Heute haben wir Kapitän SPHParrow nicht gefangen genommen!

Was ist geschehen?

PHP ist eine der ältesten Programmiersprachen im Internet. Sie wurde im 20. Jahrhundert geschaffen und ist immer noch sehr beliebt. Daher wurde und wird sie weiterhin in unzählige Websites und Anwendungen integriert. Nach wie vor greifen viele Entwickler darauf zurück, um in anderen Sprachen geschriebenen Code zu ergänzen. Auch der PHP-Quellcode wird weiterhin wiederverwendet.

Am 21. Oktober wurde die Sicherheitslücke „PHP2Shell“ öffentlich bekannt gegeben. In Wirklichkeit ist dies unerwartet durchgesickert. Die technischen Details sind hier und hier nachzulesen. Durch diese zwei mithilfe künstlicher Intelligenz entdeckten Sicherheitslücken können Angreifer, die Kontrolle über Websites übernehmen, die PHP oder auf PHP-basierende Webanwendungen wie u.a. Drupal, Joomla, MediaWiki, WordPress nutzen. Hat ein Angreifer erst einmal die Kontrolle erlangt, kann er Daten stehlen, persönliche und finanzielle Informationen (einschließlich Zahlungsdaten) sammeln, die Plattform für weitere Angriffe nutzen, Malware verbreiten oder einfach das Erscheinungsbild der Website verändern, um deren Ruf zu schädigen.

Die Bekanntgabe der Sicherheitslücke löste weltweit dringende Aktivitäten zum Schutz der betroffenen Dienste aus. Während böswillige Akteure die Gelegenheit ausnutzten, um anfällige Server ausfindig zu machen und anzugreifen, veröffentlichten die Behörden gemeinsame Mitteilungen, um Unternehmen, öffentliche Einrichtungen, Regierungen und Bürger auf PHP2shell aufmerksam zu machen. In den Medien und sozialen Netzwerken wimmelte es von Artikeln, Beiträgen, Meinungen und technischen Analysen. Viele CISOs (das verspreche ich!) ließen alles stehen und liegen und machten sich an die Lösung des Problems. Zu diesem Zeitpunkt gab es nur eine einzige technische Lösung für PHPv8: die neueste Version. Daher mussten viele Websites einfach ihren Betrieb einstellen und auf eine geeignete technische Lösung warten. 

Alles in allem viel Trubel, viele Diskussionen und vor allem deutliche Auswirkungen auf das Geschäft.

Die schlechten Nachrichten zu PHP2shell

Und das war die offensichtlichste Folge des Vorfalls: seine Auswirkungen auf das Geschäft

Im besten Fall dauerte es bei den anfälligen Websites und Unternehmensdiensten einige Stunden, bis die Updates installiert und die Patches angewendet waren, sodass sie ihren Betrieb mittlerweile mit minimalen Auswirkungen wieder aufgenommen haben. Zahlreiche Webseiten sind aber nach wie vor nicht erreichbar. Bei einigen wird es Wochen dauern, bis sich die Lage wieder normalisiert hat, da sie möglicherweise die PHP-abhängige Software neu programmieren oder tiefgreifendere Änderungen vornehmen müssen. Durch die vorsorgliche Abschaltung von Websites wurden die Aktivitäten vieler Nutzer beeinträchtigt. Das bedeutet ebenso, dass gängige Webdienste nicht verfügbar sind, Transaktionen verzögert oder gar nicht erfolgen können, interne Prozesse nicht funktionieren und manch einer vielleicht wieder auf Papier umgestiegen sind.

Es gibt auch einen weniger greifbaren Kostenfaktor: das Vertrauen. Wenn die üblichen IT-Dienste aufgrund technischer Störungen ausfallen, ist es verständlich, dass wir uns fragen, inwieweit wir digitalen Diensten und Infrastrukturen überhaupt vertrauen können. Und dass jemand Vorbehalte gegenüber Diensten hat, die diese Technologien nutzen. Dabei kann man es niemandem übel nehmen, misstrauisch zu sein, wenn es Gründe dafür gibt, zu denken: „Das sieht zwar gut aus, kann aber jeden Moment zusammenbrechen.“

Natürlich dürfen wir auch die Websites nicht vergessen, die erfolgreich angegriffen wurden. Zwar gibt es Berichte über erfolgreiche PHP2shell-Angriffe, diese sind aber nicht öffentlich und kein Unternehmen hat bekannt gegeben, dass es Opfer eines „PHP2shell“-Angriffs geworden ist. Diesen Unternehmen wünschen wir in jedem Fall viel Glück. Und wir bieten allen, die sich in dieser Situation befinden, unsere Hilfe an.

Die guten Nachrichten

Schließlich möchte ich es nicht bei den negativen Aspekten bewenden lassen. In diesem Schlamassel kann ich zumindest drei positive Aspekte ausmachen: 

Erstens kennen wir nun einen schwerwiegenden Mangel und wissen, wie wir ihn beheben können. Die zugrunde liegende Gefahr bestand bereits, bevor die Nachricht bekannt wurde; wenn man sie frühzeitig entdeckt, kann man Maßnahmen ergreifen, bevor Angreifer sie ausnutzen können. Auch wenn es sich um Notfall-Patches handelt, bieten sie uns eine Lösung für die kompatiblen PHP-Versionen. Unternehmen können nun einen konkreten Aktionsplan umsetzen und müssen sich nicht mit einem unerklärlichen Fehler herumschlagen, den sie nicht beheben können. Wir können also mit dieser Arbeit beginnen, bevor die Lage noch schlechter wird.

Zweitens haben die Sicherheitsforscher zur Erkennung dieser Sicherheitslücke Künstliche Intelligenz eingesetzt. Somit hat sich KI als nützliches Instrument für defensive Maßnahmen erwiesen, da sie Schwachstellen aufdeckt, die mit herkömmlichen Methoden nur schwer zu erkennen sind. Das bedeutet jedoch nicht, dass KI oder ihre Ergebnisse universell zuverlässig oder vorhersehbar sind; wir brauchen nach wie vor erfahrene Forscher, um die Ergebnisse zu bewerten und zu überprüfen, sowie einen gut etablierten Kommunikationsprozess, der sicherstellt, dass „die Guten“ sowohl das Problem als auch die Lösung kennen, bevor „die Bösen“ davon erfahren. Deutlich wurde jedoch, warum eine sorgfältig überwachte KI die Sicherheit erhöhen kann: Damit können wir unsere Software (erneut) überprüfen. Und Probleme, die zuvor unterschätzt wurden, können zu Erkenntnissen führen, auf deren Grundlage Maßnahmen ergriffen und Probleme gelöst werden können.

Drittens sehen sich Sicherheitsexperten seit langem mit einem immer wieder auftretenden Problem konfrontiert: Sie identifizieren Risiken, melden diese ihren Vorgesetzten, haben dann aber Schwierigkeiten, die erforderliche Aufmerksamkeit und die notwendigen Ressourcen zu erhalten, um diese Risiken anzugehen. Viele Führungskräfte sind beim Stand der Cybersicherheit in ihrem Unternehmen gewöhnlich nicht auf dem Laufenden. Bei PHP2shell trat jedoch ein anderes Szenario in Erscheinung. Es waren die Führungskräfte, die dringend Lösungen forderten und deren Umsetzung überwachten. Selbst wenn diese Anforderungen überzogen waren oder unrealistische Fristen vorsahen, war dieses Maß an Engagement eine erfreuliche Überraschung. Dies mag zwar auf die große öffentliche Resonanz zurückzuführen sein, die der Vorfall ausgelöst hatte, war aber auch ein Ziel, das Fachleute für Cybersicherheit schon seit langem verfolgen: die aktive Beteiligung und Unterstützung der Unternehmensleitung sowie die erforderlichen Befugnisse, Ressourcen und Zeit, um die Dienste wirksam zu schützen.

Wie geht es jetzt weiter?

Dieser PHP2Shell-Vorfall wird wahrscheinlich nicht der letzte sein.

Wir Cybersicherheitsexperten hoffen, dass Schwachstellen untersuchende KI-Systeme wie  Mythos bald neue Schwachstellen in anderen weit verbreiteten Technologien aufdecken werden.

Wir hegen den Verdacht, dass unsere derzeitige Strategie zum Schwachstellenmanagement und zur Patch-Verwaltung einem plötzlichen Anstieg der Anzahl entdeckter Probleme nicht gewachsen ist. Und wir müssen uns in Richtung flexiblerer Reaktionsstrategien entwickeln, die an das Tempo der künstlichen Intelligenz angepasst sind.

Wir werden es stets vorziehen, unsere Vorsorge zu verbessern, indem wir mögliche Schwachstellen untersuchen und geplante, autonome Reaktionsmaßnahmen auf Vorfälle entwickeln, anstatt kritische Schwachstellen erst durch einen Angriff zu bemerken und dann keine umsetzbare Lösung zu haben. Und wir werden Pläne zur digitalen Resilienz und Geschäftskontinuität bereithalten, die sofort aktiviert werden können.

Fachliche Unterstützung ist bei Cybersicherheit und digitaler Resilienz nunmehr unabdingbar. Das muss uns gelingen, damit wir nicht zu spät kommen.

Author: Mariano Benito