Das niederländische Nationaal Cyber Security Centrum (NCSC) untersucht erste Hinweise auf eine erfolgreiche Ausnutzung zweier kritischer Schwachstellen in PHP. Über diese Schwachstellen können Angreifer Systeme aus der Ferne übernehmen. Patches sind verfügbar. Das NCSC rät, sofort zu aktualisieren und anfällige Systeme bis dahin offline zu halten.
Das NCSC meldete die Schwachstellen am 21. Oktober und veröffentlichte am 22. Oktober ein Update. Vorsorglich nahm das Zentrum seine eigene Website vorübergehend vom Netz. Mehrere andere Organisationen, darunter Behörden, schalteten ihre Websites ebenfalls präventiv ab. Seit der Veröffentlichung des Advisorys und dem Erscheinen der Sicherheitsupdates sind mehrere dieser Websites wieder online.
PHP ist eine weitverbreitete Programmiersprache für Websites und Webanwendungen. Die Schwachstellen betreffen damit ein breites Spektrum an Umgebungen, von eigenen Webservern bis hin zu Software von Drittanbietern, die auf PHP basiert.
Proof of Concepts bekannt
Laut NCSC kann sich die Lage schnell verschärfen, da Proof of Concepts (PoCs) bekannt sind. Damit ist belegt, dass die Schwachstellen in der Praxis ausgenutzt werden können. Das Zentrum weist zudem darauf hin, dass Angreifer die Schwachstellen mithilfe von KI möglicherweise noch schneller ausnutzen können. Das NCSC empfiehlt Organisationen daher nachdrücklich, nicht auf Hinweise auf Missbrauch zu warten, sondern die verfügbaren Updates sofort zu installieren.
Solange Systeme nicht aktualisiert sind, rät das NCSC, sie vorsorglich offline zu halten. Prüfen Sie dazu zunächst, welche PHP-Version Ihre Organisation oder Ihr Kunde verwendet. Folgen Sie anschließend den Anweisungen des NCSC und des jeweiligen Softwareherstellers.
Verfügbare Patches
Das PHP-Projekt hat Patches veröffentlicht. Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Nutzen Sie eine Linux-Distribution oder eine LTS-Version, spielen Sie die Sicherheitsupdates ein, die Ihr Anbieter bereitstellt.
PHP 8.1 und ältere Versionen fallen nicht mehr unter den regulären Support des PHP-Projekts. Aufgrund der Schwere der Schwachstellen hat das PHP-Team für PHP 7.4, 8.0 und 8.1 dennoch minimale Quellcode-Patches bereitgestellt. Für Versionen älter als 7.4 nennt das NCSC keine Patches.
Vorübergehende Maßnahmen
Können Sie nicht sofort aktualisieren, gibt es für beide Schwachstellen vorübergehende Maßnahmen zur Risikominderung. Das PHP-Team betont, dass diese Maßnahmen lediglich bestimmte Angriffswege einschränken und keine vollständige Lösung darstellen. Nur ein Sicherheitsupdate behebt die Schwachstellen vollständig.
Entscheidungsbaum und technische Details
Das NCSC hat den Leitfaden mit Entscheidungsbaum zu PHP-Schwachstellen veröffentlicht. Anhand dieses Entscheidungsbaums und der zugehörigen Erläuterungen können Sie prüfen, welche Maßnahmen Sie ergreifen können, wenn Sie PHP einsetzen.
Darüber hinaus pflegt das NCSC eine GitHub-Seite unter dem Namen php2shell mit technischen Informationen zu den Schwachstellen. Das Zentrum aktualisiert diese Seite fortlaufend. Auf der Seite findet sich auch eine Bestandsaufnahme PHP-bezogener Softwareprodukte, sodass Sie prüfen können, welche Produkte anfällig sind.
Den vollständigen Bericht finden Sie im Leitfaden mit Entscheidungsbaum zu PHP-Schwachstellen.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
