Mit KI aufgespürte Sicherheitslücken in PHP führen zu Abschaltungen von Regierungswebseiten und dringenden Patches

Regierungen in Europa (Europe), Asien (Asia) und anderswo haben am Mittwoch einige Webseiten vom Netz genommen, nachdem zwei neu bekanntgewordene Sicherheitslücken in PHP, einer Programmiersprache, die einen großen Teil des Internets betreibt, eine seltene öffentliche Warnung der National Security Agency (NSA) der Vereinigten Staaten (United States) ausgelöst hatten.^4,5

Die Schwachstellen mit dem Namen PHP2Shell wurden laut Al Jazeera mithilfe von Modellen künstlicher Intelligenz entdeckt. Beide beruhen darauf, dass ohne Berechtigung auf Teile des Arbeitsspeichers zugegriffen wird, und nutzen diesen Zugriff, um schädlichen Code auszuführen. Al Jazeera berichtete, ein Angreifer könne über das Internet aus der Ferne Befehle auf einem Server ausführen, auf dem alter PHP-Code läuft, und zwar ohne Passwort oder gültiges Konto. Die PHP Foundation, eine gemeinnützige Organisation, die die Sprache unterstützt, veröffentlichte am Mittwochnachmittag eine Korrektur für die neuesten Versionen.^4,5

Die NSA riet Organisationen, ihre Systeme vom Netz zu nehmen, falls sie das Update nicht sofort installieren könnten. „Ab sofort sollten sich alle Organisationen, die PHP für ihre Systeme nutzen, auf ein Update vorbereiten, das zwei kritische Schwachstellen schließt“, schrieb die Behörde in einem Social-Media-Beitrag. In einem weiteren Beitrag hieß es: „Diese Schwachstellen eröffnen oft einen direkten Weg zum Dateisystem oder zur Datenbank des Servers“, laut BBC.^4,5

Mehrere europäische Regierungen reagierten rasch. Finnland (Finland) schaltete vorübergehend die öffentlichen Webdienste seiner Regierung ab, und das Bundesministerium für Digitalisierung und Staatsmodernisierung (Federal Ministry for Digital Transformation and Government Modernisation) in Deutschland (Germany) erklärte, es habe einige Webseiten als Vorsichtsmaßnahme vom Netz genommen. Das französische Innenministerium (Ministry of the Interior) deaktivierte die offiziellen Webseiten lokaler Verwaltungsbehörden. Behörden in Belgien (Belgium), den Niederlanden (Netherlands) und Tschechien (Czech Republic) erklärten ebenfalls, sie hätten Seiten abgeschaltet, um einen Sicherheitspatch einzuspielen. Das Nationale Institut für Volksgesundheit und Umwelt (National Institute for Public Health and the Environment) nahm seine Webseite vom Netz, und die Webseite der Tweede Kamer, des Unterhauses des niederländischen Parlaments, war nicht mehr erreichbar.^4,5

Die Folgen reichten über die Regierungen hinaus. Die Wikimedia Foundation, die Wikipedia betreibt, erklärte, sie arbeite an der Behebung der Schwachstellen. „Wir haben eine Reihe anderer Systeme als Vorsichtsmaßnahme vom Netz genommen, bis sie sicher gepatcht werden können“, hieß es dort. Einige Nutzer konnten am Mittwoch bestimmte Teile von Wikipedia nicht aufrufen. Auch die Webseite des Stadtrats von Edinburgh (Edinburgh council) war nicht erreichbar, ebenso die Online-Auftritte mehrerer BBC-Programme, darunter Doctor Who und The Traitors. Die BBC berichtete, dass keine der Einrichtungen einen Zusammenhang mit PHP bestätigt habe und dass um eine Stellungnahme gebeten worden sei. Die Kunstplattform DeviantArt erklärte, sie sei „vorübergehend wegen Wartungsarbeiten nicht erreichbar“, ohne einen Grund zu nennen.⁴

Die Schwachstellen wurden von Forschern der Sicherheitsfirmen Calif und Wiz entdeckt. Calif nahm zusammen mit der PHP Foundation an einem Programm von OpenAI namens Patch the Planet teil. Dieses verschaffte ihnen Zugang zu den fortschrittlichen KI-Werkzeugen des Unternehmens, um Fehler in Sprachen für die Webentwicklung zu finden und zu beheben. Al Jazeera berichtete, dass Calif zusammen mit OpenAI die erste Schwachstelle am 11. August gemeldet habe und dass Wiz, eine Sicherheitsfirma im Besitz von Alphabet, die zweite am 24. August gemeldet habe. OpenAI schrieb in einem Blogbeitrag, die Entdeckung sei „eines der folgenreichsten Sicherheitsprobleme seit Langem“. Die BBC berichtete, dass auch ein interner Forscher von OpenAI das Problem etwa zur selben Zeit wie die anderen Firmen gefunden habe.^4,5

Wiz erklärte, die Schwachstellen seien „die schwerwiegendsten Sicherheitslücken, die jemals durch KI entdeckt wurden“, und beschrieb die Rolle der KI-Werkzeuge in einem eigenen Blogbeitrag. „Frontier-Modelle waren entscheidend, um diesen Prozess praktikabel zu machen, denn sie ermöglichten es, funktionierende Exploits über mehrere Anwendungen hinweg innerhalb von Stunden zu entwickeln und anzupassen“, so das Unternehmen. Wiz sagte, die Funde „gehören zu den schwerwiegendsten Sicherheitslücken, die in PHP entdeckt wurden, und womöglich in der Geschichte der Software“. Die BBC berichtete, die Schwachstellen seien seit mehr als einem Jahrzehnt unentdeckt geblieben, während Al Jazeera schrieb, die zugrunde liegenden Schwächen bestünden seit Jahrzehnten.^4,5

Die Angaben zum Ausmaß des Problems unterschieden sich zwischen den Berichten. Die BBC berichtete, Wiz schätze, dass „etwa 70 Prozent“ des Internets betroffen seien, eine Zahl, die die BBC nach eigenen Angaben nicht überprüfen konnte. Al Jazeera schrieb, PHP werde von mehr als 70 Prozent der Webseiten genutzt. Keiner der beiden Berichte nannte eine unabhängige Zahl dazu, wie viele Seiten verwundbare Versionen der Software einsetzen.^4,5

Details zu den Schwachstellen seien am Dienstag in sozialen Netzwerken durchgesickert, berichtete die BBC, weshalb die PHP Foundation ihre Ankündigung der Schwachstellen und ihres Ausmaßes überstürzt veröffentlichen musste. Die Stiftung hatte geplant, ihre Ergebnisse später in diesem Monat zusammen mit einer vollständigen Korrektur zu veröffentlichen. Es ist nicht bekannt, dass alle Versionen betroffen sind. CERT-EU, das Notfallteam für Computersicherheit der Europäischen Union (European Union), erklärte, die Schwachstellen könnten alle Versionen von PHP bis zurück zu PHP 5 betreffen, die 2004 erschienen ist. Die PHP Foundation hat das Update nur für die neuesten Versionen herausgegeben, und Nutzer von PHP 8.1 oder älteren Versionen wurden aufgefordert, ein Upgrade durchzuführen.⁴

Sicherheitsforscher beschrieben das Risiko allgemeiner. Dane Knecht, technischer Leiter der Internet-Infrastrukturfirma Cloudflare, sagte, er sehe „erste Angriffe entstehen und passe die Schutzmaßnahmen an, sobald neue Angriffswege auftauchen“. CERT-EU erklärte, die Risikobewertungen der Schwachstellen „deuten auf das Potenzial für eine unauthentifizierte Remote-Code-Ausführung hin“. Don Smith von der Sophos Counter Threat Unit sagte der BBC, PHP werde „wahrscheinlich ein vorrangiges Ziel“ für Hacker sein, und ergänzte, die unmittelbare Herausforderung bestehe darin, jede Stelle zu finden, an der PHP läuft. „Die Nutzung von PHP ist weit verbreitet, es kann unter öffentlichen Webseiten, Content-Management-Systemen, Hosting-Plattformen und Drittanbieterprodukten liegen, manchmal ohne dass es der Organisation, die es nutzt, überhaupt auffällt“, sagte er.⁴

Das Weiße Haus (White House) erklärte, Bundesbehörden arbeiteten mit führenden KI-Laboren zusammen, um eine Korrektur zu beschleunigen. Die japanische Premierministerin Sanae Takaichi forderte die Menschen auf zu prüfen, ob ihre öffentlich zugänglichen Webseiten mit PHP laufen. Das Nationale Cyber-Sicherheitszentrum Großbritanniens (National Cyber Security Centre) forderte zusammen mit seinen Pendants in der EU und Australien (Australia) alle PHP-Nutzer auf, die Korrekturen einzuspielen. „Wo eine sofortige Behebung nicht machbar ist, sollten Organisationen erwägen, das System vom Netz zu nehmen, bis es vollständig entschärft werden kann“, hieß es in einer Mitteilung des NCSC.^4,5

Die PHP Foundation erklärte, KI-Werkzeuge würden solche Schwachstellen leichter auffindbar machen. Sie forderte Technologieunternehmen auf, eine koordinierte Reaktion zu organisieren, um größere Störungen bei Online-Diensten zu vermeiden. „Werkzeuge finden Fehler inzwischen schneller als je zuvor, für Verteidiger wie für Angreifer, und die Zahl der Meldungen wird weiter steigen“, hieß es in einer Stellungnahme der Stiftung.⁵