Cloudflare hat laut einem Bericht von Nextgov/FCW Millionen von Versuchen gemeldet, neu offengelegte Schwachstellen in PHP, der weit verbreiteten Websoftware, auszunutzen. Forscher warnten zudem, dass kompromittierte Websites ihre Besucher gefährden könnten, nicht nur die Personen, die sie betreiben. Wer sich fragt, was Besucher bei der PHP-Schwachstelle tun sollten, bekommt eine kurze Antwort: Sie können den Server anderer nicht patchen, aber sie können begrenzen, was ein Angreifer erbeutet, wenn eine von ihnen genutzte Website kompromittiert wird.

Die bisher verfügbaren Details sind begrenzt, daher beschränkt sich dieser Artikel auf das, was berichtet wurde, und auf allgemeine Schutzpraktiken.

Was Cloudflare bei den PHP-Exploit-Versuchen beobachtet

Laut dem Bericht hat Cloudflare Millionen von Versuchen beobachtet, die PHP-Schwachstellen auszunutzen. Die Berichterstattung beschreibt zudem eine weltweite Anstrengung, um Korrekturen umzusetzen. Diese Kombination ist nach einer öffentlichen Offenlegung einer weit verbreiteten Software üblich: Angreifer scannen das Internet nach Servern, die noch nicht aktualisiert wurden, und Administratoren bemühen sich, Patches einzuspielen.

PHP ist eine serverseitige Sprache, was bedeutet, dass sie auf dem Webserver läuft und nicht auf Ihrem Gerät. Das ist wichtig, weil es bestimmt, wer handeln muss. Website-Betreiber und Hosting-Anbieter müssen Updates einspielen. Besucher haben keine Möglichkeit, das für sie zu tun.

Unser früherer Erklärartikel zur PHP-Schwachstelle, die am 22. Oktober offengelegt wurde behandelt, wie die Sprache einen großen Teil des Webs untermauert und warum die meisten Menschen vor Bekanntwerden der Nachricht noch nie von ihr gehört hatten.

Wie eine kompromittierte PHP-Website Besucher gefährden kann

Die im Bericht zitierten Forscher warnten, dass kompromittierte Websites auch die Menschen gefährden könnten, die sie besuchen. Zwar werden die konkreten Angriffswege für diese Schwachstellen in der uns vorliegenden Zusammenfassung nicht im Detail beschrieben, doch es gibt allgemeine Wege, wie eine gekaperte Website Nutzer beeinträchtigen kann:

  • Login-Diebstahl: Wenn ein Angreifer eine Website kontrolliert, kann er möglicherweise Benutzernamen und Passwörter abfangen, die in deren Anmeldeformular eingegeben werden.
  • Offenlegung von Formulardaten: Kontaktformulare, Checkout-Seiten und Anmeldeformulare können so verändert werden, dass das, was Sie eingeben, an jemand anderen gesendet wird.
  • Schädliche Weiterleitungen oder Downloads: Eine kompromittierte Website kann so verändert werden, dass sie Besucher auf schädliche Seiten oder Dateien lenkt, was Ihr Gerät gefährden kann.

Nichts davon bedeutet, dass jede PHP-Website gefährlich ist. Die meisten Websites werden gepatcht, und viele waren nie anfällig. Der Punkt ist, dass das schwache Glied ein Server sein kann, über den Sie nie nachgedacht haben, daher ist es hilfreich, mit dieser Möglichkeit zu rechnen.

Was ein VPN gegen serverseitige Schwachstellen tun kann und was nicht

Ein VPN verschlüsselt die Verbindung zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den Websites, die Sie besuchen. Das ist in öffentlichen WLAN-Netzen nützlich und um einige Formen der Tracking zu begrenzen.

Es behebt jedoch keine Schwachstelle auf dem Server der Website. Wenn eine von Ihnen besuchte Website kompromittiert wurde, erreicht Ihr Datenverkehr diese Website weiterhin, und alles, was Sie dort übermitteln, kann weiterhin von demjenigen gesehen werden, der sie kontrolliert. Ein VPN hindert Sie auch nicht daran, Ihr Passwort in ein manipuliertes Anmeldeformular einzugeben. Betrachten Sie es als eine Schicht des Datenschutzes, nicht als Verteidigung gegen einen serverseitigen Fehler.

Was das für Sie bedeutet

Sie können wahrscheinlich nicht erkennen, welche Websites anfällige PHP-Versionen ausführen, und Sie müssen es auch nicht. Was zählt, ist, den Schaden zu begrenzen, wenn eine von Ihnen genutzte Website kompromittiert wird. Die Hauptrisiken sind wiederverwendete Passwörter, Konten ohne zweiten Verifizierungsschritt und verspätetes Erkennen, dass Ihre Informationen offengelegt wurden. Jedes davon können Sie heute selbst kontrollieren.

Praktische Schritte zum Selbstschutz, während Websites patchen

  1. Verwenden Sie für jedes Konto ein einzigartiges Passwort. Ein Passwortmanager macht dies realistisch. Wenn eine Website Ihr Passwort preisgibt, endet der Schaden dort.
  2. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Selbst wenn ein Passwort abgefangen wird, macht ein zweiter Faktor die Nutzung schwieriger. Authenticator-Apps oder Hardware-Schlüssel sind in der Regel stärker als Textnachrichten.
  3. Seien Sie bei sensiblen Formularen vorsichtig. Vermeiden Sie die Eingabe von Zahlungs- oder persönlichen Daten auf Websites, die ungewöhnlich aussehen, sich seltsam laden oder sich anders verhalten als zuvor.
  4. Halten Sie Ihren Browser und Ihr Betriebssystem aktuell. Dies verringert die Wahrscheinlichkeit, dass eine schädliche Seite eine bekannte Schwäche auf Ihrem Gerät ausnutzen kann.
  5. Achten Sie auf Datenschutzverletzungs-Hinweise. Wenn ein Unternehmen Ihnen mitteilt, dass es betroffen war, ändern Sie Ihr Passwort umgehend und überprüfen Sie die Kontoaktivitäten.
  6. Nutzen Sie ein VPN für das, was es gut kann. Es hilft in nicht vertrauenswürdigen Netzwerken, aber verlassen Sie sich nicht darauf, um eine kompromittierte Website auszugleichen.

Das Fazit

Der gemeldete Anstieg der Versuche zeigt, wie schnell Angreifer handeln, sobald Schwachstellen öffentlich werden, und wie stark das Web von Software abhängt, die seine Besucher nie zu sehen bekommen. Die beste Antwort auf die Frage, was Besucher bei der PHP-Schwachstelle tun sollten, ist, gestohlene Zugangsdaten weniger nützlich zu machen: einzigartige Passwörter, 2FA und Aufmerksamkeit für Sicherheitswarnungen. Eine knappe Checkliste finden Sie in unserem Leitfaden zu fünf Wegen, nach der PHP-Schwachstelle online sicher zu bleiben – setzen Sie diese Schritte um, während Website-Betreiber ihre Patches einspielen.