Zwei kritische PHP-Schwachstellen erhöhen aktuell den Handlungsdruck auf Unternehmen. Nach Angaben von TrendAI können die Lücken unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen. Besonders problematisch: Details zu den Schwachstellen waren bereits vor Veröffentlichung der Sicherheitsupdates öffentlich bekannt. Damit steigt das Risiko, dass Angreifer verwundbare Systeme gezielt ins Visier nehmen.
Für IT-Verantwortliche bedeutet das vor allem eines: öffentlich erreichbare PHP-Installationen sollten kurzfristig aktualisiert und anschließend darauf geprüft werden, ob die gepatchte Laufzeitumgebung tatsächlich aktiv ist. Gleichzeitig empfiehlt sich eine Untersuchung auf mögliche Kompromittierungen – insbesondere dann, wenn Systeme über das Internet erreichbar waren.
Internet-exponierte PHP-Systeme zuerst absichern
Die höchste Priorität haben PHP-Systeme, die unmittelbar aus dem Internet erreichbar sind. Ein eingespieltes Update allein reicht dabei nicht aus. Entscheidend ist, dass die produktiv genutzte PHP-Version tatsächlich auf dem korrigierten Stand läuft. Gerade bei komplexen Hosting- oder Serverumgebungen können mehrere PHP-Versionen parallel installiert sein oder Anwendungen weiterhin auf einer älteren Runtime arbeiten.
TrendAI empfiehlt deshalb, nach dem Patchen nicht nur den Installationsstatus, sondern auch die tatsächlich verwendete Laufzeitumgebung zu kontrollieren. Ergänzend sollten Logs und Systeme auf Auffälligkeiten untersucht werden, weil Informationen über die Schwachstellen bereits vor dem Patch verfügbar waren.
Auch interne Systeme bleiben ein Risiko
Richard Werner, Security Advisor bei TrendAI, warnt davor, die Betrachtung ausschließlich auf öffentlich erreichbare Systeme zu beschränken. Schwachstellen in internen PHP-Anwendungen können ebenfalls relevant werden, sobald ein Angreifer bereits Zugang zum Unternehmensnetzwerk erlangt hat – beispielsweise über Phishing, kompromittierte Zugangsdaten oder ein anderes Einfallstor.
Von dort aus können sich Angreifer lateral durch das Netzwerk bewegen und bislang nicht exponierte Systeme erreichen. Gerade intern betriebene Anwendungen werden häufig seltener aktualisiert als öffentlich sichtbare Systeme. Dadurch können bekannte Sicherheitslücken über längere Zeit bestehen bleiben.
Virtual Patching kann Zeit verschaffen
Wenn reguläre Sicherheitsupdates nicht sofort eingespielt werden können, kann sogenanntes Virtual Patching die Angriffsfläche vorübergehend reduzieren. Dabei werden Angriffsversuche auf bekannte Schwachstellen beispielsweise über Sicherheitsregeln in vorgeschalteten Schutzsystemen blockiert.
Das Verfahren ersetzt jedoch nicht das eigentliche Sicherheitsupdate. Es ist vielmehr als temporäre Schutzmaßnahme zu verstehen, bis die betroffene Anwendung oder Laufzeitumgebung regulär aktualisiert werden kann. Unternehmen sollten solche Übergangslösungen deshalb dokumentieren und sicherstellen, dass der endgültige Patch nicht aus dem Blick gerät.
Fünf Maßnahmen haben jetzt Priorität
- Öffentlich erreichbare PHP-Installationen aktualisieren: Verwundbare Systeme sollten so schnell wie möglich auf einen korrigierten Stand gebracht werden.
- Aktive PHP-Version verifizieren: Nach dem Update muss geprüft werden, ob die gepatchte Runtime tatsächlich produktiv verwendet wird.
- Auf Kompromittierungen prüfen: Wegen der vorzeitig veröffentlichten Schwachstelleninformationen sollten exponierte Systeme auf verdächtige Aktivitäten untersucht werden.
- Interne Systeme einbeziehen: Auch nicht direkt aus dem Internet erreichbare PHP-Anwendungen können nach einem erfolgreichen Netzeinbruch ausgenutzt werden.
- Übergangsmaßnahmen überwachen: Virtual Patching und andere kompensierende Kontrollen sollten nur als temporäre Absicherung dienen und kontinuierlich überwacht werden.
Cyberrisiken kontinuierlich bewerten
Der Fall zeigt, dass Schwachstellenmanagement nicht mit dem Einspielen eines Updates endet. Unternehmen müssen nachvollziehen können, welche Systeme betroffen sind, welche Version tatsächlich aktiv ist und wo ein Patch möglicherweise noch fehlt. Gerade in heterogenen Umgebungen ist eine kontinuierliche Bewertung der Angriffsfläche sinnvoll.
TrendAI verweist in diesem Zusammenhang auf Cyberrisikomanagement-Lösungen, mit denen sich gefährdete Systeme und mögliche Angriffswege priorisieren lassen. Der zentrale Punkt bleibt jedoch unabhängig vom eingesetzten Werkzeug: Kritische Schwachstellen sollten nach Exponierung und möglichem Schadenspotenzial priorisiert und nachvollziehbar abgearbeitet werden.
Der vollständige technische Hintergrund von TrendAI ist im Beitrag „Two Critical PHP Flaws Leaked Before the Patch: What Organizations Should Do Now“ beschrieben.
Pressekontakt
PER Connect GmbH
Christina M. Rottmair / Anna Magali Golling
Hofmannstraße 54
D-81379 München
Telefon: +49 (0) 89 17959 18 – 0
E-Mail: trendmicro@per-group.com
per-group.com
