Viele betroffenen Webseiten wieder online

Programmiersprache PHP

Nach Sicherheitslücke: Viele Webseiten wieder erreichbar

Nach einer schweren Sicherheitslücke in PHP sind fast alle betroffenen Webseiten wieder online. Experten raten Betreibern dennoch zu weiteren Schritten.

Die Lage nach der schwerwiegenden Sicherheitslücke in der Programmiersprache PHP hat sich weitgehend beruhigt. Nahezu alle vorsorglich abgeschalteten Webseiten – darunter Auftritte von Ministerien, Behörden und der Berliner Charité – sind nach dem Einspielen von Sicherheitsupdates wieder erreichbar, berichtet die Nachrichtenagentur DPA. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Digitalministerium haben bislang keine Meldungen über erfolgreiche Angriffe auf die Bundesverwaltung oder die regulierte Wirtschaft erhalten.

Trotzdem warnen Fachleute davor, Entwarnung zu geben. Behörden hatten die Sicherheitslücke als außerordentlichen Notfall eingestuft. Laut Daten des Cybersicherheitsunternehmens Cloudflare begannen automatisierte Angriffsversuche bereits zehn Stunden vor der offiziellen Bekanntgabe der Schwachstelle. Die Zahl der Attacken stieg danach rasant an und erreichte innerhalb kurzer Zeit Millionenhöhe.

• Online-Banking und Co.: Ist die PHP-Lücke eine Gefahr für Nutzer?
• IT-Sicherheitslücke: Auch Router können betroffen sein

Experten betonen, dass das Ausbleiben gemeldeter Schäden keine Garantie für die tatsächliche Abwesenheit von Schäden sei. Da rund 70 Prozent aller Webseiten weltweit auf PHP basierten, bleibe das Risiko für erfolgreiche Manipulationen hoch. Die vollständige Aufarbeitung der Vorfälle könne Wochen oder Monate in Anspruch nehmen. Bei erfolgreichen Angriffen könnten sensible Daten wie Passwörter abgeflossen sein, was künftig zu Datendiebstahl oder Erpressungsversuchen führen könne.

Für normale Internetnutzer besteht laut Experten derzeit kein direkter Handlungsbedarf. Kunden von Webhosting-Anbietern müssen in der Regel ebenfalls nicht selbst aktiv werden, da professionelle Anbieter die nötigen Updates zeitnah installierten.

Anders sieht es für Systembetreiber aus. Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, warnte davor, sich in falscher Sicherheit zu wiegen. Das bloße Einspielen von Updates reiche bei weitem nicht aus. Boele forderte Verantwortliche auf, die Logdaten ihrer Systeme rückwirkend bis zum 17. Oktober 2026 zu prüfen. An diesem Tag wurden auf einem sogenannten Honeypot von Amazon erste Angriffsversuche registriert. Ein Honeypot ist eine digitale Falle, die Angreifer anlocken soll. Wer seine Daten nicht bis zu diesem Datum prüfe, übersehe möglicherweise, ob sein System bereits vor dem Update heimlich infiltriert worden sei.

Boele mahnte außerdem an, Zugangsdaten und Schlüssel für Programmierschnittstellen konsequent zu erneuern. Zudem sollten sogenannte Web Application Firewalls aktualisiert werden. Diese Schutzprogramme analysieren den eingehenden Datenverkehr einer Webanwendung und blockieren schädliche Anfragen, bevor sie das System erreichen können.

Darüber hinaus riet Boele zum Aufbau eines vollständigen Systeminventars. Nur so lasse sich Transparenz darüber schaffen, wo und in welchen Versionen PHP-Komponenten im eigenen Netzwerk im Einsatz seien. Da PHP auf einem Großteil der weltweiten Webserver laufe, sei die Schwachstelle weiterhin als Einfallstor für Angriffe auf interne Netzwerke einzustufen.