Die Maßnahme ist vorsorglich und nicht die Folge eines Angriffs, aber für die Nutzer bleibt der Effekt derselbe: Unzählige Webseiten sind aktuell weltweit vom Netz gegangen, seit eine Sicherheitslücke bei PHP bekannt wurde.
PHP ist eine Programmiersprache, die bei Anfragen an eine Webseite gewünschte Inhalte aus den Datenbanken holt, in denen sie abgelegt sind, und daraus zusammen mit den Vorgaben für die Seiten den HTML-Code erstellt, als der sie durch die Welt geschickt werden. Ihre Funktion ist vor allem, auf den Servern, auf denen alle Daten gespeichert sind, die Abläufe zu beschleunigen. PHP wurde im Jahr 1994 entwickelt, ein Jahr später wurde der Quellcode veröffentlicht. Es war ursprünglich eine Sammlung von in C programmierten Werkzeugen, die für die private Nutzung vorgesehen waren und ausgeschrieben anfänglich "Personal Home Page Tools" hießen, Werkzeuge für die persönliche Homepage.
Da PHP als Open-Source-Software entstand, ist die Entwicklung offen; jeder darf es nutzen und verändern. Die Finanzierung der Weiterentwicklung läuft über eine 2021 gegründete Stiftung, an die einige der größeren Nutzer spenden – unter anderem Automattic, die maßgebliche Firma hinter WordPress. PHP findet sich in vielen Systemen, die Inhalte auf Webseiten verwalten (sogenannte CMS, Content-Management-Systeme); aber da PHP auf den Servern "wohnt", haben die meisten Benutzer des Internets keinen unmittelbaren Kontakt damit.
Im August wurde die Sicherheitslücke, die heute bekannt wurde, von zwei IT‑Sicherheitsunternehmen entdeckt. Seitdem waren die Entwickler bei der Stiftung damit beschäftigt, einen Patch (also einen "Flicken") für diesen Fehler zu erarbeiten, der immerhin schon in Versionen von PHP zu finden ist, die über 20 Jahre alt sind.
Eines der Probleme, die sich in diesem Zusammenhang zeigen, ist, dass das Internet und viele große Rechner nicht aus einem Guss sind, sondern sich aus vielen verschiedenen Schichten zusammensetzen. PHP kann sich an vielen Stellen verbergen, und nicht alle, auf deren Rechnern es läuft, dürften es wissen, auch weil der Idealzustand für viele darin besteht, von den technischen Abläufen im Hintergrund möglichst nichts wissen zu müssen; ein Verlangen, dem einfache Webseitensysteme wie WordPress entgegenkommen. Durch solche Vorfälle wird plötzlich sichtbar, was sich hinter dieser Oberfläche verbirgt.
Das zweite Problem ist, dass in dem Moment, in dem eine Schwachstelle bekannt wird, auch die Wahrscheinlichkeit extrem steigt, dass eben diese Schwachstelle genutzt wird. Die Lücke, die bei PHP entdeckt wurde, erlaubt es unter Umständen, die Kontrolle über den Server zu übernehmen, auf dem die Webseite läuft, und sich bei den vorhandenen Daten zu bedienen – was sehr sensible Daten sein können, wenn man sich nur einmal eine Verkaufsseite vorstellt, die persönliche Kunden- und Bezahlinformationen verarbeitet.
Dabei wird der Zugriff durch eine gezielte Manipulation der Speicherverwaltung ermöglicht; ein rein manueller Angriff ist also eher unwahrscheinlich, da es Hunderte exakt getimte Anläufe braucht, bis das System die Orientierung verliert. Allerdings sind solche Angriffe mit entsprechenden Bots oder gar KI-Agenten mittlerweile deutlich einfacher.
In dem Moment, in dem der Patch installiert wird, ist die Lücke geschlossen. Aber das ist nicht überall sofort möglich. Das Ergebnis war, dass unzählige Webseiten vorsichtshalber vom Netz gegangen sind und erst nach Installation dieses "Flickens" wieder online sein werden. Das betrifft europaweit Webseiten von Regierungen und Ministerien, Kliniken und Universitäten, Firmen und Vereinen.
Allein WordPress ist die Grundlage für 41 Prozent aller Webseiten im Internet. Aber auch Joomla!, Drupal, TYPO3, Contao und große Systeme für Onlineshops wie Magento und Shopware basieren auf PHP und sind daher mit betroffen.
Nachdem die Information über die Lücke bereits am Dienstag durchgesickert war, wurde am Mittwochnachmittag das Update veröffentlicht, das das Problem lösen soll. Man kann also davon ausgehen, dass im Laufe des Donnerstags die meisten jetzt abgeschalteten Seiten wieder in Betrieb gehen. Allerdings – das offizielle Update ist nur für die aktuelleren Versionen (PHP 8.2 bis 8.5); für ältere Versionen existiert keine fertige Lösung.
Schon jetzt gilt die PHP-Lücke als der schwerste Sicherheitsvorfall in der IT seit Log4Shell im Jahr 2021. Damals dauerte es trotz vorhandener Updates Wochen bis Monate, bis tatsächlich der Großteil der Probleme beseitigt war. Dabei handelte es sich um eine Sicherheitslücke in einer weit verbreiteten Protokoll-Bibliothek für die Programmiersprache Java, die ebenfalls sehr populär ist und unterhalb der Wahrnehmung vieler Nutzer läuft. Allerdings ist heute, im Zeitalter von KI-Agenten, das Risiko, das von nicht aufgedeckten, nicht aktualisierten Versionen ausgeht, weitaus höher, als das im Jahr 2021 der Fall war.
Mehr zum Thema – Deutsche Polizei kauft illegale Daten