SymbolbildWebsites weltweit offline, PHP veröffentlicht Fixes für kritische Lücken
Zwei kritische Sicherheitslücken in PHP, das von bis zu 70 Prozent der Websites genutzt wird, veranlassten am Mittwoch Behörden und Unternehmen, Seiten abzuschalten. Die Entwickler veröffentlichten am Nachmittag Korrekturen.
Am Mittwoch, 21. Oktober, nahmen Regierungen in Deutschland, Frankreich, den Niederlanden, Belgien und Finnland Seiten vom Netz, darunter das Bundesinnenministerium und der niederländische Login-Dienst DigiD; die Wikimedia-Stiftung schaltete mehrere Systeme ab. Die US-Behörde NSA, das deutsche BSI und das britische NCSC hatten geraten, sofort zu aktualisieren oder die Seiten abzuschalten. Die PHP-Entwickler stellten kurz vor 16 Uhr deutscher Zeit Korrekturen bereit; Technikfirmen warnten, einige Hacker nutzten die Lücken bereits aus.
Mit KI gefunden
Wiz erklärt, die Lücken mit einem KI-Forschungswerkzeug und Modellen von Google und OpenAI gefunden zu haben; Calif sagt, ein Sprachmodell habe ihm am 1. August geholfen. OpenAI behauptet, entscheidend sei Spitzen-KI gewesen, die Entdeckerin oder der Entdecker sagt dagegen, öffentlich verfügbare Modelle genutzt zu haben (Guardian). Laut Le Monde, das sich auf das Wall Street Journal beruft, war der Fix für Donnerstag, den 22. Oktober, geplant, bis ein Beitrag auf Hacker News eine frühere Veröffentlichung erzwang.
Wettlauf um die Ausnutzung
Experten erwarten eine Welle von Einbrüchen, da der Fix öffentlich ist und KI ihn per Reverse Engineering nachvollziehen kann. Costin Raiu von TLP:Black sagt eine Massenkompromittierung verwundbarer Server voraus; Alan Woodward von der University of Surrey rechnet mit Wochen oder Monaten von Angriffen auf schlecht gewartete Seiten.