Sicherheitslücken und Verletzlichkeit

Mittwoch um 16:31 Uhr E-Mail von Netcup: „Liebe Kundinnen und Kunden, in PHP, einer Software, mit der ein Großteil aller Webseiten weltweit betrieben wird, gibt es eine sehr kritische Sicherheitslücke. Um Sie und Ihre Daten zu schützen, haben wir alle potenziell gefährdeten Systeme vorsorglich vom Internet getrennt. Das ist eine reine Vorsichtsmaßnahme. Ihre Daten bleiben vollständig erhalten und sind nicht gefährdet.“

Und dann waren die newslichter tatsächlich nicht erreichbar. In den 17 Jahren kenne ich dieses Szenario immer mal wieder (Umzug der Seite, Relaunch der Seite, PlugIns müssen erneuert werden). Aber immer wieder führt es mir vor Augen, wie verletzlich letztendlich auch das www-Leben ist. Wie hilflos und verletzlich ich mich dann fühle. Das Vertrauen und die Energie halten schwierig sein können. Klar haben wir Backups und könnten im Notfall die newslichter wieder neu aufspielen. Aber ich persönlich kann das natürlich nicht und es bleibt hilflos nervenaufreibend.

Mittwoch 21.22 Uhr: Ich habe gerade auf der Hotline mit Rolf eine gute Nacht gewünscht (wir können ja erstmal nix tun) und dann leuchten sie wieder, die newslichter sind sichtbar und ich gehe mit der guten Hoffnung schlafen, dass auch der newsletter wie gewohnt rausgehen wird (tut er dann Donnerstag um 6 Uhr auch).

Dann auch die offizielle Entwarnung von netcup: Systeme sind gepatcht und wieder online. Die heutige Sicherheitsmaßnahme ist abgeschlossen. Alle betroffenen Systeme sind gegen die kritischen PHP-Sicherheitslücken gepatcht und seit 23:45 Uhr, 21.10.2026 wieder vollständig erreichbar.

Dankbarkeit und das Wissen um Verletzlichkeit begleiten mich heute durch den Tag.

Hintergründe und Einschätzungen von Rolf Ahlborn (unserem Web-Designer)

Wann immer ein spannender Film über Cybercrime oder Hacks über die Leinwand oder den Bildschirm flackert, gibt es Einstellungen mit neonfarben leuchtenden Buchstaben und sich ohne eigenes Zutun verändernden Dateien und Zeichen.
Letzte Woche fand ich mich unfreiwillig in einem solchen Szenario wieder, als ich in einem Webseiten-Projekt ein paar Änderungen auf dem dortigen Server vornehmen musste. Doch meine Anpassungen funktionierten nicht und ich musste zusehen, wie Verzeichnisse mit kryptischen Namen erschienen und ursprüngliche Dateien plötzlich verschlüsselten Code enthielten, der seine Funktion unlesbar verschleierte. Erste Maßnahmen zur Unterbindung blieben erfolglos und so langsam wurde ich nervös.
Ein durchaus gängiger Angriff auf eine Webseite erfolgt oft durch veraltete Software oder fehlende Sicherheitsmaßnahmen. Hier war aber alles geprüft oder neu und bislang geeignete Sicherheitsmaßnahmen waren gleich zu Anfang installiert oder kontrolliert worden.

Auf meinem Bildschirm taten sich Dinge, die so nicht sein durften, und es bestand dringender Handlungsbedarf. Andere Zugänge über den Webseiten-Hoster oder andere technische Wege waren ebenfalls nicht möglich oder erfolglos. Währenddessen erschienen weiterhin neue Dateien und neue Verzeichnisse, die ich jedoch nicht verändern konnte.
Jetzt waren schnelle Entscheidungen gefragt. Ein Backup war vorhanden, aber war das vielleicht auch schon „verseucht“? Immerhin hatte ich auch noch die lokale Entwicklungsumgebung, mit fast vollständigem Stand.
Das Problem war: Wie sollte ich dem Webseitenbetreiber erklären, was mit seiner Seite passiert war? Möglicherweise waren Besucher gefährdet oder der Server könnte kompromittiert werden. Außerdem gibt es bei Cybercrime immer das Problem der nachträglichen Analyse. Einige der neu installierten kryptischen Ordner und Dateien waren mittlerweile schon wieder verschwunden, da sie ihre Aufgabe erfüllt hatten und andere Dateien bereits infiziert oder neue Verzeichnisse erstellt worden waren.
Es blieb also nur, schnellstens zumindest Beweise und alle an diesem Tag geänderten Dateien zu sichern, anschließend das Webprojekt beim Hoster zu löschen und die Adresse auf eine Notfallseite umzulenken.

Wann immer in den Medien von Hacks oder nicht erreichbaren Servern berichtet wird, ist schnell die Empörung groß. Schließlich ist „das Netz“ so sehr Teil unserer Gesellschaft geworden, dass dessen Erreichbarkeit genauso selbstverständlich ist wie das Licht, das durch Drücken des Schalters, den Raum erhellt.
Architektonisch ist das Internet tatsächlich eine unüberschaubare Verflechtung von Einzelkomponenten und deren Verbindungen und der alles verknüpfenden Software.

Im Alltag begegnen wir im Internet jedoch nur einem Bruchteil dieser Komponenten. Oftmals ist es eine bunte Seite im Browser, mit Bildern und Texten oder Einkaufsmöglichkeiten. Ein Großteil dieser Seiten verwendet eine Software namens PHP, mit der sich dynamische Webseiten erstellen lassen. PHP wurde bereits 1995 als Skriptsprache veröffentlicht und seither kontinuierlich weiterentwickelt und sicherer gemacht.
PHP bildet die Logikschicht im sogenannten „Software-Stapel“ auf einem Server. Ganz unten arbeitet ein Betriebssystem, das einen Webserver ausführt. Dieser nimmt externe Anfragen entgegen und liefert Webinhalte aus. Oft ist noch eine Datenbank die Quelle der dargestellten Informationen und die mit PHP programmierte Logik liegt dazwischen und erzeugt die Webinhalte.

Vor diesem Hintergrund wird deutlich, welche Auswirkungen kritische Sicherheitslücken, die als sehr kritisch eingestuft wurden, auf die weltweite IT-Landschaft haben können. Viele Webseiten-Betreiber haben kurzerhand ihre Webseiten vorsorglich vom Netz genommen.

Die Sicherheitslücken sind unter dem Namen „PHP2Shell“ bekannt geworden, da durch die genutzte Schwachstelle ein direkter Zugriff auf die „Shell“ möglich ist, wodurch Befehle im Betriebssystem ausgeführt werden können.

Tatsächlich existiert der Fehler in fast allen PHP-Versionen und ist somit jahrzehntelang unentdeckt geblieben. Nach anfänglich uneindeutigen Nutzungsmöglichkeiten eines 2024 gemeldeten Speicherfehlers gelang es kürzlich zwei Teams unabhängiger Sicherheitsforscher, mithilfe noch unveröffentlichter KI-Modelle klare Angriffsvektoren auszuarbeiten und so die Internetwelt in Alarm zu versetzen.

Mittlerweile haben sicherlich alle Provider ihre Software gepatcht. Wer eigene Server betreibt, tut gut daran, die Fehlerbehebungen längst eingepflegt zu haben. Auf ungewöhnliche Aktivitäten oder kryptische Dateinamen bzw. ‑inhalte sollte man auf jeden Fall ein Auge haben.

Mehr Hintergründe zur PHP‑Krise hier.