PHP-Lücke: Behörden schalteten Seiten ab

Wegen einer schweren Sicherheitslücke in der Programmiersprache PHP haben Regierungsbehörden und Unternehmen weltweit Internetseiten abgeschaltet. In Europa traf es unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Dänemark. PHP ist die Grundlage für einen Großteil des Internets, von einfachen Blogs über Nachrichtenportale und Onlineshops bis zu Content-Management-Systemen wie WordPress.

In Mainz nahm die Stadtverwaltung nach einer Warnung des Bundes vorsorglich mehrere Internetdienste und ihr zentrales Webportal vorübergehend vom Netz. Auch Potsdam, Halberstadt und die Berliner Universitätsklinik Charité schalteten ihre Seiten ab. In Hannover war das Verkehrsunternehmen Üstra betroffen, dort fielen nach Angaben des Unternehmens auch Fahrkartenkauf und Ticketanzeige in der App aus. Das Landesamt für Zentrale Polizeiliche Dienste NRW (LZPD NRW) schaltete am Mittwoch, 21. Oktober, mehrere Onlinedienste der Polizei vorübergehend ab, darunter die Onlineanzeige. In den Niederlanden waren unter anderem die Seiten des Nationalen Zentrums für Cybersicherheit und des Hafens von Rotterdam nicht erreichbar.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft das Risiko mit der Warnstufe 3 / Orange als außerordentlich hoch ein. Betreiber müssen demnach unverzüglich handeln, weil eine massive Beeinträchtigung des Regelbetriebs droht. Über die Lücke könnten Angreifer die Kontrolle über eine Website übernehmen, sensible Kundendaten abgreifen oder die Infrastruktur für weitere Cyberangriffe missbrauchen.

Auslöser der Abschaltungen war ein Leck: Details zur Lücke tauchten am Dienstag, 20. Oktober, im Netz auf, einen Tag vor der geplanten Veröffentlichung des Updates. Am Nachmittag des Mittwochs, 21. Oktober, veröffentlichten die Entwickler des PHP-Projekts neue Versionen, die die Lücken schließen.