Dringende BSI-Warnung: Kritische PHP-Sicherheitslücken erfordern sofortiges Handeln


Dringende BSI-Warnung: Kritische PHP-Sicherheitslücken erfordern sofortiges Handeln
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober einen IT-Sicherheitshinweis mit hoher Kritikalität (Stufe Orange) zu zwei schwerwiegenden Schwachstellen in PHP veröffentlicht. Nach Einschätzung des BSI müssen betroffene Organisationen unverzüglich handeln, da eine breite Ausnutzung der Schwachstellen innerhalb kürzester Zeit erwartet wird.
PHP gehört weltweit zu den am häufigsten eingesetzten Technologien für Webanwendungen. Betroffen sind nach aktuellem Kenntnisstand alle PHP-Versionen, darunter auch zahlreiche Unternehmenswebseiten, Kundenportale, Shopsysteme, Content-Management-Systeme und weitere Internetdienste.
Das BSI weist darauf hin, dass eine erfolgreiche Ausnutzung der Schwachstellen unter Umständen die Ausführung von Schadcode aus der Ferne ohne vorherige Authentifizierung oder Nutzerinteraktion ermöglichen kann. Die Schwachstellen werden teilweise bereits als „PHP2Shell“ bezeichnet.
Was sollten Sie jetzt tun:
  • umgehend prüfen, ob PHP-basierte Webanwendungen oder Systeme im Unternehmen eingesetzt werden,
  • unverzüglich feststellen, welche PHP-Versionen verwendet werden,
  • die vom PHP-Projekt bereitgestellten Sicherheitsupdates schnellstmöglich einzuspielen,
  • bei Nutzung von Hosting-, Cloud- oder Managed-Service-Angeboten den jeweiligen Dienstleister aktiv nach dem Patchstatus fragen,
  • besonders exponierte Webserver und Internetdienste verstärkt überwachen,
  • sofern ein Update kurzfristig nicht möglich ist, zusätzliche Schutzmaßnahmen prüfen und im Ausnahmefall eine vorübergehende Trennung betroffener Systeme vom Internet in Betracht ziehen.
Beispiele potenziell betroffener Anwendungen
Viele verbreitete Lösungen basieren ganz oder teilweise auf PHP. Das BSI nennt unter anderem Systeme und Projekte wie WordPress, TYPO3, Joomla, Magento, Nextcloud, pfSense oder OPNsense. Unternehmen sollten jedoch beachten, dass auch zahlreiche proprietäre Anwendungen PHP-Komponenten enthalten können.
Weiterführende Informationen und technische Details enthält die aktuelle BSI-Warnmeldung: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit
Auch die IHK München hat Informationen bereitgestellt: Infos zur PHP Sicherheitslücke | IHK München