Das BSI warnt vor kritischen Schwachstellen in PHP. Weiteren Berichten zufolge sind zahlreiche Websites gefährdet. Ismael Valenzuela, VP of Threat Intelligence Research, und Justin Moore, Director of Adversary Research bei Arctic Wolf, erläutern ihre Einschätzung zum Risikofaktor der PHP-Schwachstellen und sprechen Empfehlungen für Unternehmen aus, was diese tun können, um sich zu schützen.
Justin Moore, Director of Adversary Operations bei Arctic Wolf: „Diese Schwachstellen sind besonders kritisch, da sie sich direkt in der PHP-Laufzeitumgebung befinden, also unterhalb von Anwendungen wie WordPress, Woocommerce, Magento, Drupal und anderen weit verbreiteten Webplattformen. Eine manipulierte Webanfrage kann eine unsichere Speicherverarbeitung auslösen, noch bevor die anwendungseigenen Authentifizierungs- oder Sicherheitsmechanismen reagieren können. Dadurch könnten Angreifer ohne vorherige Authentifizierung Code mit den Berechtigungen des Webservers ausführen.
Die potenzielle Reichweite ist enorm: Laut W3Techs kommt PHP auf rund 69 Prozent aller Websites zum Einsatz, bei denen die serverseitige Programmiersprache bekannt ist. Allein Woocommerce wird von etwa 7,8 Prozent aller Websites und 47 Prozent der von W3Techs erfassten E-Commerce-Systeme genutzt. Damit geht das Risiko weit über einzelne Websites hinaus. Vielmehr handelt es sich um eine potenziell erhebliche Bedrohung für Unternehmen, den Einzelhandel und die Internetinfrastruktur, die eine umgehende Installation von Sicherheitsupdates und eine sorgfältige Untersuchung erfordert.“
Ismael Valenzuela, Vice President, Labs, Threat Research and Intelligence bei Arctic Wolf: „Eine der wichtigsten Erkenntnisse aus PHP2Shell ist, dass KI unsere Vorstellung davon verändert, welche Schwachstellen sich tatsächlich ausnutzen lassen. Einige dieser Schwachstellen existierten bereits seit mehr als einem Jahrzehnt. Verändert hat sich nicht der zugrunde liegende Code, sondern die Fähigkeit, diese Schwachstellen aufzuspüren und daraus funktionsfähige Exploits zu entwickeln.
Die potenziellen Auswirkungen sind enorm. PHP kommt auf rund 70 Prozent aller Websites zum Einsatz, bei denen die serverseitige Programmiersprache bekannt ist. Damit ist ein erheblicher Teil der geschäftlichen und kommerziellen Infrastruktur des Internets potenziell gefährdet, was sofortiges Handeln erfordert. Das bedeutet zwar nicht, dass all diese Websites tatsächlich betroffen oder angreifbar sind. Es verdeutlicht jedoch, wie weit verbreitet diese Technologie ist und warum Unternehmen schnellstmöglich prüfen müssen, inwieweit ihre Systeme betroffen sind.
KI macht anspruchsvolle Sicherheitsforschung für einen größeren Personenkreis zugänglich. Das ist eine gute Nachricht für die Verteidigerseite. Allerdings müssen wir davon ausgehen, dass auch Angreifer von diesen Möglichkeiten profitieren werden. Wir müssen uns von der Vorstellung verabschieden, dass Schwachstellenmanagement lediglich darin besteht, eine Sicherheitslücke zu identifizieren, ihren Schweregrad zu bewerten und auf einen Patch zu warten. Entscheidend ist vielmehr, wie schnell wir erkennen können, welche Systeme betroffen sind, wie hoch das damit verbundene Risiko ist und wie sich verhindern lässt, dass die Kompromittierung eines einzelnen Systems zu einem weitaus größeren Sicherheitsvorfall führt.
Während sich derzeit die Aufmerksamkeit auf PHP2Shell richtet, wäre es ein Fehler, einen weiteren alarmierenden Sicherheitsvorfall zu übersehen: den jüngsten Vorfall bei einer Zertifizierungsstelle, bei dem einer der privaten Schlüssel tatsächlich nur aus der Zahl „4“ bestand. Dabei sprechen wir von einer Infrastruktur, die für die Herstellung von Vertrauen im gesamten Internet verantwortlich ist. Gelingt es Angreifern, den privaten Schlüssel einer Zertifizierungsstelle zu erlangen oder zu reproduzieren, könnten sie gefälschte Zertifikate ausstellen, sich als vertrauenswürdige Websites oder Dienste ausgeben und unter bestimmten Umständen verschlüsselten Datenverkehr abfangen. Selbst wenn die Möglichkeiten zur Ausnutzung begrenzt sind, wirft dies ernsthafte Fragen darüber auf, welchen Systemen und Verbindungen weiterhin vertraut werden kann.
Im nächsten Schritt müssen Sicherheitsverantwortliche sämtliche Abhängigkeiten von der betroffenen Zertifizierungsstelle identifizieren, eine Bestandsaufnahme der Zertifikate und Vertrauensspeicher durchführen und prüfen, ob ausgestellte Zertifikate für kritische Dienste verwendet werden. Zudem müssen sie darauf vorbereitet sein, diese Zertifikate bei Bedarf zu widerrufen und zu ersetzen. Wir müssen die Vertrauenswürdigkeit der Dienste und Systeme, auf die wir uns verlassen, kontinuierlich überprüfen und sicherstellen, dass unsere Sicherheitsmaßnahmen auch dann wirksam bleiben, wenn dieses Vertrauen erschüttert wird.“
#Arctic Wolf
