PHP-Sicherheitslücke: IT-Branche spricht von „Black October“

Cybersicherheitsteams rund um den Globus haben in dieser Woche kritische Schwachstellen in der Programmiersprache PHP geschlossen. In der Branche ist bereits von einem „Black October“ die Rede.

Wie die Lücke entdeckt wurde

Forscher von Googles Sicherheitsteam Wiz hatten die Schwachstellen nach CNBC-Angaben im August mithilfe fortgeschrittener KI-Modelle entdeckt. Öffentlich bekannt wurden sie am Dienstag vergangener Woche, am Mittwochnachmittag veröffentlichten die PHP-Entwickler bereits aktualisierte Versionen.

Das Ausmaß

Nach Schätzungen, die CNBC zitiert, läuft fast 70 Prozent aller Websites mit PHP. Der frühere US-Cybersicherheitschef Chris Krebs sagte dem Sender, drei Prozent aller je entdeckten kritischen Schwachstellen seien allein im vergangenen Monat gefunden worden.

Was deutsche Behörden raten

Das Bundesamt für Sicherheit in der Informationstechnik rät Betreibern, ihre PHP-Webserver zusätzlich zum Update verstärkt auf Auffälligkeiten zu beobachten. Sicherheitsexperte Thomas Boele von Check Point empfahl laut Tagesschau, Logdaten bis zum 17. Oktober zurückzuprüfen – an diesem Tag registrierte eine digitale Falle von Amazon erste Angriffsversuche.

Was daraus folgt

Was daraus folgt: Dass eine einzelne Schwachstelle in einer einzigen Programmiersprache weltweit Behörden und Unternehmen gleichzeitig beschäftigt, zeigt eine Kehrseite geteilter Software: Viele Websites tragen dasselbe Risiko gemeinsam, statt es durch Vielfalt zu streuen.