Nach der Entdeckung einer kritischen Sicherheitslücke in der Programmiersprache PHP reicht das bloße Einspielen des inzwischen verfügbaren Updates nach Einschätzung von Sicherheitsexperten nicht aus. Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, warnte davor, sich in falscher Sicherheit zu wiegen. Angreifer könnten bereits vor der Veröffentlichung des Patches in Systeme eingedrungen sein, ohne dass dies bislang bemerkt wurde.
Zu den notwendigen Sofortmaßnahmen gehöre deshalb eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026, um mögliche Kompromittierungen zu erkennen. An diesem Tag wurden auf einem Honeypot von Amazon – einer digitalen Falle, die Angreifer anlocken soll – erste Angriffsversuche registriert. Wer seine Daten nicht bis zu diesem Datum zurückverfolge, übersehe möglicherweise, ob das eigene System schon vor dem Update heimlich infiltriert worden sei.
Boele forderte die Verantwortlichen zudem auf, Zugangsdaten und Schlüssel für Programmierschnittstellen, sogenannte API-Keys, konsequent zu erneuern. Ein zentraler Baustein der Verteidigung sei außerdem die Aktualisierung von Web Application Firewalls. Eine solche Firewall fungiert als Schutzschild zwischen einer Webanwendung und dem Internet; sie analysiert den eingehenden Datenverkehr und blockiert bösartige Anfragen, bevor diese das System erreichen können.
Darüber hinaus mahnte Boele den Aufbau eines vollständigen Systeminventars an. Erst dadurch entstehe Transparenz darüber, wo und in welchen Versionen PHP-Komponenten im eigenen Netzwerk überhaupt eingesetzt werden. Da PHP auf einem Großteil der weltweiten Webserver läuft, sei das Risiko durch die Schwachstelle weiterhin als hoch einzustufen. Sie kann als Einfallstor für Angriffe auf interne Netzwerke dienen.
Christian Nern, Partner und Head of Cyber Security & Threat Management Solution bei der Unternehmensberatung KPMG, wies darauf hin, dass PHP meist nicht als eigenes Programm erkennbar sei, sondern als Werkzeug im Hintergrund digitaler Anwendungen arbeite. Es werde etwa auf Webseiten, Zielseiten für Werbung, in Kundenbereichen sowie in Systemen zur Verwaltung von Webseiten-Inhalten wie TYPO3, Drupal oder WordPress genutzt. Auch im Online-Handel, bei digitalen Bezahldiensten oder in älteren, bereits länger genutzten Programmen sei PHP tief im Verborgenen integriert.
Um kritische Geschäftsprozesse auch im Krisenfall aufrechtzuerhalten, müssten insbesondere Finanzinstitute ihre Sicherheitssysteme stärker automatisieren, Patchzyklen verkürzen und externe IT-Dienstleister in die Sicherheitsüberwachung einbeziehen. «Gleichzeitig müssen sie auch KI-Anwendungen selbst absichern und KI gezielt für die Cyberabwehr einsetzen», sagte Nern.
Die Schwachstellen in der PHP-Technik waren am vergangenen Dienstag entdeckt worden und hatten zu hektischen Aktivitäten bei Betreibern von Webseiten weltweit geführt. Inzwischen liegt ein Update für die PHP-Software vor, das aber bislang nicht überall eingespielt wurde. Sicherheitsexperten raten den Verantwortlichen daher, die eigenen Systeme nicht nur zu aktualisieren, sondern die möglichen Folgen der Lücke aktiv aufzuarbeiten.