PHP Foundation erkennt strukturelle Schwäche bei der Behebung von Sicherheitsanfälligkeiten

Die PHP Foundation erkannte ein 'strukturelles Versagen' an: Die Behebung einer kritischen Schwachstelle, die erstmals 2024 bemerkt wurde, verzögerte sich aufgrund von Unentschlossenheit und fehlenden Ressourcen. Zwei damit zusammenhängende kritische Schwachstellen ermöglichten es nicht authentifizierten Angreifern, Code auf betroffenen Servern auszuführen – Notfall-Patches wurden am Mittwoch veröffentlicht.

„Wir werden nichts anderes vortäuschen: Die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch fehlende Ressourcen“, heißt es im Blog der Foundation. Entwickler konnten nicht schnell eine Lösung vorschlagen, ohne das umfangreiche PHP-Software-Ökosystem zu stören; das kleine Team mit tiefem Wissen über die Engine war unterbesetzt, und es gab keinen bekannten Weg zur Remote-Code-Ausführung.

Die Foundation wurde am 11. August erneut auf die Schwachstelle aufmerksam gemacht: Calif und OpenAI meldeten unabhängig voneinander dasselbe Problem, wobei Calif eine bedingungslose Remote-Code-Ausführung demonstrierte. Dies machte das Problem zu einer Priorität.

Am Mittwoch gingen Regierungswebsites und -dienste weltweit während der Patch-Installationen offline. Die Niederlande deaktivierten ihren digitalen Identifikationsdienst und die Website des nationalen Cyber-Sicherheitszentrums, Finnlands Valtori nahm öffentliche Regierungswebdienste offline, das französische Innenministerium deaktivierte Präfekturseiten, und Deutschlands ITZBund nahm laut Reuters mehrere Seiten offline. Die Australian Signals Directorate (ASD) bestätigte, dass ihre Cyber-Gov-Au-Website betroffen war. Japans Premierministerin Sanae Takaichi forderte Betreiber auf, den Patch so schnell wie möglich zu installieren und wies darauf hin, dass das vorübergehende Deaktivieren von Funktionen das Risiko verringert.

Die Wikimedia Foundation deaktivierte vorübergehend Toolforge und Cloud VPS – Hosting für freiwillige Tools und Projekte, was am Mittwoch zu einer teilweisen Nichtverfügbarkeit von Wikipedia führte. Die Cardano-Organisation Intersect deaktivierte den Mitgliederbereich, während sie Risiken bewertete.

Das Blockchain-Sicherheitsunternehmen SlowMist untersuchte 1.488 Domains und fand 793 mit direkten PHP-Spuren; es forderte Börsen, DeFi-Plattformen und Wallet-Anbieter auf, ihre Exposition zu überprüfen und zu aktualisieren.

Jeff Lunglhofer, Chief Security Officer von Coinbase, erklärte, dass im Unternehmen keine anfälligen PHP-Instanzen gefunden wurden und fügte hinzu, dass bei solchen Berichten das Unternehmen eine vollständige Untersuchung durchführt und mit Drittanbietern zusammenarbeitet. BitGo berichtete ebenfalls, dass die Plattform nicht betroffen war. Binance-Mitbegründer Changpeng Zhao riet zu „besonderer Vorsicht“ beim Besuch von Websites in den kommenden Tagen. OpenAI veröffentlichte ein Tool auf GitHub, Codex, um Betreibern zu helfen, anfällige PHP-Versionen zu überprüfen.

Das PHP-Sicherheitsteam berichtete, dass zum Zeitpunkt der öffentlichen Bekanntgabe keine funktionalen Exploits identifiziert wurden.