BSI warnt vor kritischen Sicherheitslücken in PHP
Angreifer könnten aus der Ferne Schadcode ausführen – Betreiber sollen Sicherheitsupdates unverzüglich einspielen.
HANNOVER (redu) – Zwei kritische PHP-Sicherheitslücken gefährden Webserver und könnten Angreifern die Ausführung von Schadcode aus der Ferne ermöglichen. Das Bundesamt für Sicherheit in der Informationstechnik fordert Betreiber auf, die am Mittwoch veröffentlichten Sicherheitsupdates unverzüglich einzuspielen.
Für einen Angriff sind nach Einschätzung des BSI weder eine vorherige Anmeldung noch eine aktive Mitwirkung von Nutzern erforderlich. Beide Schwachstellen erreichen auf der CVSS-Skala 9,2 von zehn Punkten.
Die PHP-Sicherheitslücken betreffen grundsätzlich Installationen, die Webanfragen verarbeiten. Nach Angaben des PHP-Sicherheitsteams können Angriffe bei bestimmten Konfigurationen bereits greifen, bevor der eigentliche Programmcode einer Webseite ausgeführt wird.
Fehler in vier PHP-Versionen behoben
Die Fehler sind laut PHP-Sicherheitsteam in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Vorübergehende Schutzmaßnahmen ersetzen das Update nach Angaben des Entwicklerteams nicht vollständig.
Das britische National Cyber Security Centre empfiehlt Betreibern, betroffene Systeme zu identifizieren, die verfügbaren Updates einzuspielen und auf verdächtige Aktivitäten zu achten.
NCSC nennt Abschaltung als mögliche Vorsichtsmaßnahme
Ist eine unmittelbare Absicherung nicht möglich, sollten Betreiber nach Empfehlung des NCSC erwägen, betroffene Systeme vorübergehend vom Netz zu nehmen. Eine vorsorgliche Abschaltung allein belegt keinen erfolgreichen Angriff.
Maßnahmen in Niedersachsen
Auch in Niedersachsen gibt es Einschränkungen bei Internetangeboten. Das Landesportal Niedersachsen.de verweist auf planmäßige Wartungsarbeiten. Die Internetseite der Medizinischen Hochschule Hannover zeigt ebenfalls einen Wartungshinweis. Die ÜSTRA informiert auf ihrer Webseite, dass das Angebot aufgrund technischer Probleme aktuell nicht erreichbar ist. Ein Zusammenhang mit den PHP-Sicherheitslücken wird in diesen Hinweisen nicht bestätigt. Das Portal der Verkehrsmanagementzentrale Niedersachsen ist dagegen erreichbar.
