PHP Foundation räumt „strukturellen Versager“ ein, der kritische Sicherheitskorrektur verzögerte

Die PHP Foundation räumte ein, dass Unentschlossenheit und Ressourcenmangel die Behebung einer kritischen Sicherheitslücke verzögerten, die erstmals 2024 identifiziert wurde, und bezeichnete die stockende Reaktion als „strukturellen Versager“.

Regierungsbehörden und andere Organisationen weltweit nahmen am Mittwoch vorsorglich Websites offline, während PHP Notfall-Patches für zwei verwandte kritische Schwachstellen veröffentlichte. Die Lücken könnten es nicht authentifizierten Angreifern ermöglichen, Code auf betroffenen Servern auszuführen, ohne sich anzumelden.

PHP ist eine weit verbreitete Programmiersprache zur Realisierung von Websites und Webanwendungen, darunter auch Content-Management-Systeme.

In einem Blogeintrag nach Veröffentlichung des Patches beschrieb die Foundation, wie ihre Entwickler bereits 2024 erste Hinweise auf die Schwachstelle fanden, jedoch lange Zeit keine Lösung finden konnten, die das umfangreiche Ökosystem an mit PHP erstellter Software nicht beeinträchtigte.

„Zusammen mit dem Fehlen eines bekannten Wegs zur Remote-Code-Ausführung und dem kleinen Team von Kernentwicklern mit tiefem Engine-Wissen – die zudem zahlreichen anderen Aufgaben nachgingen – führte dieser Entscheidungsprozess dazu, dass die Arbeit an einer Korrektur monatelang immer wieder stockte und neu begann“, erklärte die Foundation.

„Wir werden es nicht verbergen: Die Verzögerung war ein struktureller Versager, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch dessen mangelnde Ressourcen.“

Am 11. August wurde die Foundation erneut auf die Schwachstelle hingewiesen, nachdem die Sicherheitsfirma Calif und OpenAI unabhängig voneinander dieselbe zugrundeliegende Problematik meldeten; Calif demonstrierte zudem bedingungslose Remote-Code-Ausführung, was die Angelegenheit zur höchsten Sicherheitspriorität machte.

Websites gehen wegen PHP-Sicherheitswarnung offline

Die Störung breitete sich weltweit aus, während Entwickler Websites vorübergehend vom Netz nahmen, um die Notfallkorrekturen einzuspielen.

Die Niederlande stellten ihren digitalen Identitätsdienst ein; auch die Website des Nationalen Cyber-Sicherheitszentrums ging offline.

Der finnische staatliche IT-Dienstleister Valtori schaltete öffentliche Regierungswebdienste ab; Frankreichs Innenministerium nahm vorübergehend die Websites der Präfekturen offline. Deutschlands Bundes-IT-Dienstleister ITZBund deaktivierte laut Reuters mehrere Websites.

In Australien bestätigte die Australian Signals Directorate, dass ihre Cybersicherheits-Website cyber.gov.au zu den von dem PHP-Problem betroffenen Regierungsseiten gehörte.

Japans Ministerin für digitale Angelegenheiten, Sanae Takaichi, appellierte auf X, Websitebetreiber sollten den Patch möglichst rasch einspielen. Sie empfahl, bei sofortiger Nichtanwendbarkeit vorübergehend Websitefunktionen einzuschränken, um Risiken zu mindern.

Die Wikimedia Foundation, Betreiberin von Wikipedia, nahm einige unterstützende Dienste vorsorglich offline, darunter Toolforge und Cloud VPS – Plattformen für Werkzeuge und Projekte freiwilliger Entwickler – wodurch Teile von Wikipedia am Mittwoch nicht erreichbar waren.

Die Blockchain-Sicherheitsfirma SlowMist berichtete, ihr MistEye-Dienst habe die PHP-Nutzung in der Krypto-Branche untersucht und Börsen, DeFi-Plattformen sowie Wallet-Anbieter zur Überprüfung ihrer Exposition und zum Update aufgerufen. Dabei identifizierte man unter 1.488 bewerteten Domains 793 mit direktem PHP-Fingerprint.

Intersect, eine Mitgliedsorganisation zur Förderung von Entwicklung und Governance der Cardano-Blockchain, teilte mit, ihren Mitgliederbereich vorübergehend offline genommen zu haben, um mögliche Risiken zu prüfen. Die Seite blieb zum Zeitpunkt der Berichterstattung offline.

Coinbases Chief Security Officer Jeff Lunglhofer erklärte, das Unternehmen habe keinerlei Hinweise auf offengelegte PHP-Instanzen gefunden.

„Sobald wir von solchen Sicherheitslücken erfahren, führen wir automatisch eine umfassende Prüfung durch, um höchstmögliche Sicherheit zu gewährleisten. Zudem arbeiten wir mit unseren externen Anbietern zusammen, um zusätzliche Sicherheit zu bieten.“

Das Unternehmen für digitale Asset-Infrastruktur BitGo erklärte ebenfalls, dass seine Plattform von der PHP-Sicherheitslücke unbeeinflusst sei.

Unterdessen warnte Binance-Mitgründer Changpeng Zhao Internetnutzer am Mittwoch, in den nächsten Tagen besonders vorsichtig beim Besuch beliebiger Websites zu sein, da einige Webadministratoren möglicherweise nicht auf dem neuesten Stand bei Sicherheitspatches sind.

OpenAI hat eine Codex-Funktion veröffentlicht, mit der Websitebetreiber potenziell anfällige PHP-Versionen prüfen und passende Updates identifizieren können; sie ist über GitHub zugänglich.

Das PHP-Sicherheitsteam erklärte, zum Zeitpunkt der öffentlichen Bekanntgabe keine funktionalen Exploits identifiziert zu haben.

Magazin: 5 Alternativen zu Ledger zur Aufbewahrung Ihres Bitcoins