CyberVeröffentlicht am
Angreifer nutzen die php2shell genannten Sicherheitslücken in PHP aktiv aus. Die US-Behörde CISA hat sie in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Über die Lücken lässt sich Schadcode einschleusen und ausführen. Die PHP-Entwickler hatten in der Woche des 19. Oktobers dringende Updates veröffentlicht. Nach Messungen des Schwachstellenscanners Censys meldeten sich am Morgen des 27. Oktobers in Deutschland noch mehr als vier Millionen Dienste mit der Versionsnummer einer verwundbaren PHP-Ausgabe. Am Freitag davor waren es rund 4,2 Millionen. Für Banken und Versicherer ergibt sich eine klare Reihenfolge: Erstens ein Inventar aller PHP-Installationen erstellen, einschließlich der Webseiten und Portale von Dienstleistern. Zweitens die installierte Version mit den Hinweisen der PHP Foundation abgleichen und die Updates einspielen. Drittens die Protokolle der betroffenen Systeme auf Abstürze von Worker-Prozessen und auf ungewöhnliche Speicherauslastung prüfen, denn solche Muster beobachtete ein Betreiber von Honeypots in den ersten Stunden nach der Veröffentlichung. Umgesetzt ist die Maßnahme, wenn das Inventar keine PHP-Instanz mit offenem Stand mehr enthält und jeder Dienstleister seinen Stand schriftlich bestätigt hat. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank fehlen beim Patchen meist die Randsysteme wie Vermittlerportale und Kampagnenseiten.