BSI warnt vor kritischen PHP-SchwachstellenIT-Sicherheitsrisiko für Handwerksbetriebe

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in seinen aktuellen IT-Sicherheitshinweisen (BSI-WID / BITS) vor zwei hochkritischen Sicherheitslücken gewarnt. Betroffen sind alle internetbasierten Anwendungen und Webseiten, die auf der weit verbreiteten Programmiersprache PHP basieren. Da PHP das technische Fundament für unzählige Online-Dienste bildet, sind auch viele Handwerksbetriebe mit eigener Server-Infrastruktur gefährdet.

Hochkritische Schwachstellen entdeckt

In der Laufzeitumgebung von PHP wurden zwei schwerwiegende Schwachstellen identifiziert. Diese ermöglichen es Angreifern im schlimmsten Fall, ohne Passwort oder Benutzerkonto von außen schädlichen Programmiercode auszuführen (sogenannte Remote Code Execution). Das BSI stuft die Gefahr in seinen Veröffentlichungen als massiv ein (Kritikalität 3 / Orange). Die Experten des BSI und führende IT-Sicherheitsanalysten rechnen kurzfristig mit einer breiten Welle automatisierter Angriffe.

Welche Systeme im Betrieb betroffen sind

Gefährdet sind Betriebe, die entsprechende Web-Anwendungen im eigenen Haus oder auf selbst verwalteten Servern betreiben. Dazu gehören insbesondere:

• Cloud-Speicher: Systemlösungen für die Datenspeicherung und den internen Austausch (beispielsweise Nextcloud)
• Websites & Kundenportale: Firmen-Webseiten auf Basis gängiger Content-Management-Systeme (beispielsweise WordPress, TYPO3, Joomla oder Drupal)
• Betriebssoftware: Eigene Online-Shops oder spezielle PHP-basierte Verwaltungstools

Hinweis für reine Cloud-Nutzer: Wer klassische Cloud-Dienste nutzt, bei denen ein externer Anbieter die komplette Wartung und Technik im Hintergrund übernimmt, muss in der Regel nicht selbst aktiv werden. Zur Sicherheit empfiehlt sich jedoch eine kurze Rückfrage beim jeweiligen Dienstleister.

Dringende Handlungsempfehlungen für Handwerksbetriebe

Da die technische Umsetzung je nach Betrieb unterschiedlich ist, wird dringend zu folgendem Vorgehen geraten:

1. IT-Dienstleister kontaktieren: EDV-Betreuer sollten gezielt gefragt werden, ob die genutzten Server, Webseiten oder Cloud-Dienste betroffen sind und ob die notwendigen Sicherheits-Updates eingespielt wurden.
2. Notfall-Maßnahme bei Verzögerung: Sollte ein dringendes Sicherheitsupdate nicht sofort möglich sein, raten das BSI und internationale CERTs dazu, betroffene Server vorübergehend vom Internet zu trennen oder deren Erreichbarkeit einzuschränken.

 Ansprechpartner

 Download

Weiterführende Links und Quellen

• Offizielle Webseite des BSI
• BSI - Technische Sicherheitshinweise und Warnmeldungen
• PHP Security Advisories & Updates