Kritische PHP-Sicherheitslücken lösen weltweite Maßnahmen zur Cybersicherheit aus

Regierungen, Cybersicherheitsbehörden und große Organisationen auf der ganzen Welt haben sich beeilt, ihre Systeme zu sichern, nachdem zwei kritische Sicherheitslücken in PHP entdeckt wurden, einer der am häufigsten verwendeten Web-Programmiersprachen im Internet. Die Schwachstellen, die Berichten zufolge mehr als ein Jahrzehnt lang unentdeckt geblieben waren, wurden von Forschern mithilfe fortschrittlicher KI-Tools identifiziert und gelten als eines der gravierendsten Web-Sicherheitsprobleme der letzten Jahre.

Die Sicherheitslücken sind so schwerwiegend, dass nationale Cybersicherheitsbehörden in Großbritannien, den Vereinigten Staaten, Europa, Australien und Japan Organisationen dazu aufforderten, Sicherheitsupdates unverzüglich zu installieren oder zu erwägen, betroffene Systeme offline zu nehmen, bis Patches bereitgestellt werden können. Mehrere Organisationen, darunter Regierungswebsites, öffentliche Dienste und Medienplattformen, schränkten den Zugriff vorübergehend ein oder nahmen Systeme vorsorglich vom Netz.

Sicherheitsforscher schätzen, dass die Schwachstellen potenziell einen großen Teil der mit dem Internet verbundenen Infrastruktur betreffen könnten, darunter Websites, die auf beliebten Plattformen wie WordPress, Drupal und Joomla basieren. Die Schwachstellen könnten es Angreifern ermöglichen, bösartigen Code aus der Ferne auszuführen, was möglicherweise zur Kompromittierung von Websites, zur Verbreitung von Malware und zum Datendiebstahl führen könnte.

Zwar wurden inzwischen Patches veröffentlicht, doch warnen Experten, dass Organisationen zügig handeln müssen, um anfällige Systeme zu identifizieren und auf Anzeichen von Ausnutzungsversuchen zu überwachen. Der Vorfall verdeutlicht sowohl die wachsende Rolle der KI in der Cybersicherheit als auch die weitreichenden Risiken, die mit Schwachstellen in grundlegenden Internet-Technologien verbunden sind.

Millionen von Ausnutzungsversuchen nach Bekanntgabe kritischer PHP-Sicherheitslücken

Cybersicherheitsexperten warnen Unternehmen, ihre Systeme unverzüglich zu patchen, nachdem innerhalb weniger Stunden nach Bekanntwerden der Schwachstellen Millionen von Versuchen entdeckt wurden, die kürzlich offengelegten PHP-Schwachstellen auszunutzen. PHP ist eine der weltweit am häufigsten verwendeten Web-Programmiersprachen und bildet die Grundlage für einen erheblichen Teil der mit dem Internet verbundenen Websites und Anwendungen.

Nach Angaben großer Technologieanbieter haben Angreifer die Schwachstellen rasch ausgenutzt. Cloudflare berichtete, dass die Anzahl der Ausnutzungsversuche innerhalb weniger Stunden von Tausenden vor der Veröffentlichung auf Millionen angestiegen sei, während Amazon Web Services warnte, dass die Schwachstellen in der Praxis bereits aktiv ausgenutzt würden. Sicherheitsforscher gehen davon aus, dass Angreifer bereits vor der offiziellen Bekanntgabe versucht hatten, die Schwachstellen auszunutzen.

Die Schwere der Schwachstellen veranlasste Regierungsbehörden und Organisationen weltweit, Vorsichtsmaßnahmen zu ergreifen, darunter die vorübergehende Abschaltung von Websites, während Sicherheitsupdates installiert wurden. Behörden in Großbritannien, den Vereinigten Staaten, Australien und Europa haben Organisationen gleichermaßen dazu aufgefordert, die verfügbaren Patches unverzüglich zu installieren.

Experten warnen, dass die Schwachstelle Angreifern einen direkten Weg eröffnen könnte, Webserver zu kompromittieren, Malware zu installieren, Daten zu stehlen oder Dienste zu stören. Da automatisierte Angriffstools und KI-gestützte Funktionen die Ausnutzung der Schwachstellen beschleunigen, wird Organisationen empfohlen, nicht nur betroffene Systeme zu patchen, sondern auch Protokolle auf Anzeichen einer Kompromittierung zu überprüfen und auf laufende böswillige Aktivitäten zu achten.

Schwaches Passwort führt zu Datenpanne bei Tausenden von Kindern

Britische Datenschutzbehörden haben Ogi Networks Limited (ONL) und Data Cymru gerügt, nachdem bei einem Cyberangriff die personenbezogenen Daten von etwa 3.300 Personen – darunter überwiegend Kinder – über ein Konto offengelegt wurden, das mit dem Passwort „Password1“ geschützt war.

Nach Angaben des Information Commissioner’s Office (ICO) nutzten die Angreifer ein inaktives Testkonto namens „Test2“ aus, das mehr als 12 Jahre lang aktiv geblieben war, ohne ordnungsgemäß überprüft oder gelöscht worden zu sein. Der Ransomware-Angriff führte zum Diebstahl von 42 GB Daten und zur Verschlüsselung von fast 183 GB Informationen, wovon Projekte zur Unterstützung von Kindern und Familien betroffen waren.

Die Ermittler stellten fest, dass beide Organisationen keine angemessenen Cybersicherheitsmaßnahmen umgesetzt und die Zuständigkeiten für den Schutz der betroffenen Systeme nicht klar definiert hatten. Das ICO erklärte, der Vorfall zeige, wie ein einziges schwaches Passwort und ein ungenutztes Konto ein erhebliches Sicherheitsrisiko darstellen können.

Nach dem Vorfall führten beide Organisationen strengere Sicherheitsmaßnahmen ein, darunter Multi-Faktor-Authentifizierung (MFA), strengere Zugriffskontrollen, regelmäßige Kontoüberprüfungen und aktualisierte Datenverarbeitungsvereinbarungen. Der Vorfall macht erneut deutlich, wie wichtig grundlegende Maßnahmen zur Cybersicherheit sind, wie beispielsweise das Löschen inaktiver Konten, die Durchsetzung sicherer Passwörter und die regelmäßige Überprüfung der Benutzerzugriffe, um das Risiko einer Kompromittierung zu verringern.

Autonomer KI-Cyberangriffsagent in freier Wildbahn entdeckt

Sicherheitsforscher haben einen ausgeklügelten, KI-gestützten Cyberangriffs-Agenten aufgedeckt, der in der Lage ist, eine gesamte Angriffskette ohne menschliches Eingreifen durchzuführen. Das autonome Tool wurde entwickelt, um bis zu 100.000 böswillige Aktionen eigenständig auszuführen, darunter das Scannen nach anfälligen Zielen, das Ausnutzen von Sicherheitslücken, das Stehlen von Anmeldedaten, das Einsetzen von Kryptowährungs-Minern und das Aufrechterhalten der Persistenz auf kompromittierten Systemen.

Der KI-Agent wurde vom „Threat Hunter Team“ von Symantec mithilfe eines KI-Honeypots entdeckt, der darauf ausgelegt war, Angreifer anzulocken, die es auf Infrastrukturen für künstliche Intelligenz abgesehen haben. Die Forscher erfassten den Befehlssatz der Malware und stellten fest, dass sie darauf ausgelegt war, exponierte Dienste großer Sprachmodelle (LLM) zu kapern – eine als „LLMjacking“ bekannte Technik, die es Angreifern ermöglicht, KI-Ressourcen von Drittanbietern zu nutzen und dabei sowohl eine Entdeckung als auch Betriebskosten zu vermeiden.

Die Analyse ergab, dass der Agent Zugriff auf Dutzende von Angriffstools hatte, die zur Aufklärung, zur Ausnutzung von Schwachstellen, zum Diebstahl von Datenbanken, zum Sammeln von Anmeldedaten und zur Verwaltung von Botnetzen geeignet waren. Die Anweisungen umfassten auch Techniken, die darauf abzielten, die in kommerziellen KI-Modellen integrierten Sicherheitskontrollen zu umgehen und böswillige Aktivitäten als legitime Systemadministrationsaufgaben zu tarnen.

Zwar sind die einzelnen Angriffsmethoden nicht neu, doch warnen die Forscher, dass ihre Kombination in einem selbstgesteuerten KI-Agenten die Einstiegshürde für Cyberkriminelle erheblich senkt. Die Entdeckung unterstreicht einen zunehmenden Wandel in der Bedrohungslandschaft, in der KI Angreifern nicht mehr nur zur Seite steht, sondern zunehmend als Motor fungiert, der Cyberoperationen autonom plant und vorantreibt.

Kritische GitLab-Sicherheitslücke ermöglicht die Remote-Codeausführung auf selbstverwalteten Servern

GitLab hat dringende Sicherheitsupdates veröffentlicht, um eine kritische Sicherheitslücke zur Remote-Code-Ausführung (RCE) zu beheben, die unter der Kennung CVE-2026-110264 erfasst ist und den maximalen CVSS-Wert von 10,0 aufweist. Die Schwachstelle betrifft alle selbstverwalteten GitLab-Installationen ab Version 7.0, was bedeutet, dass auch Systeme, auf denen Software läuft, die bereits 2014 veröffentlicht wurde, anfällig sein könnten.

Laut GitLab ist die Sicherheitslücke auf einen Integer-Überlauf in der Engine zur Verarbeitung regulärer Ausdrücke der Plattform zurückzuführen. Unter bestimmten Bedingungen könnte ein nicht authentifizierter Angreifer die Schwachstelle ausnutzen, um beliebigen Code auf einem anfälligen Server auszuführen, ohne sich anmelden zu müssen. Zwar gibt es derzeit keine Hinweise darauf, dass die Sicherheitslücke bereits in der Praxis ausgenutzt wurde, doch warnen Sicherheitsexperten, dass ihr Schweregrad und ihre weitreichenden Auswirkungen eine rasche Behebung unerlässlich machen.

GitLab hat Patches für mehrere unterstützte und ältere Versionen veröffentlicht – ein ungewöhnlicher Schritt, der die Schwere des Problems widerspiegelt. Das Unternehmen hat zudem Erkennungsregeln veröffentlicht, die Administratoren dabei helfen sollen, potenzielle Ausnutzungsversuche zu identifizieren.

Betroffen sind ausschließlich selbstverwaltete GitLab-Umgebungen, während GitLab.com und aktualisierte GitLab Dedicated-Instanzen bereits über den Fix verfügen. Organisationen, die selbst gehostete Bereitstellungen betreiben, wird dringend empfohlen, die neuesten Updates unverzüglich zu installieren, da GitLab keine alternative Abhilfe bereitgestellt hat. Die Sicherheitslücke ist die jüngste in einer Reihe von schwerwiegenden Schwachstellen, die die Engine für reguläre Ausdrücke von GitLab betreffen, und unterstreicht einmal mehr die Bedeutung eines zeitnahen Patch-Managements für Entwicklungsplattformen mit Internetanbindung.

Sollten Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Entscheidung benötigen, welche Maßnahmen Sie ergreifen sollten, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oderkontaktieren Sieuns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.

Der „Threat Intel Roundup“ wurde von Integrity360 erstellt und fasst die von uns beobachteten Nachrichten zu Bedrohungen zusammen; er entspricht dem Stand zum Zeitpunkt der Veröffentlichung. Er ist nicht als rechtliche, beratende oder sonstige fachliche Beratung zu verstehen. Etwaige Empfehlungen sollten im Kontext Ihrer eigenen Organisation betrachtet werden. Integrity360 nimmt in den von uns bereitgestellten Informationen keine politische Stellung. Darüber hinaus entsprechen die geäußerten Meinungen nicht unbedingt den Ansichten von Integrity360.