🚨 Zwei kritische PHP-Lücken. Könnt ihr kurzfristig sagen, welche eurer Systeme betroffen sein könnten?

Diese Woche wird es vermutlich noch stressig werden, liebe DORA-Community. Die beiden neuen Schwachstellen sind ernst zu nehmen, und zwar für alle IKT-Anwendungen, die im Internet stehen und auf PHP basieren.

Die Details zu beiden Lücken sind vorab geleakt und kursieren, bevor es Patches gibt. Das PHP-Projekt hat deshalb einen Security-Patch angekündigt, in dem weitere Details zu den Schwachstellen und entsprechende Lösungen bereitgestellt werden.

Sicherheitsforscher erwarten spätestens nach der Veröffentlichung heute Nachmittag massenhafte Scans nach ungepatchten Servern. Es bleiben also nur ein paar Stunden, um rauszufinden, welche eurer Systeme von den Schwachstellen betroffen sind und welche am dringlichsten gepatcht werden müssen.

Ein paar Punkte zur Einordnung:

• Von den Schwachstellen betroffen sein können alle Anwendungen im Internet, die auf PHP basieren, beispielsweise Kundenportale, Antragsstrecken oder Verwaltungsoberflächen von Netzwerkgeräten.
• Laut Sicherheitsforschern ermöglichen beide Lücken Remote Code Execution. Das bedeutet, ein Angreifer kann über das Internet eigene Befehle auf dem Server ausführen.
• Ob es so weit kommt, hängt davon ab, wo PHP bei euch läuft und ob Schutzmaßnahmen wie eine Web Application Firewall greifen. Beides können nur eure ITler beantworten.

Eure Aufgabe ist deshalb, kurzfristig die richtigen Leute im Haus zu finden, die Auskunft geben und handeln können.

Was ich aus der DORA-Werkstatt dazu beitragen kann, sind ein paar Hilfestellungen, die ihr jetzt abarbeiten könnt:

1. Lasst euch aus dem IKT-Asset-Inventar alle Systeme auflisten, die im Internet stehen.
2. Prüft, welche davon kritische oder wichtige Funktionen unterstützen, dort ist der Zeitdruck am größten. Daraus entsteht eure Abarbeitungsliste.
3. Lasst in der CMDB prüfen, auf welchen dieser Systeme PHP in welcher Version läuft. Für PHP 8.1 und älter ist kein Fix angekündigt, dort bleiben nur Abschotten oder Migrieren.
4. Gebt eurer IKT-Dienstleistersteuerung eine Infomail direkt an die Dienstleister mit. Lasst euch bestätigen, ob und wo PHP dort läuft und ob und wann die Lücken geschlossen werden. Liefern sie Softwarestücklisten (SBOM), sucht dort nach PHP.
5. Aktualisiert die Risikobewertung für Systeme, die sich nicht kurzfristig patchen lassen. Die Eintrittswahrscheinlichkeit dürfte gestiegen sein, weil KI Angreifern das Finden solcher Lücken erleichtert.

Solltet ihr hier auf Probleme stoßen, wäre das übrigens ein Indiz dafür, dass eure IT oder die IKT-Dienstleistersteuerung noch nicht vollständig DORA-konform aufgestellt ist, denn DORA fordert diese Punkte im Kern ein. Bei Bedarf könnt ihr mich gerne zu meinem DORA-Navigator kontaktieren: Er umfasst die vollständige Checkliste aller DORA-Pflichten, mit Excel-Arbeitshilfe für Erledigt-Stand und Zuständigkeit.