Gestern war überall von PHP-Sicherheitslücken die Rede, die für große Unruhe sorgten. Ich habe mir das Ganze grob angesehen und versucht, es zu verstehen.
PHP ist eine sehr verbreitete Programmiersprache für die Backend-Entwicklung von Websites. Viele Websites nutzen sie, darunter WordPress und Magento.
Die beiden jetzt bekannt gewordenen schwerwiegenden Sicherheitslücken haben jeweils einen CVSS-Score von 9,2. Vereinfacht gesagt können Angreifer unter bestimmten Bedingungen sogar ohne Anmeldung aus der Ferne Code ausführen und direkt den Server einer Website angreifen. Im schlimmsten Fall können sie Datenbanken und Zugangsdaten stehlen oder sogar den gesamten Server übernehmen.
━━━━━━━━━━━━
Eine absurde Wendung gab es gestern: Die beiden Sicherheitslücken sollten eigentlich erst am 22. Oktober gemeinsam öffentlich gemacht werden, damit die Entwicklerteams Zeit für die Behebung hatten.
Doch am 20. Oktober plauderte ein Typ auf Hacker News die Informationen zu den Sicherheitslücken vorzeitig aus.
Kurz darauf kam es zu einem weiteren Fauxpas:
Das Sicherheitsteam Calif, das an der Untersuchung der Sicherheitslücken beteiligt war, veröffentlichte vorzeitig ein Video mit einer PoC-Angriffsdemonstration. Das Video wurde zwar schnell wieder gelöscht, verbreitete sich aber bereits online. (Das Video ist weiter unten.)
Die Behebung der Sicherheitslücken war noch in Abstimmung, da wurde die Angriffsdemonstration schon veröffentlicht. PHP blieb nichts anderes übrig, als den Patch vorzuziehen und bereits am 21. Oktober zu veröffentlichen.
Außerdem meldete das Sicherheitsteam bereits konkrete Ausnutzungsversuche. Einige Behörden und Websites entschieden sich sogar dafür, vorübergehend offline zu gehen, um die Sicherheitslage zu prüfen und die Lücken zu beheben.
━━━━━━━━━━━━
Was bedeutet das für uns?
Wenn eine Website, die du häufig nutzt, eine ungepatchte Sicherheitslücke im Backend hat und angegriffen wird, können Seiten verändert oder Phishing-Inhalte eingeschleust werden. Die Website kann sogar als Einfallstor dienen, um Zugangsdaten zu stehlen.
Besonders für Krypto-Nutzer gilt: Wenn ihr in den nächsten Tagen Börsen, Wallets oder Airdrop-Websites besucht, ruft sie möglichst über offizielle Kanäle auf. Klickt nicht wahllos auf unbekannte Links und signiert nicht leichtfertig Transaktionen!! Angeblich soll es in den nächsten zwei Tagen besonders heftig werden.
Diese Sicherheitslücke existiert schon seit Jahren. KI-gestützte Forschung senkt jedoch die Hürden, sie zu entdecken und Exploits dafür zu entwickeln.
Sobald eine Sicherheitslücke bekannt wird, können Angreifer schnell nachziehen – während es Zeit braucht, bis die zahlreichen Websites weltweit gepatcht sind.
Anders gesagt: Die Geschwindigkeit, mit der Sicherheitslücken behoben werden, steht im Wettlauf mit der Geschwindigkeit, mit der sich Angriffstechniken verbreiten.
PHP ist eine sehr verbreitete Programmiersprache für die Backend-Entwicklung von Websites. Viele Websites nutzen sie, darunter WordPress und Magento.
Die beiden jetzt bekannt gewordenen schwerwiegenden Sicherheitslücken haben jeweils einen CVSS-Score von 9,2. Vereinfacht gesagt können Angreifer unter bestimmten Bedingungen sogar ohne Anmeldung aus der Ferne Code ausführen und direkt den Server einer Website angreifen. Im schlimmsten Fall können sie Datenbanken und Zugangsdaten stehlen oder sogar den gesamten Server übernehmen.
━━━━━━━━━━━━
Eine absurde Wendung gab es gestern: Die beiden Sicherheitslücken sollten eigentlich erst am 22. Oktober gemeinsam öffentlich gemacht werden, damit die Entwicklerteams Zeit für die Behebung hatten.
Doch am 20. Oktober plauderte ein Typ auf Hacker News die Informationen zu den Sicherheitslücken vorzeitig aus.
Kurz darauf kam es zu einem weiteren Fauxpas:
Das Sicherheitsteam Calif, das an der Untersuchung der Sicherheitslücken beteiligt war, veröffentlichte vorzeitig ein Video mit einer PoC-Angriffsdemonstration. Das Video wurde zwar schnell wieder gelöscht, verbreitete sich aber bereits online. (Das Video ist weiter unten.)
Die Behebung der Sicherheitslücken war noch in Abstimmung, da wurde die Angriffsdemonstration schon veröffentlicht. PHP blieb nichts anderes übrig, als den Patch vorzuziehen und bereits am 21. Oktober zu veröffentlichen.
Außerdem meldete das Sicherheitsteam bereits konkrete Ausnutzungsversuche. Einige Behörden und Websites entschieden sich sogar dafür, vorübergehend offline zu gehen, um die Sicherheitslage zu prüfen und die Lücken zu beheben.
━━━━━━━━━━━━
Was bedeutet das für uns?
Wenn eine Website, die du häufig nutzt, eine ungepatchte Sicherheitslücke im Backend hat und angegriffen wird, können Seiten verändert oder Phishing-Inhalte eingeschleust werden. Die Website kann sogar als Einfallstor dienen, um Zugangsdaten zu stehlen.
Besonders für Krypto-Nutzer gilt: Wenn ihr in den nächsten Tagen Börsen, Wallets oder Airdrop-Websites besucht, ruft sie möglichst über offizielle Kanäle auf. Klickt nicht wahllos auf unbekannte Links und signiert nicht leichtfertig Transaktionen!! Angeblich soll es in den nächsten zwei Tagen besonders heftig werden.
Diese Sicherheitslücke existiert schon seit Jahren. KI-gestützte Forschung senkt jedoch die Hürden, sie zu entdecken und Exploits dafür zu entwickeln.
Sobald eine Sicherheitslücke bekannt wird, können Angreifer schnell nachziehen – während es Zeit braucht, bis die zahlreichen Websites weltweit gepatcht sind.
Anders gesagt: Die Geschwindigkeit, mit der Sicherheitslücken behoben werden, steht im Wettlauf mit der Geschwindigkeit, mit der sich Angriffstechniken verbreiten.