PHP-Alarm in Baden-Württemberg: Betreiber müssen sofort handeln
- Eine Sicherheitslücke in der Webskriptsprache PHP gefährdet derzeit viele Webseiten. (Symbolbild)
- Foto: Nicolas Armer/dpa
- hochgeladen von dpa content
Baden-Württemberg. Webseiten und Onlinedienste können zeitweise ausfallen, auch in Baden-Württemberg. Grund ist eine als hochkritisch eingestufte Sicherheitslücke in der weit verbreiteten Websprache PHP. Für Menschen, die Internetseiten nur nutzen, besteht kein direkter Handlungsbedarf.
Das Bundesamt für Sicherheit in der Informationstechnik hat die Warnstufe „3 / Orange“ veröffentlicht. Diese Stufe steht für ein sehr hohes Risiko und verlangt unverzügliche Gegenmaßnahmen. Mehrere Länder, Kommunen, Behörden, Hochschulen und Krankenhäuser haben Angebote vorsorglich vom Netz genommen, bis die Sicherheitsupdates installiert sind.
Was die PHP-Lücke bedeuten kann
Die als „PHP2Shell“ bezeichneten Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Angreifer könnten nach Angaben von Sicherheitsexperten ohne Anmeldung Schadcode auf anfälligen Servern ausführen. Dadurch wären unter anderem der Zugriff auf Datenbanken, Kundendaten oder die Übernahme einer Website möglich.
PHP läuft im Hintergrund zahlreicher Internetangebote, darunter Blogs, Nachrichtenportale, Onlineshops und viele Content-Management-Systeme. Nicht jede Webseite ist automatisch betroffen. Entscheidend ist, welche PHP-Version und welche Serverkonfiguration eingesetzt werden.
Für Nutzer sind Ausfälle das wichtigste Risiko
Die Lücke liegt auf Servern und nicht auf Smartphones oder Computern von Besucherinnen und Besuchern. Sie müssen deshalb kein Update auf dem eigenen Gerät installieren. Indirekt sind jedoch Ausfälle von Online-Angeboten oder mögliche Datenabflüsse denkbar, falls Betreiber ihre Systeme nicht rechtzeitig absichern.
Das sollten Website-Betreiber jetzt tun
Die PHP-Entwickler haben am Mittwochnachmittag aktualisierte Versionen veröffentlicht, die die Lücken schließen. Das BSI rät im Ausnahmefall dazu, einen Webserver vorübergehend vom Internet zu trennen, wenn ein Patch nicht kurzfristig installiert werden kann.
- PHP-Version prüfen: Betreiber sollten feststellen, ob ihre Server eine betroffene und unterstützte PHP-Version verwenden.
- Sicherheitsupdates einspielen: PHP-Patches sowie Updates für eingesetzte Content-Management-Systeme sollten unverzüglich installiert werden.
- IT-Dienstleister einbinden: Wer die technische Betreuung ausgelagert hat, sollte Hosting-Anbieter oder Administration umgehend kontaktieren.
- Alte Systeme absichern: Nicht mehr unterstützte PHP-Versionen sollten aktualisiert oder bis zur Absicherung vom Netz getrennt werden.
Dass Details zu den Lücken vorzeitig bekannt wurden, erhöht nach Einschätzung von Experten den Zeitdruck. Angreifer könnten automatisiert nach ungeschützten Servern suchen. Baden-Württembergs Innenminister Manuel Hagel verwies auf die Notwendigkeit, gefährdete Systeme bei akuten Bedrohungen kurzfristig abschalten zu können. [dpa/red]
Autor:dpa content aus Ludwigshafen |