Wegen massiver Sicherheitslücken haben Regierungsbehörden und Unternehmen weltweit Internetseiten abgeschaltet. In Europa waren unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Dänemark betroffen.

Die schwerwiegende Sicherheitslücke betrifft die weitverbreitete Programmiersprache PHP, auf der ein Großteil des Internets basiert - von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden.

Kommunen und Krankenhäuser gehen vom Netz

Mehrere Kommunen, Behörden, Universitäten und Krankenhäuser reagierten auf die Warnungen der Sicherheitsbehörden und nahmen ihre Online-Angebote kurzfristig vom Netz, um möglichen Angriffen zuvorzukommen.

So schalteten beispielsweise in Rheinland-Pfalz die Landeshauptstadt Mainz nach einer Warnung des Bundes vorsorglich mehrere städtische Internetdienste und ihr zentrales Webportal vorübergehend ab. Auch Potsdam und Halberstadt schaltete ihre Internetseite vorsorglich ab. Die Universitätsklinik Charité in Berlin nahm ihre offizielle Website ebenfalls vom Netz. In Hannover schaltete das Verkehrsunternehmen Üstra seine Website vorübergehend ab. "Auch der Fahrkartenkauf und die Anzeige von gekauften Fahrkarten in der App sind betroffen", teilte das Unternehmen mit.

Abschaltung von den Niederlanden bis Japan

Auch Webseiten, in den Niederlanden, Dänemark, Finnland und Japan wurden sicherheitshalber abgeschaltet. In den Niederlanden waren etwa die Seiten des Nationalen Zentrums für Cybersicherheit, des Hafens von Rotterdam und des nationalen Fußballverbands nicht erreichbar.

Sicherheitsexperten warnen vor gleich zwei kritischen Schwachstellen im Kern der Programmiersprache. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam schlägt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm und hat eine offizielle Cybersicherheitswarnung herausgegeben.

In seiner veröffentlichten Warnung ordnet das BSI das Risiko mit der Warnstufe "3 / Orange" als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht.

Kriminelle könnten Kundendaten abgreifen

Das Gefahrenpotenzial der Sicherheitslücke ist demnach extrem hoch: Kriminelle Akteure können die Schwachstellen ausnutzen, um aus der Ferne eigenen Schadcode auf den betroffenen Servern auszuführen.

In der Praxis ermöglicht dies potenziellen Angreifern, die Kontrolle über eine Website zu übernehmen, sensible Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Problem der Schwachstellen wurde geleakt

Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Details wurden am Dienstag - einen Tag vor der geplanten Veröffentlichung des Updates - online geleakt. Dies führte zur vorsorglichen Abschaltung vieler Webseiten.

Da detaillierte Informationen zu den Schwachstellen unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. IT-Experten raten, die Updates müssten ohne jeden Verzug eingespielt werden.

Sicherheits-Updates veröffentlicht

Die Entwickler des PHP-Projektes veröffentlichten am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache, in denen die Sicherheitslücken geschlossen wurden. "Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen", erklärte die PHP Foundation in einem Blogbeitrag.

Der Expertendienst Heise Security warnte, wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Web-Server vom Netz zu trennen, solange das Update nicht installiert wurde.