Sicherheit am Arbeitsplatz – Folge 4: PHP-Lücken patchen
Zwei neue Sicherheitslücken in PHP – und die Patches sollten am besten noch am selben Tag drauf. PHP steckt fast überall: in Webseiten, Web-Anwendungen in Firmen, Backends von Smartphone-Apps. Über die Lücken lässt sich ohne Anmeldung praktisch jeder Befehl auf dem Server ausführen – Vollzugriff. Der Fehler steckt seit Jahrzehnten im Code, und mit KI-Systemen ohne Grenzen wird das Ausnut...
Zwei neue Sicherheitslücken in PHP – und die Patches sollten am besten noch am selben Tag drauf. PHP steckt fast überall: in Webseiten, Web-Anwendungen in Firmen, Backends von Smartphone-Apps. Über die Lücken lässt sich ohne Anmeldung praktisch jeder Befehl auf dem Server ausführen – Vollzugriff. Der Fehler steckt seit Jahrzehnten im Code, und mit KI-Systemen ohne Grenzen wird das Ausnutzen immer einfacher. Deshalb: Admins, patcht jetzt – erst PHP auf den Servern, dann alle Anwendungen, die PHP mitliefern. Und an alle jungen Leute: In der Cybersecurity gibt es jede Menge Arbeit. Folge 4 der Serie „Sicherheit am Arbeitsplatz“. Mehr auf secureit.icu
Das sage ich im Video
PHP hat Sicherheitslücken. Ein langer Tag für Cybersicherheitsleute geht zu Ende.
Zwei neue Sicherheitslücken, zwei neue CVEs sind aufgetaucht und sollten innerhalb eines Tages rausgepatcht werden. Die Patches kamen heute erst um 16 Uhr raus – PHP selbst hat sie veröffentlicht. Bis sie in allen Betriebssystemen verfügbar sind, und auch in den Produkten, in denen PHP verbaut ist, wird es noch eine Weile dauern.
Ihr müsst euch vorstellen: PHP läuft mittlerweile auf jeder Kaffeemaschine dieser Welt. PHP kann das Backend einer Handy-App sein – Smartphone-Apps können als Backend eine Webseite oder Web-Applikation haben, die mit PHP geschrieben ist. Und es läuft im Business-Kontext in Firmen, so wie es heute bei mir im Alltag der Fall war: bestimmte Web-Applikationen, die Anwender in den Firmen nutzen, in denen sie einfach im Browser arbeiten und ihre Daten eingeben. Das muss jetzt gepatcht werden. Von heute auf morgen war alles komplett unsicher.
Der Use-Case für den Angriff war Remote Shell Execution. Das bedeutet: Man kann so ziemlich jeden Befehl auf dem Server ausführen. Nennen wir es mal Vollzugriff. Einfach so, ohne dass man sich anmeldet, ohne irgendwelche Tricks – nur wegen eines Fehlers.
Und ihr müsst euch vorstellen: Dieser Fehler steckt schon seit PHP-Version 5 drin, ich glaube sogar noch früher. Das sind bestimmt 25 Jahre, ich weiß es nicht genau. Jahrzehntelang ist dieser Fehler schon in den PHP-Versionen und wird ausgerollt und ausgerollt und ausgerollt. Jedes Jahr kommen neue Versionen raus, und der Fehler ist konstant drin geblieben.
Jetzt sind gleich zwei solche Fehler gefunden und behoben worden, und man muss patchen, um das Problem loszuwerden. Ansonsten betreibt man einfach ein ungeschütztes System – im schlechtesten Fall auch noch im Internet. Und da kann eben jeder diesen Fehler ausnutzen. Es gibt mittlerweile die Möglichkeit, mit gejailbreakten KI-Systemen zu arbeiten, also mit KI-Systemen, die keine Grenzen kennen.
Wenn ihr ein handelsübliches System nehmt, zum Beispiel Claude Code, und sagt: „Benutz mal diese Schwachstelle und greif das System an“, dann wird es das nicht machen – da sind ethische Grenzen einprogrammiert. Aber es gibt KI-Systeme, die diese Grenzen nicht mehr haben. Deswegen ist es sehr gefährlich, wenn man diesen Patch nicht einspielt und so im Fall eines Angriffs seine Daten preisgibt. Deswegen: Admins, patchen!
Junge Leute, die sich dafür interessieren: Geht in den Job rein. Es gibt jede Menge Arbeit, wie ihr seht. Wir sind viel zu wenige, um all diese Millionen Server in so kurzer Zeit patchen zu können. Das müssen tatsächlich noch Menschen machen. Man kann natürlich auch viel automatisieren, aber in diesem Fall war gar nicht richtig klar, was man tun soll – und dann soll zeitgleich die ganze Welt aktualisiert werden. Da gibt es noch viel zu tun, und die Zuständigkeiten werden oft erst dann klarer, wenn es hektisch wird. Also: Geht mit in die Cybersecurity und sorgt mit dafür, dass wir besser werden.
Mal sehen, wie sich das in den nächsten Tagen entwickelt. In der ersten Welle wird es jetzt die PHP-Upgrades auf den Servern geben, und in der zweiten Welle kommen dann die ganzen Anwendungen, die PHP mitnutzen oder mit ausliefern – die muss man auch noch updaten. Wir werden sehen. Es bleibt spannend.