Seriöse Sicherheitslücken aufgedeckt: Länder weltweit schließen Websites aus

Regierungsbehörden und private Unternehmen auf mehreren Kontinenten haben am Mittwoch ihre Websites offline geschaltet, nachdem zwei kritische Sicherheitslücken in PHP, einer Programmiersprache, die einen erheblichen Teil der globalen Web-Infrastruktur unterstützt, aufgedeckt wurden. Die sofortige Abschaltung der digitalen Dienste erfolgte, nachdem am Dienstag Details zu den Fehlern öffentlich bekannt wurden, was zu Notfall-Verteidigungsmaßnahmen vor der offiziellen Veröffentlichung eines Patches führte.

Die Schwachstellen ermöglichen es Angreifern, unbefugten Zugriff auf Serverdateien oder Datenbanken zu erhalten und Remote-Code ohne Authentifizierung auszuführen, was eine ernsthafte Bedrohung für Systeme darstellt, die von Online-Einzelhandelsgeschäften und Nachrichtenportalen bis hin zu wichtigen staatlichen Diensten reichen. Die US-amerikanische Nationale Sicherheitsbehörde (NSA) hat eine seltene öffentliche Anweisung herausgegeben, in der Organisationen aufgefordert werden, entweder die anfälligen Systeme sofort zu patchen oder sie aus dem Netz zu entfernen. In einer Erklärung, die auf der Social-Media-Plattform X veröffentlicht wurde, stellte die Agentur fest, dass die Mängel häufig einen direkten Weg zu einem Dateisystem oder einer Datenbank des Servers bieten. Angreifer könnten diese Lücken ausnutzen, um die Kontrolle über Webserver zu erlangen, ohne Passwörter zu benötigen.

Die NSA riet allen Unternehmen, die PHP verwenden, sich auf ein Update vorzubereiten, das die beiden kritischen Schwachstellen sofort beseitigt. Andere Einrichtungen, darunter das Computer Emergency Response Team der Europäischen Union und das National Cyber Security Centre des Vereinigten Königreichs, haben ähnliche Warnmeldungen herausgegeben, in denen die Identifizierung der betroffenen Systeme und die Installation von Updates empfohlen wird. Die Schwachstellen, die zusammen als PHP2Shell bezeichnet werden, wurden mit Hilfe fortgeschrittener Modelle künstlicher Intelligenz identifiziert. Wiz schätzt, dass PHP rund 70 Prozent der Websites weltweit betreibt.

Das Unternehmen beschrieb die Entdeckungen als eine der schwerwiegendsten Schwachstellen in PHP und wohl in der Softwaregeschichte. Obwohl die zugrunde liegenden Code-Fehler seit Jahrzehnten existierten, erklärte Wiz, dass der Nachweis ihrer Ausnutzbarkeit eine komplexe Abfolge von Schritten erforderte, die nahe der Grenze dessen lagen, was menschliche Forscher praktisch erreichen konnten. Freiwillige, die die PHP-Sprache pflegen, haben am Mittwoch einen Fix veröffentlicht. Die PHP Foundation, eine gemeinnützige Organisation, die Entwickler finanziert, die an der Sprache arbeiten, forderte die Benutzer auf, ihre Systeme sofort zu aktualisieren. Auf ihrem Blog erklärte die Stiftung, dass die Aktualisierung für jeden, der PHP verwendet, unerlässlich ist.

Volker Dusch, ein Sicherheitsingenieur bei der PHP Foundation, sagte dem Wall Street Journal, dass dies das größte Problem darstellt, mit dem PHP seit über einem Jahrzehnt konfrontiert ist. Er verglich die Situation mit Heartbleed, einem Sicherheitsfehler aus dem Jahr 2014, der einen globalen Wettlauf um Patch-Systeme auslöste. Das Leck von technischen Details am Dienstag beschleunigte die Krisenreaktion. Vor dem Leak wurden die Entwickler vertraulich informiert, und die Informationen blieben während der Entwicklung des Patches geheim. Die vorzeitige Exposition zwang die Regierungen, präventiv zu handeln.

In Frankreich gab das Innenministerium bekannt, dass die Websites der lokalen Regierungen, einschließlich der Website der Pariser Polizei, am Mittwochnachmittag auf Anfrage der französischen Nationalen Agentur für Cybersicherheit unzugänglich wurden. In den Niederlanden wurden der nationale digitale Identitätsdienst DigiD, die Website des Repräsentantenhauses und sogar die Website des Nationalen Cybersicherheitszentrums aus Vorsichtsgründen ausgeschaltet, wie der niederländische öffentliche Sender NOS mitteilte. Das deutsche Bundesministerium für digitale Transformation und Modernisierung der Regierung bestätigte, dass es bestimmte Websites als vorbeugende Maßnahme offline gestellt hatte.

Das deutsche Bundesamt für Informationssicherheit warnte, dass die Schwachstellen eine Bedrohung für Webanwendungen weltweit darstellen. Berichten zufolge haben zahlreiche öffentliche Verwaltungen, Universitäten und Krankenhäuser in Deutschland ihre Seiten aus dem Internet entfernt. In Belgien hat das Außenministerium seine Websites vorübergehend deaktiviert, obwohl das nationale Cybersicherheitszentrum keine registrierten Angriffe auf belgische Websites gemeldet hat. Die tschechische Regierung hat auch ihre Webseiten gesperrt, um Schutzmaßnahmen zu ergreifen. au Website gehörte zu den von den Mängeln betroffenen Regierungsseiten. Die japanische Premierministerin Sanae Takaichi warnte die Bürger über das PHP-Risiko in sozialen Medien.

Die Behörden in Finnland bestätigten auch, dass sie bestimmte Websites geschlossen hatten, um den Sicherheitspatch anzuwenden. Der Vorfall unterstreicht einen breiteren Trend in der Software-Sicherheit, bei dem immer fähigere KI-Modelle Schwachstellen in rasantem Tempo aufdecken. Die Zahl der im Jahr 2026 entdeckten Schwachstellen wird voraussichtlich etwa doppelt so hoch sein wie im Vorjahr. OpenAI bezeichnete den Fehler als eine der wirkungsvollsten Schwachstellen in jüngster Zeit und erklärte, dass er eine neue Phase markiert, in der KI Sicherheitsfehler mit Auswirkungen im Internet-Maßstab identifizieren kann.

Ethan Mollick, Professor an der Wharton School der University of Pennsylvania, der sich mit künstlicher Intelligenz beschäftigt, bemerkte, dass Unternehmen Schwierigkeiten haben, mit der Geschwindigkeit Schritt zu halten, die für die Installation von Sicherheitspatches gegen KI-angetriebene Cyberangriffe erforderlich ist. Er stellte fest, dass Verbraucher in Zukunft wahrscheinlich häufige und dringende Anforderungen an Systemaktualisierungen erhalten werden. Die weit verbreitete Abhängigkeit von PHP bedeutet, dass sich die potenziellen Auswirkungen weit über die Regierungssektoren hinaus erstrecken und kommerzielle Einrichtungen und einzelne Benutzer betreffen, die für ihre digitale Präsenz auf die Sprache angewiesen sind.

Die koordinierte globale Reaktion unterstreicht den kritischen Charakter der Fehler und die wachsende Rolle automatisierter Werkzeuge bei der Entdeckung und Ausnutzung von Software-Schwächen.