mittwochnachmittag haben die Entwickler des PHP-Projektes aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden.
Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Web-Server vom Netz zu trennen, solange das Update nicht installiert wurde.
Wie gefährlich ist die Schwachstelle?
Wie unter anderem die IT-Sicherheitsfirma Huntress, das Computer Emergency Response Team des Bundes (CERT) sowie das offizielle PHP-Sicherheitsteam berichten, handelt es sich um eine akute Notfallsituation, die Betreiber von Websites in aller Welt zu schnellem Handeln zwingt.
Die Schwachstelle ermöglicht eine sogenannte «Remote Code Execution» (RCE). Das bedeutet vereinfacht gesagt: Ein Angreifer kann aus der Ferne und ohne Login-Daten eigenen, bösartigen Code auf einem fremden Server ausführen.
In der Praxis ermöglicht dies Cyberkriminellen, die vollständige Kontrolle über eine Website zu übernehmen, sensible Daten abzugreifen oder die gehackte Infrastruktur für weitere Cyberattacken zu missbrauchen.
Was raten Behörden und Experten?
Die Cybersicherheitsbehörde der EU (CERT-EU) rät dringend dazu, betroffene Systeme sofort zu aktualisieren.
IT-Experten empfehlen Website-Betreibern, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen.
IT-Sicherheitsfachleute betonen nachdrücklich, dass es sich bei diesem Vorfall ausdrücklich nicht um Routineupdates handelt, sondern um eine der gravierendsten Sicherheitslagen der letzten Jahre.
Das CERT-EU formuliert zudem eine drastische Warnung: Wenn ein sofortiges Aufspielen des Updates für Unternehmen nicht möglich ist, sollen sie in Erwägung ziehen, die betroffenen Websites vorübergehend vom Netz zu nehmen.
Die akute Bedrohungslage zeigt denn auch bereits konkrete Auswirkungen im öffentlichen Leben. Erste Gemeinden, Behörden, Universitäten und Spitäler haben auf die Warnungen der Sicherheitsbehörden reagiert und ihre Online-Angebote kurzfristig vom Netz genommen, um möglichen Angriffen zuvorzukommen.
Was bedeutet das für die Userinnen und User?
Beim alltäglichen Surfen auf dem Smartphone oder PC besteht kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der User befindet, sondern auf den Servern im Hintergrund. Dennoch können viele Leute indirekt betroffen sein – etwa durch vorübergehende Ausfälle von Onlinediensten oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Websites.
Die Website der niederländischen RTL-Sender zeigte am Mittwoch nur noch einen Warnhinweis an: Wegen eines Sicherheitsupdates sei das Online-Angebot vorübergehend nicht verfügbar. In einem separaten Live-Ticker hiess es, dass unter anderem auch die Websites der Feuerwehr, Küstenwache und mehrerer Bildungsinstitutionen offline seien.
Warum ist PHP so wichtig fürs Internet?
PHP ist der grundlegende Motor für sehr viele bekannte Systeme im Web, darunter Content-Management-Systeme wie WordPress, Drupal, Joomla oder Shop-Systeme wie Magento.
Welche PHP-Versionen exakt verwundbar sind, ist offiziell noch nicht restlos bestätigt – diese Informationen veröffentlicht das PHP-Team erst zusammen mit dem Update.
Werden die Lücken bereits von Hackern ausgenutzt?
Ja. Der Technikchef des grossen Netzwerkanbieters Cloudflare, Dane Knecht, hat bestätigt, dass erste Angriffe auf Server stattfinden. Man passe die Abwehrmassnahmen laufend an neue Angriffsvektoren an.
Kommentatoren rechnen damit, dass sich diese Angriffe in den nächsten Stunden noch massiv verstärken werden, sobald weitere Details publik werden.
Quellen
- Mit Material der Nachrichtenagenturen SDA/AWP/DPA
- reuters.com: Government websites go dark as vulnerabilities in programming language send shudder across internet
- euronext.com: Cyber agency warns websites may go dark as PHP prepares critical fix
(dsc)
