Ist das Internet nach dem PHP-Albtraum wieder sicher? Was Sie wissen müssen

Einen Tag, nachdem zwei Fehler in PHP Regierungen dazu veranlasst hatten, hastig ihre Websites vom Netz zu nehmen, ist die Behebung da, Angreifer schlagen unablässig zu, und viele Menschen stellen sich dieselbe Frage: Kann ich das Internet nutzen, ohne mir Sorgen zu machen, oder sollte ich mich bis nächste Woche unter dem Bett verstecken?

Die kurze Antwort lautet, dass das Internet nicht kaputt ist und das Risiko für die meisten Menschen bei den Websites liegt, die sie besuchen, nicht bei ihren eigenen Telefonen oder Laptops. Die längere Antwort enthält ein paar Einschränkungen, die man kennen sollte.

Kurz zusammengefasst: PHP ist die Software, die im Hintergrund auf etwa 70 % der Websites läuft, deren serverseitige Sprache bekannt ist, und die beiden Fehler mit dem Spitznamen PHP2Shell ermöglichen es einem Fremden, ohne Anmeldung die Kontrolle über einen anfälligen Server zu übernehmen.

Ist es behoben?

Ist der Exploit also behoben? Ja, größtenteils. PHP veröffentlichte am Mittwoch laut seinen Versionshinweisen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. „Es gibt keine vollständigen Gegenmaßnahmen, das Aktualisieren ist die einzige sichere Wahl.“ Bis Donnerstag hat PHP keinen nachfolgenden Patch veröffentlicht.

Eine Behebung hilft jedoch erst, wenn jemand sie installiert. PHP aktualisiert sich nicht selbst, daher muss jedes Hosting-Unternehmen, jede IT-Abteilung und jeder einzelne Website-Betreiber sie auf seinen eigenen Servern anwenden und die Software anschließend neu starten, damit sie wirksam wird.

Mit anderen Worten: Die Behebung ist verfügbar, aber das bedeutet nicht, dass die Websites, die Sie besuchen, zwangsläufig sicher sind.

PHP 8.1 und ältere Versionen erhalten keine offiziellen Veröffentlichungen mehr, was ältere Server zur Schwachstelle macht, obwohl das PHP-Sicherheitsteam rudimentäre Patches für 7.4, 8.0 und 8.1 für diejenigen veröffentlicht hat, die die Software selbst kompilieren.

Wurde tatsächlich jemand gehackt?

Angreifer haben es sicherlich versucht: Cloudflare-CEO Matthew Prince sagte, sein Netzwerk habe in den 10 Stunden vor der Ankündigung Tausende von Exploit-Versuchen verzeichnet, Zehntausende in den 45 Minuten danach, Hunderttausende innerhalb von zwei Stunden und seitdem Millionen.

Amazon ging noch weiter und erklärte, seine Köderserver hätten am 17. Oktober einen Versuch protokolliert, vier Tage bevor die Fehler öffentlich wurden. „Es bleibt unklar, wie der Akteur die Exploit-Informationen vor der Offenlegung erlangt hat“, schrieb Amazons CISO CJ Moses und fügte hinzu, dass PHP2Shell „jetzt in freier Wildbahn breit ausgenutzt wird“.

Regierungen scheinen jedoch noch keine Art von erfolgreichem Einbruch erlebt zu haben. Thomas Caspers, Vizepräsident der deutschen Bundesbehörde für Cybersicherheit BSI, sagte, die Behörde habe Angriffe gesehen, aber keine erfolgreiche Ausnutzung der Schwachstellen, und fügte hinzu: „Es scheint etwas komplizierter als erwartet zu sein, sie auszunutzen.“ Japans Chefkabinettssekretär Minoru Kihara sagte ebenfalls, es seien keine Angriffe bestätigt worden, die die Schwachstellen ausnutzen.

Ein Versuch bedeutet, dass jemand an der Türklinke rüttelt; ein Einbruch bedeutet, dass jemand hineingelangt, sodass beide Behauptungen gleichzeitig wahr sein können. Millionen gerüttelter Türklinken und null bestätigte Einbrüche sind gute Nachrichten, doch Einbrüche werden in der Regel später entdeckt, nicht in Echtzeit.

Warum wurde das nicht früher erkannt?

Irgendwie doch. In einem am Mittwoch veröffentlichten Blogbeitrag erklärte die PHP Foundation, ihre Sicherheitsarbeit im Jahr 2024 habe „die ersten Anzeichen des OOM-Problems hinter CVE-2026-109618 gefunden“, was bedeutet, dass der Out-of-Memory-Fehler im Zentrum einer der beiden Schwachstellen liegt.

Das Team habe „mehrere konkurrierende Ansätze“ zur Behebung entwickelt, aber „es fiel ihm schwer, zwischen diesen zu wählen, und es befürchtete die Folgen, die falsche Wahl auszuliefern“, so die Foundation. „Ohne die Finanzierung durch die Foundation wäre es unmöglich gewesen, mehrere Personen Vollzeit an diesem Problem arbeiten zu lassen“, fügte sie hinzu.

„Wir wollen nichts anderes vorgeben: Die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch dessen Ressourcenmangel“, schrieb die Stiftung und fügte hinzu, dass ihr Sicherheitsteam, das bisher Konsens benötigte, nun mit Mehrheit entscheiden werde. Für die Software, die den Großteil des Webs betreibt, hänge diese Sicherheitsarbeit „weiterhin von einer kleinen Gruppe von der Stiftung finanzierter Entwickler und ein wenig freiwilliger Hilfe ab“, heißt es in dem Beitrag.

Warum sind einige Websites noch immer offline?

Weil das Patchen Zeit braucht und „offline“ die offizielle Empfehlung für alle war, die nicht sofort patchen konnten. Das National Cyber Security Centre des Vereinigten Königreichs riet Organisationen, in Erwägung zu ziehen, „das System offline zu nehmen, bis es vollständig entschärft werden kann“.

Die Liste der Websites, die am Mittwoch offline gingen, wurde schnell lang. Laut TechRadar umfasste sie Wikimedia-Dienste, Orange-Websites und -Apps in Dutzenden Ländern, 32 Regierungsdienste des Vereinigten Königreichs, niederländische Krankenhäuser und den föderalen IT-Dienstleister Deutschlands, ITZBund.

Das Office for Budget Responsibility des Vereinigten Königreichs und die Website des Stadtrats von Edinburgh waren bis Donnerstag wieder online. Andere, wie die niederländische anonyme Website zur Verbrechensmeldung Meld Misdaad Anoniem, waren laut DutchNews am Donnerstagmorgen noch offline.

Sollte ich meine Passwörter ändern?

Deswegen nicht, zumindest noch nicht. Bisher wurde kein bestätigter Datenschutzverstoß mit PHP2Shell in Verbindung gebracht, und alle Passwörter heute zu ändern hilft nicht, wenn der Server einer Website noch immer ungepatcht ist.

Was hilft, ist das langweilige Zeug: einzigartige Passwörter für jedes Konto, aktivierte Zwei-Faktor-Authentifizierung und Aufmerksamkeit, wenn ein Unternehmen Ihnen in den kommenden Wochen eine E-Mail über einen Datenschutzverstoß schickt. Wenn das passiert, ändern Sie dieses Passwort und jedes Konto, bei dem Sie es wiederverwendet haben.

Website-Betreiber haben mehr Hausaufgaben, denn Patchen schließt die Tür, sagt Ihnen aber nicht, ob jemand zuerst hineingegangen ist. Die Sicherheitsfirma Tag1 rät, nach PHP-Dateien zu suchen, die Sie nicht hochgeladen haben, nach neuen geplanten Aufgaben und neuen Konten, und Datenbankpasswörter und API-Schlüssel auf jedem internetzugewandten Server zu rotieren, auf dem eine anfällige Version lief.

Was ist mit Krypto?

Binance-Gründer Changpeng Zhao hatte einen kurzen Ratschlag auf X: „Nenn mich paranoid, aber sei in den nächsten Tagen besonders vorsichtig, wenn du IRGENDEINE Website besuchst.“

Ein gehackter Webserver kann dir eine gefälschte Version einer echten Website zeigen, und im Krypto-Bereich bedeutet das normalerweise eine Seite, die dich auffordert, deine Wallet zu verbinden und eine Transaktion zu genehmigen, die sie leert. Ein Blockchain-Netzwerk selbst mag in Ordnung sein; die Websites davor vielleicht nicht.

Prüfe in den nächsten Tagen dreifach, was du unterschreibst, speichere die von dir genutzten Seiten als Lesezeichen, anstatt auf Links zu klicken, und verwende eine Hardware-Wallet, wenn du eine hast. Bisher hat keine Krypto-Börse öffentlich eine Sicherheitsverletzung im Zusammenhang mit PHP2Shell gemeldet.

Also, ist es sicher?

Das Surfen im Web ist heute etwa so sicher wie letzte Woche, was heißt: nicht perfekt. Die eigentliche Gefährdung liegt auf Servern, die nicht gepatcht wurden, und das Sicherheitsunternehmen Mallory zählte rund 884.000 internetseitig erreichbare Hosts, die PHP-Versionen ausführen, für die es keinen offiziellen Fix gibt.

Der Rat von Amazon an Verteidiger läuft im Grunde darauf hinaus, dass dies noch nicht vorbei ist. „Verteidiger sollten nicht davon ausgehen, dass das Datum der öffentlichen Offenlegung das früheste Datum der Ausnutzung ist.“ Jeder Server, der seit mindestens dem 17. Oktober eine anfällige Version ausgeführt hat, sollte überprüft werden, nicht nur gepatcht.