Meldungen
Kritische PHP-Sicherheitslücken: Internetangebote jetzt prüfen lassen
Kritische PHP-Sicherheitslücken gefährden Unternehmenswebseiten. Was Bauunternehmen jetzt prüfen und mit ihren IT-Dienstleistern klären sollten.
Zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Web-Technik PHP gefährden derzeit zahlreiche Internetseiten und Online-Anwendungen. Auch Bauunternehmen können betroffen sein. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Warnstufe „Orange“ ausgerufen und fordert unverzügliche Schutzmaßnahmen.
Sicherheitsupdates stehen seit dem 21. Oktober zur Verfügung. Für Betriebe heißt das: Handeln, aber technische Änderungen Fachleuten überlassen.
Welche Angebote können betroffen sein?
PHP arbeitet auf dem Server im Hintergrund vieler Internetangebote. Die Technik steckt beispielsweise in Webseiten mit WordPress, TYPO3, Joomla oder Drupal. Auch selbst betriebene Datei- und Austauschplattformen wie Nextcloud können betroffen sein. Entscheidend ist, ob die zugrunde liegende PHP-Umgebung bereits gegen die aktuellen Sicherheitslücken abgesichert wurde. Eine äußerlich normal funktionierende Internetseite gibt darüber keinen Aufschluss.
Angreifer könnten die Schwachstellen ausnutzen, um ohne Anmeldung Schadprogramme auf einem Server auszuführen. Mögliche Folgen sind manipulierte Webseiten, der Abfluss sensibler Daten oder der Missbrauch des Servers für weitere Angriffe. Die BSI-Warnung enthält allerdings noch keine bestätigten Erkenntnisse über tatsächlich erfolgte Angriffe.
Was sollten Bauunternehmen jetzt tun?
- Zuständige Ansprechpartner kontaktieren. Wenden Sie sich kurzfristig an Ihre Webagentur, Ihren Hostinganbieter oder Ihre IT-Betreuung. Lassen Sie prüfen, ob Ihre Unternehmenswebseite und weitere online erreichbare Anwendungen PHP verwenden und betroffen sind. Auch extern betreute Angebote sollten Sie ausdrücklich ansprechen.
- Sicherheitsupdates bestätigen lassen. Beauftragen Sie die unverzügliche Absicherung betroffener Systeme und lassen Sie sich die Umsetzung bestätigen. Wichtig: Es reicht nicht, nur WordPress, Erweiterungen oder Webseiteninhalte zu aktualisieren. Die darunterliegende PHP-Umgebung muss ebenfalls abgesichert werden. Welche Aktualisierung erforderlich ist, klärt der Dienstleister.
- Falls ein Update nicht sofort möglich ist: Abschaltung prüfen. Nach Empfehlung des BSI sollte dann erwogen werden, betroffene Systeme vorübergehend vom Internet zu trennen. Stimmen Sie dies mit Ihrer IT-Betreuung ab. Gemeint ist das gefährdete Internetangebot – nicht pauschal die gesamte betriebliche IT. Zusätzliche Schutzfilter ersetzen das notwendige Update nicht zuverlässig.
- Auffälligkeiten untersuchen lassen. Beauftragen Sie Ihre IT-Betreuung, betroffene Server auf verdächtige Veränderungen und Zugriffe zu prüfen und weiter zu überwachen. Das BSI empfiehlt eine verstärkte Beobachtung öffentlich erreichbarer PHP-Systeme.
Müssen Beschäftigte an ihren Computern etwas ändern?
Für das gewöhnliche Surfen am Arbeitsplatz, am Smartphone oder am privaten Computer besteht wegen dieser Sicherheitslücken kein unmittelbarer Handlungsbedarf. Betroffen sind die Server im Hintergrund, nicht automatisch die Endgeräte. Indirekt können jedoch Online-Dienste ausfallen oder Daten gefährdet sein. Für die Unternehmensleitung hat deshalb die Klärung mit dem verantwortlichen Dienstleister Vorrang.
Hier geht es zur Warnung des BSI: Sicherheitswarnung PHP
