Darum gehts
- Zwei Firmen fanden den alten PHP-Fehler mithilfe von KI
- Experte erwartet in den nächsten Tagen breite Angriffswelle
- Auch Anwendungen des Bundes mussten aktualisiert werden
Fehlermeldungen! Wartungsarbeiten! Server offline! Im Internet ging gestern plötzlich nichts mehr. Zahlreiche Betreiber von Websites weltweit hatten den Stecker gezogen. Vorsorglich. Schuld daran sind zwei kritische Sicherheitslücken in PHP. Mit der Programmiersprache sind nach Schätzungen über zwei Drittel der Websites im Internet gebaut: von grossen Shops bis zur Vereinsplattform. Der IT-Sicherheitsexperte Marc Ruef von der Firma Scip AG erklärt es mit einem Bild aus dem Kino: Die Website ist der Film, PHP der Projektor, der ihn abspielt.
Wie in einem guten Horrorstreifen lauerte das Monster die ganze Zeit im Keller. Die Lücken im Code waren seit zehn Jahren da – unentdeckt. Aufgespürt haben sie zwei IT-Firmen, und zwar unabhängig voneinander, aber beide mit Hilfe von künstlicher Intelligenz (KI). Calif meldete den ersten Fehler vor der Google-Tochter Wiz. Bei der Entdeckung halfen laut Wiz die KI-Modelle von Google und OpenAI. Beide meldeten ihre Funde den PHP-Entwicklern und halfen so beim Flicken.
Sind «im KI-Zeitalter»
Dass die Lücken gleichzeitig so viele Websites treffen, hat laut Ruef drei Gründe. PHP ist weit verbreitet, die Fehler sitzen in einem zentralen Teil, und die betroffenen Server sind meist direkt aus dem Internet erreichbar. Dazu kommt ein vierter, neuer Faktor.
Cybersicherheit sei «konsequent im KI-Zeitalter angekommen». Eine KI finde heute viele Schwachstellen, und sobald ein Update erscheine, könne eine KI daraus einen Angriff ableiten. «Was früher nur spezialisierten Angreifern vorbehalten war und Wochen dauerte, kann nun professionalisiert innert Tagen oder gar Stunden umgesetzt werden», sagt Ruef. Die KI beschleunige zwar die Analyse von Fehlern und die Entwicklung von Angriffen, Fachwissen und aufwendige Tests blieben aber entscheidend, relativiert hingegen das Bundesamt für Cybersicherheit.
KI als Beschleuniger
Wie stark sich das Tempo in der Branche verändert hat, zeigt Ruef mit Zahlen. Dieses Jahr wurden schon knapp 86'000 Schwachstellen veröffentlicht, fast alle fünf Minuten eine. «Die Zahl der veröffentlichten Schwachstellen hat sich seit Januar um das 3,5-Fache erhöht. Das letzte Mal dauerte eine solche Erhöhung ganze sechs Jahre», so der Experte. Ruef hält es für nicht unrealistisch, dass sich die Zahl nächstes Jahr pro Quartal verdoppelt.
Von den Zehntausenden Schwachstellen erreichen laut Ruef nur ganz wenige die Tragweite von PHP2Shell, wie die Lücke in Fachkreisen heisst. In der Branche kursiert dazu ein zynischer Spruch: Eine wichtige Lücke brauche einen eigenen Namen. Tatsächlich tragen die ganz grossen Fälle oft einen eigenen Namen, etwa Heartbleed oder Log4Shell.
Für die nächsten Tage erwartet Ruef eine Angriffswelle. Angreifer würden jetzt mit KI den Quellcode von PHP und die neuen Updates zerlegen. Die Chancen stünden hoch, dass sie innerhalb weniger Tage einen funktionierenden Angriff entwickeln. «Dies wird zu einer hohen Anzahl breitflächiger Angriffe führen.» Am verwundbarsten sind jetzt Websites, um die sich niemand mehr kümmert. Solch ungepflegte Websites würden laut Ruef «ziemlich sicher in den kommenden Tagen vollständig kompromittiert». Wertvolle Daten liegen dort zwar selten. Doch Angreifer können sie wiederum als Sprungbrett für weitere Cyberangriffe nutzen.
Auch Bund betroffen
Dem Bacs sind schweizweit bislang keine Angriffe bekannt, die sich den Lücken zuordnen lassen. Unerkannte Vorfälle schliesst das Amt aber nicht aus. Betroffen waren auch PHP-Anwendungen der Bundesverwaltung. Wie viele Schweizer Websites noch verwundbar sind, weiss das Amt nicht, und einen Zeitpunkt für eine Entwarnung kann es nicht nennen.
Wer Websites nur nutzt, muss nichts tun, Handy und Browser sind nicht betroffen. Wer dagegen selbst eine Website oder einen Server betreibt, fragt beim Hoster nach. Auch in einem Netzwerkspeicher, der Festplatte im Heimnetz für Fotos und Backups, kann unbemerkt PHP stecken, deshalb lohnt sich ein Blick auf die Updates des Herstellers. Die Empfehlung des Bacs ist unmissverständlich: Updates einspielen, und zwar «unverzüglich».