Eine gravierende Sicherheitslücke in der Programmiersprache PHP hat am Mittwoch auch Liechtenstein erreicht. Telecom Liechtenstein hat den Zugriff auf ihre Webhosting-Produkte und auf das Webmail vorsorglich auf Liechtenstein und die Schweiz beschränkt. In mehreren Ländern nahmen Behörden, Universitäten und Spitäler ihre Websites vom Netz, Webhoster schalteten Dienste ihrer Kunden ab. Die beiden Lücken mit der Bezeichnung „PHP2Shell“ erlauben es Angreifern, ohne Anmeldung aus der Ferne Schadcode auf Webservern auszuführen. Damit lassen sich Websites übernehmen und Datenbanken abgreifen. Aufgedeckt wurden sie mit Hilfe künstlicher Intelligenz, nachdem sie über ein Jahrzehnt lang unbemerkt geblieben waren.

PHP ist eine der meistverbreiteten Programmiersprachen für Websites. Auf ihr basieren unter anderem WordPress, Joomla, Typo3, Drupal und die Lernplattform Moodle. Allein mit WordPress laufen nach Schätzungen weltweit 400 bis 500 Millionen Websites. Betroffen sind die Server, nicht die Computer und Smartphones der Internetnutzer. Diese bekommen die Folgen aber zu spüren, wenn Onlinedienste ausfallen.

FL1 lässt nur noch Zugriffe aus Liechtenstein und der Schweiz zu

Telecom Liechtenstein, die unter der Marke FL1 auftritt, informiert auf ihrer Störungsseite über die Massnahme. Webmail und Webhosting-Produkte sind demnach vorerst nur noch aus Liechtenstein und der Schweiz erreichbar. „Zugriffe aus anderen Ländern sind vorübergehend nicht möglich“, heisst es in der Störungsmeldung. Die Einschränkung bleibe bestehen, bis die Sicherheitsupdates installiert und geprüft seien. Wann alles wieder freigegeben wird, steht laut FL1 noch nicht fest.

Eine offizielle Warnung des Landes gab es bis Mittwochabend nicht. Auf der Warnseite des CSIRT.LI, des Notfallteams der Stabsstelle für Cyber-Sicherheit, fand sich keine Meldung zu PHP.

Wie empfindlich auch die Landesverwaltung auf Angriffe reagieren muss, hat der Sommer gezeigt. In der Nacht auf den 30. Juli kopierten Unbekannte aus dem Verzeichnis wirtschaftlich berechtigter Personen beim Amt für Justiz Daten zu rund 31’000 Rechtsträgern. Ursache war damals laut Amt für Informatik eine fehlerhafte Berechtigungslogik und keine klassische Software-Schwachstelle.

Behörden und Webhoster ziehen den Stecker

In Deutschland schaltete die Landeshauptstadt Mainz nach einer Warnung des Bundes ihr Stadtportal und mehrere Internetdienste ab. Die Website der Berliner Charité war nicht erreichbar, die Ruhr-Universität Bochum sperrte ihre Websites bis Donnerstagmittag für Zugriffe von aussen. Auch der Schweizer IT-Dienstleister MTF nahm nach eigenen Angaben einzelne öffentlich erreichbare PHP-Dienste bei Kunden vom Netz. „Es handelt sich um eine reine Vorsichtsmassnahme“, schrieb das Unternehmen.

Die Behörden schlugen deutlich Alarm. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Lücken als kritisch ein, auf der Bewertungsskala CVSS erreichen sie 9,2 von 10 Punkten. Das Computer-Notfallteam der EU-Institutionen, CERT-EU, hatte bereits am Dienstagabend geraten, nicht rasch behebbare Anwendungen vom öffentlichen Netz zu trennen. Möglicherweise seien alle PHP-Versionen ab PHP 5 betroffen.

Updates seit Mittwochnachmittag verfügbar

Die PHP-Entwickler veröffentlichten die Sicherheitsupdates am Mittwoch um 16 Uhr, einen Tag früher als ursprünglich geplant. Behoben sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die älteren, offiziell nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 stellte das Sicherheitsteam minimale Korrekturen bereit. Wer eine noch ältere Version betreibt, muss auf eine unterstützte wechseln.

Das Schweizer Bundesamt für Cybersicherheit (BACS) ruft dazu auf, die Updates umgehend einzuspielen und anschliessend die PHP-Dienste neu zu starten. Übergangslösungen würden nur einzelne Angriffswege verbauen. „Auch eine Web Application Firewall allein genügt nicht“, hält das BACS fest. Ein Update mache zudem eine bereits erfolgte Kompromittierung nicht rückgängig. Betreiber sollten deshalb ihre Protokolle auf ungewöhnliche Anfragen, veränderte Dateien und unbekannte Prozesse prüfen. Das BACS weist auch darauf hin, dass PHP oft in Verwaltungsoberflächen, Geräten oder Containern steckt, ohne dass die Betreiber davon wissen.

Ob die Lücken bereits ausgenutzt werden, ist umstritten. Das BSI meldete am Mittwoch noch keine bestätigten Angriffe, aber unbestätigte Berichte über funktionierende Exploits. Der Internetdienstleister Cloudflare, der nach eigenen Angaben erste Schutzregeln für seine Kunden aufgeschaltet hat, beobachtet laut seinem Technikchef Dane Knecht bereits erste Angriffe.

Gefunden mit Hilfe von KI

Laut dem US-Magazin „Forbes“ setzten Forscher des Sicherheits-Start-ups Calif und des zu Google gehörenden Unternehmens Wiz Modelle von OpenAI und Google ein. Calif stiess Anfang August auf die erste Lücke und meldete sie den PHP-Entwicklern, Wiz fand das Problem kurz darauf unabhängig davon.

Die Fehler steckten laut Wiz seit Jahren im Code. Sie auszunutzen, habe aber eine aussergewöhnlich komplexe Kette von Schritten erfordert. Erst moderne KI-Modelle hätten diese Hürde deutlich gesenkt. Wiz zählt die Funde zu den schwerwiegendsten Schwachstellen, die je in PHP entdeckt wurden. OpenAI sprach von einem der folgenreichsten Sicherheitsprobleme der jüngeren Vergangenheit.