Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen. Eine Veröffentlichung entsprechender Sicherheitsupdates durch die Entwickler wird für den heutigen Nachmittag um 16 Uhr erwartet. Das BSI ruft IT-Sicherheitsverantwortliche und Betreiber dazu auf,diese umgehend nach Veröffentlichung zu installieren.
Aktuellen Informationen zufolge sind alle bekannten PHP-Versionen,zurückgehend bis mindestens PHP 5,verwundbar. Derzeit kann nicht ausgeschlossen werden,dass es Angreifern durch die Schwachstellen möglich ist,aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen. PHP ist ein zentraler Baustein in Webanwendungen und wird weltweit eingesetzt. Mit Kenntnis derartiger Schwachstellen könnte es Angreifern gelingen,massive Angriffskampagnen durchzuführen und IT-Systeme aus den unterschiedlichsten Anwendungsbereichen zu kompromittieren.
BSI-Vizepräsident Thomas Caspers: „Wir halten eine kurzfristige,großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“
Die Entwickler stellen am 21. Oktober um 16 Uhr deutscher Zeit Patches für unterschiedliche PHP-Versionen bereit,die vor Angriffen schützen. Um unverzüglich auf die Veröffentlichung reagieren zu können,sollten Organisationen entsprechende personelle Ressourcen bereithalten: IT-Sicherheitsverantwortliche und Betreiber sind dazu aufgerufen,zu diesem Zeitpunkt umgehend die Patches auf PHP-Webserver einzuspielen sowie den Patchstatus anhand des Advisories zu verifizieren. Betreiber sollten exponierte PHP-Webserver zudem verstärkt auf Auffälligkeiten beobachten.
PM Bundesamt für Sicherheit in der Informationstechnik