Der PHP-Notfall zeigt: Patchen im menschlichen Tempo reicht nicht mehr aus

Was sagt es über den Zustand der Internetsicherheit aus, wenn der verantwortungsvolle Schritt darin besteht, die eigene Website abzuschalten? Genau das empfahlen Behörden weltweit in dieser Woche, und viele Organisationen folgten dem Rat.

Die Woche, in der Abschalten der sichere Weg war

Zwei kritische Schwachstellen in PHP, der Sprache hinter einem riesigen Teil des Webs, wurden mit KI-Werkzeugen gefunden. Laut BBC veröffentlichte die PHP Foundation am Mittwoch einen Fix. Behörden wie das britische NCSC erklärten, Organisationen, die nicht sofort reagieren könnten, sollten erwägen, Systeme vom Netz zu nehmen. Finnland schaltete vorübergehend seine öffentlichen Webdienste der Regierung ab, die niederländische Cyberbehörde nahm ihre eigene Seite vom Netz, und Teile von Wikipedia waren nicht erreichbar. Die NSA warnte, dass solche Fehler häufig einen direkten Zugriff auf das Dateisystem oder die Datenbank eines Servers ermöglichen.

Die Lücken waren mehr als ein Jahrzehnt unentdeckt geblieben. Details gelangten vor der geplanten Offenlegung in sozialen Medien an die Öffentlichkeit, was eine überhastete Bekanntgabe erzwang. Der CTO von Cloudflare sagte, er sehe bereits erste Angriffe.

Nicht der Fehler ist die Geschichte, sondern die Uhr

Alte, tief liegende Fehler gibt es in jeder großen Codebasis. Neu ist, wer sie findet und wie schnell. Wiz erklärte, Frontier-Modelle erlaubten es seinen Forschern, in Stunden funktionierende Exploits für mehrere Anwendungen zu entwickeln. OpenAI, nach eigenen Angaben mit seinen Werkzeugen an der Entdeckung der Lücken beteiligt, schrieb, dieselben Fähigkeiten könnten „auch Angreifern helfen, schnell offensive Werkzeuge und Exploits zu entwickeln“.

Vergleichen wir das mit der Seite der Verteidiger. The Record berichtet, dass einer der Fehler auf ein Audit aus dem Jahr 2024 zurückgeht und dann monatelang liegen blieb, weil ein kleines Team von Kernentwicklern mit Abwägungen zur Kompatibilität rang. Wir machen ihnen keinen Vorwurf. Ihre Überlegungen wirken vernünftig für eine Welt, in der niemand den Fehler schnell ausnutzen konnte. Diese Welt gibt es nicht mehr.

Unseres Erachtens liegt hier das Kernproblem: Das Finden dauert heute Wochen oder Stunden, während konsensgetriebenes Beheben, Paketieren und anschließendes Ausrollen bei Tausenden Organisationen Monate braucht. Wer in dieser Lücke steckt, ist angreifbar.

Abschalten ist ein Symptom, keine Strategie

Eine Seite vom Netz zu nehmen wirkt, und wir halten es für richtig, dass die Behörden das sagten. Aber es ist eine Notbremse, kein Plan. Don Smith von Sophos benannte das eigentliche Problem: Vor dem Patchen müsse man jede Stelle finden, an der PHP läuft, auch in Content-Management-Systemen, Hosting-Plattformen und Produkten Dritter, mitunter ohne dass die Organisation davon weiß.

Das ist ein Inventarproblem, und es lässt sich nicht an dem Tag lösen, an dem die Warnung erscheint. Wir vermuten, dass Organisationen, die wussten, was sie betreiben, in Stunden patchen oder isolieren konnten, während die anderen raten mussten, und Raten endet im Blackout.

Hinzu kommt eine schwierigere Gruppe: Altsysteme. The Record zufolge decken die Patches nur PHP 8.2 und neuer ab und verweist auf Schätzungen von Cisco Talos, wonach etwa 50 % der verwundbaren PHP-Systeme möglicherweise keinen Patch erhalten. Diese Betreiber können sich bei einer nicht mehr unterstützten Version nicht herausautomatisieren. Für sie schließt sich das Zeitfenster nie, es bleibt einfach offen. Das ist der unterschätzte Teil dieser Geschichte.

Verteidiger sollten Inventar und Tempo als Kontrollen behandeln

Erstens: Inventarisierung als Sicherheitsmaßnahme begreifen. Jede PHP-Instanz kennen, auch die von Herstellern mitgelieferten, und Lieferanten direkt fragen.

Zweitens: den langweiligen Teil automatisieren, also gestaffelte Rollouts, getestete Rollbacks und vorab genehmigte Notfallwege, damit ein kritisches Update nicht auf ein Gremium wartet. Maintainer brauchen dasselbe; die PHP Foundation erklärt, sie ändere ihre interne Struktur, damit schwerwiegende Fehler schneller die Leitung erreichen.

Drittens: nicht unterstützte Versionen vor der nächsten Warnung abschalten, nicht währenddessen.

Es gibt ein berechtigtes Gegenargument. OpenAI weist darauf hin, dass nach eigenem Kenntnisstand Frontier-KI diese Lücken vor den Angreifern gefunden hat, was Verteidigern einen Vorsprung verschafft, und hat 1 Milliarde Dollar an subventioniertem Zugang für Organisationen mit begrenzten Sicherheitsressourcen zugesagt. Das ist ermutigend, wenn auch die eigene Darstellung des Unternehmens, und das Leak sowie die frühen Angriffe zeigen, wie schnell ein Vorsprung verfliegt. Der CEO von Chainguard sagte, die Branche müsse „herausfinden, wie wir schneller, koordinierter und besser damit umgehen“, und wir stimmen zu. OpenAI erwartet zudem, dass ähnliche Funde in den kommenden Monaten stark zunehmen. Man sollte das als Prognose nehmen, aber als plausible.

Das Fazit: Diese Woche war eine Probe. Organisationen, die in Stunden patchen können, werden den nächsten Fall wie einen gewöhnlichen Dienstag behandeln. Alle anderen proben den Blackout erneut.