Zwei PHP-Schwachstellen mit dem Spitznamen „PHP2Shell“ werden laut Amazon breit ausgenutzt. Das stellt Organisationen, die PHP-basierte Websites und Server betreiben, vor ein dringendes Patch-Problem.
Der Bericht über die Offenlegung besagt, dass die PHP-Entwickler am Mittwoch Sicherheitsupdates veröffentlicht haben. Die NSA riet allen Organisationen, die PHP einsetzen, sofort zu aktualisieren. Falls ein zeitnahes Patchen nicht machbar ist, sollten betroffene Systeme offline genommen werden, bis sie vollständig abgesichert sind.
Der vorliegende Bericht nennt weder die betroffenen PHP-Zweige noch anfällige Versionsnummern oder korrigierte Versionen. Er enthält zudem keine CVE-Kennungen. Administratoren sollten deshalb nicht davon ausgehen, dass eine bestimmte Installation allein deshalb sicher ist, weil sie verhältnismäßig neu ist.
Amazon beobachtete einen Ausnutzungsversuch vor der Veröffentlichung
Amazon erklärte am Mittwoch, vier Tage bevor die Schwachstellen öffentlich wurden, einen Versuch erkannt zu haben, den Fehler auszunutzen. Das Unternehmen beschrieb die Schwachstellen außerdem als in freier Wildbahn breit ausgenutzt.
Diese Darstellung liefert Hinweise auf aktive Ausnutzung. Der Bericht schreibt die Aktivität jedoch keinem bestimmten Angreifer zu und beziffert auch nicht die Zahl der angegriffenen oder kompromittierten Systeme.
Forscher der US-Cybersicherheitsunternehmen Calif und Wiz entdeckten die beiden Schwachstellen. Laut Bericht waren sie über ein Jahrzehnt unentdeckt geblieben. Modelle von OpenAI und Google unterstützten die Forschung. OpenAI, PHP, Calif und Wiz arbeiteten Berichten zufolge zusammen, um die Befunde zu überprüfen und Patches vorzubereiten. Wiz gehört zu Alphabet.
Erfolgreiche Angriffe könnten Server und Datenbanken offenlegen
Die NSA warnte, dass die Schwachstellen Angreifern häufig einen direkten Zugang zum Dateisystem oder zur Datenbank eines Servers verschaffen können. Das britische National Cyber Security Centre erklärte, eine Ausnutzung könne es einem Angreifer ermöglichen, die Kontrolle über einen Webserver zu übernehmen, ohne ein Passwort oder andere Anmeldedaten angeben zu müssen.
Diese Folgen könnten Website-Inhalte, Anwendungsdateien und datenbankgestützte Dienste gefährden, je nachdem, wie ein betroffener Server konfiguriert ist. Der Bericht nennt weder die technischen Ursachen der Schwachstellen noch die genauen Voraussetzungen für eine Ausnutzung.
Einige europäische Regierungen nahmen Berichten zufolge Websites offline, während sie Patches einspielten. In den Vereinigten Staaten erklärte das Weiße Haus, Bundesbehörden prüften die möglichen Auswirkungen auf Regierungsnetze und kritische Infrastrukturen.
Die Verbreitung von PHP erschwert die Priorisierung von Patches
Wiz schätzt, dass etwa 70 Prozent der Websites weltweit PHP verwenden. Diese Zahl beschreibt die Verbreitung von PHP, nicht den Anteil der Websites, bei denen bestätigt ist, dass sie anfällige Versionen einsetzen.
WordPress ist besonders relevant, weil die Plattform überwiegend in PHP geschrieben ist und für ihren Betrieb auf diese Sprache angewiesen ist. Der Bericht belegt jedoch nicht, dass jede WordPress-Website oder jede PHP-Installation verwundbar ist.
Administratoren sollten Systeme identifizieren, auf denen PHP läuft, exponierte Produktionsserver vorrangig behandeln und die am Mittwoch veröffentlichten PHP-Sicherheitsupdates einspielen. Kann ein betroffenes System nicht sofort aktualisiert werden, empfiehlt die NSA, es offline zu nehmen, bis eine vollständige Absicherung möglich ist. Da der Bericht keine korrigierten Versionsnummern angibt, sollten Teams prüfen, ob die bereitgestellten Pakete die PHP2Shell-Korrekturen der PHP-Entwickler enthalten. Sich allein auf den Status der Betriebssystem-Updates zu verlassen, reicht dafür nicht aus.
OpenAI bezeichnete die Schwachstellen als einen der folgenreichsten Sicherheitsbefunde der jüngeren Zeit. Frontier-KI habe Verteidigern geholfen, sie vor Angreifern zu entdecken. Das Unternehmen warnte jedoch zugleich, dass dieselben Fähigkeiten die Entwicklung von Exploits beschleunigen könnten. Diese Sorge sei besonders akut, nachdem Amazon eine Ausnutzung in freier Wildbahn gemeldet hat.
