PHP-Sicherheitslücke: Was Webseitenbesitzer jetzt wissen müssen
Eine gefährliche Sicherheitslücke betrifft eine Programmierung, auf der viele Webseiten laufen: PHP. Viele Hoster haben sich vorbereitet und alles Nötige eingeleitet, andere Hostinganbieter wie Cyon haben ihre Dienste zeitweise abgeschaltet wie berichtet wird. Webseitenbesitzer müssen PHP nicht selbst aktualisieren, sollten aber wissen, was ihr Anbieter unternimmt.
Zwei kritische Sicherheitslücken in PHP können Angreifern ermöglichen, ohne Anmeldung Schadkodierungen auszuführen. Das Bundesamt für Cybersicherheit (BACS) warnt vor den Gefahren und empfiehlt, die Sicherheitskorrekturen unverzüglich einzuspielen.
PHP-Sicherheitslücke: Was ist PHP?
Viele Webseitenbesitzer werden das erste mal überhaupt aufgrund der aktuellen Warnungen von PHP gehört haben. Was ist PHP? Es ist eine Programmiersprache, die im Hintergrund vieler Webseiten arbeitet. Sie wird beispielsweise von WordPress und zahlreichen Internetshops verwendet. Wer eine Webseite besucht oder selbst eine betreibt, kommt mit PHP häufig in Berührung, ohne es zu bemerken.
Für die meisten Webseitenbesitzer stellt sich deshalb vor allem eine Frage: Was können sie selbst tun, um ihre Webseite zu schützen? Sie selbst können jedoch wenig tun, denn das kann nur der Hoster, der auch den Server mit PHP betreibt, nicht der Webseitenkunde.
Der Hostinganbieter muß handeln
Wer seine Webseite bei einem Hostinganbieter betreibt, muß PHP normalerweise nicht selbst aktualisieren. PHP läuft über den Hoster.
Webseitenbesitzer sollten daher allenfalls bei ihrem Anbieter nachfragen, ob die Sicherheitslücke die eigene Hostingumgebung betrifft und ob die Korrektur bereits installiert wurde. Wobei davon auszugehen ist, daß seriöse Hoster die Sicherheitslücke kennen und nicht kontaktiert werden müssen.
Wer seine Webseite durch einen externen Dienstleister betreuen läßt, kann sich auch an diesen wenden, aber auch dieser wird an die Zuständigkeit des Hosters verweisen, denn er selbst kann gar nichts machen, weil er ja nicht Hoster ist, nicht den Server mit PHP betreibt.
Eine Aktualisierung von CMS wie Bludit, Joomla, WordPress und dessen Erweiterungen behebt eine Sicherheitslücke in PHP nicht. Es handelt sich um unterschiedliche Programme, die getrennt aktualisiert werden müssen.
Cyon schaltete seine Dienste vorübergehend ab
Wie ernst die Lage eingeschätzt wurde, zeigt das Beispiel des Schweizer Hostinganbieters Cyon. Das Unternehmen schaltete am 21. Oktober vorsorglich seine Webhosting-Dienste, die Verwaltungsoberfläche, das Webmail und weitere Angebote vorübergehend ab. Damit sollten Webseiten und Kundendaten geschützt werden, bis die Sicherheitskorrekturen installiert waren.
Für die betroffenen Kunden hatte das unmittelbare Folgen: Webseiten waren vorübergehend nicht erreichbar. Auch Kontaktformulare, Bestellungen und andere Funktionen konnten nicht genutzt werden. Der E-Mail-Verkehr sollte dagegen weiterhin funktionieren.
Cyon kündigte an, die angepaßten PHP-Versionen nach deren Bereitstellung durch den Hersteller des Serverbetriebssystems einzuspielen, zu prüfen und die Dienste anschließend schrittweise wieder freizuschalten. Der Anbieter informierte seine Kunden über den Fortschritt auf seiner Statusseite.
Das Beispiel verdeutlicht, daß Webseitenbesitzer nicht zwangsläufig selbst aktiv werden müssen. Ein Hostinganbieter kann Schutzmaßnahmen direkt auf seinen Servern umsetzen und im Notfall sogar den Betrieb vorübergehend unterbrechen.
Was Webseitenbesitzer jetzt tun sollten
Wer seine Webseite bei einem Hostinganbieter betreibt, sollte dessen Mitteilungen zur Sicherheitslücke beachten. Falls unklar ist, ob die Korrektur installiert wurde, empfiehlt sich eine kurze Nachfrage.
Wer seine Webseite von einer Agentur oder einem anderen Dienstleister betreuen läßt, sollte dort klären, ob die technische Infrastruktur überprüft wurde. Bei einem selbst verwalteten Server liegt die Verantwortung dagegen beim Betreiber oder dem beauftragten Serververwalter.
Eine eigenständige Änderung der PHP-Version in der WordPress-Verwaltung ist normalerweise nicht möglich. Auch zusätzliche Sicherheitsprogramme für Webseiten ersetzen die erforderliche Korrektur auf dem Server nicht.
Ältere Systeme können ebenfalls betroffen sein
Die Sicherheitslücken betreffen nicht nur die neuesten PHP-Versionen. Auch ältere Versionen können verwundbar sein. Für nicht mehr unterstützte Fassungen stehen möglicherweise keine regulären Sicherheitskorrekturen mehr zur Verfügung.
In solchen Fällen muß der zuständige Anbieter prüfen, ob eine eigene Sicherheitskorrektur bereitsteht oder ein Wechsel auf eine unterstützte Version notwendig ist. Webseitenbesitzer sollten sich nicht allein auf eine sichtbare Versionsnummer verlassen, da Anbieter Sicherheitskorrekturen teilweise in bestehende Softwarepakete übernehmen.
Eine Aktualisierung beseitigt nicht jeden Schaden
Wurde eine Sicherheitslücke bereits ausgenutzt, macht eine nachträgliche Aktualisierung eine möglicherweise kompromittierte Webseite nicht automatisch wieder sicher. Bei konkreten Hinweisen auf einen Angriff sollte der Hostinganbieter oder ein IT-Sicherheitsdienstleister eingeschaltet werden.
Für gewöhnliche Webseitenbesitzer lautet die wichtigste Empfehlung daher: Ruhe bewahren, Mitteilungen des Hostinganbieters beachten und im Zweifel nachfragen, ob die Sicherheitskorrektur installiert wurde. Technische Änderungen am Server sollten den zuständigen Fachleuten überlassen bleiben.
Bundesamt für Cybersicherheit zur PHP-Sicherheitslücke
Das Bundesamt für Cybersicherheit hat eine Warnung und Handlungsanweisung veröffentlicht.
Der Text richtet sich eindeutig an IT-Fachleute, Systemadministratoren und technische Betreiber von Servern und IT-Infrastrukturen, nicht an gewöhnliche Webseitenbesitzer oder Webagenturen, was jedoch leider nicht erwähnt wird und damit unnötig Verwirrung bei Webseiteninhabern und Kunden von Webagenturen verursacht.
99% aller privaten Webseiten und Firmenwebseiten von KMU laufen wohl nicht über eigens betriebene Server, sondern über gemietete Hostings.
Daß der Text sich an Hoster und Server-Betreiber richtet, erkennt man an den konkreten Arbeitsanweisungen:
- PHP-Installationen und Versionen erfassen
- Integrierte PHP-Komponenten in Geräten und Anwendungen aufspüren
- Sicherheitsupdates installieren und Dienste neu starten
- Container neu bauen und bereitstellen
- Protokolle auf Angriffe untersuchen
- Webserver und vorgeschaltete Proxys konfigurieren
Für normale Webseitenbesitzer ist das nicht der richtige Ratgeber. Wer beispielsweise eine WordPress-Seite bei Cyon oder einem anderen Hostinganbieter betreibt, kann diese Aufgaben in der Regel nicht selbst ausführen.
Das Beispiel Cyon zeigt zudem, daß der Hostinganbieter selbst Schutzmaßnahmen ergreifen und Webseiten vorübergehend abschalten kann, ohne daß Kunden PHP selbst aktualisieren müssen.
(rm)
