Nach der Entdeckung der kritischen PHP-Sicherheitslücke reicht das bloße Einspielen von Software-Updates nach Einschätzung von Sicherheitsexperten bei weitem nicht aus. Thomas Boele, Sicherheitsexperte beim Softwareunternehmen Check Point, warnte davor, sich in falscher Sicherheit zu wiegen. Er forderte Systembetreiber eindringlich auf, über die reine Patch-Installation hinaus aktiv zu werden.

«Honigfalle» für kriminelle Hacker

Zu den notwendigen Sofortmaßnahmen gehöre eine rückwirkende Prüfung der Logdaten bis zum 17. Oktober 2026, um mögliche Kompromittierungen zu erkennen. Der Grund: An diesem Tag wurden auf einem sogenannten Honeypot von Amazon - einer digitalen Falle, die Angreifer anlocken soll - erste Angriffsversuche registriert. Wer seine Daten nicht bis zu diesem Datum prüfe, übersehe möglicherweise, ob sein System bereits vor dem Update heimlich infiltriert wurde.

Boele forderte die Verantwortlichen außerdem auf, die Zugangsdaten und Schlüssel für sogenannte Programmierschnittstellen (API-Keys) konsequent zu erneuern. Ein zentraler Baustein der Verteidigung sei zudem die Aktualisierung von Web Application Firewalls (WAF). 

Eine WAF fungiert als Schutzschild zwischen einer Webanwendung und dem Internet; sie analysiert den eingehenden Datenverkehr und blockiert bösartige Anfragen, bevor diese das System erreichen können. 

Hausaufgaben für die Verantwortlichen

Ferner mahnte Boele in einem Gespräch mit der Nachrichtenagentur dpa den Aufbau eines vollständigen Systeminventars an, um überhaupt erst Transparenz darüber zu schaffen, wo und in welchen Versionen PHP-Komponenten im eigenen Netzwerk im Einsatz sind. Da PHP auf einem Großteil der weltweiten Webserver läuft, sei das Risiko durch die Schwachstelle, die als Einfallstor für Angriffe auf interne Netzwerke dienen kann, weiterhin als hoch einzustufen.

Christian Nern, Partner und Head of Cyber Security & Threat Management Solution bei der Unternehmensberatung KPMG, sagte, PHP sei meist nicht als eigenes Programm erkennbar, sondern arbeite als Werkzeug im Hintergrund digitaler Anwendungen. Es werde zum Beispiel auf Webseiten, Zielseiten für Werbung, in Kundenbereichen sowie in Systemen zur Verwaltung von Webseiten-Inhalten wie TYPO3, Drupal oder WordPress genutzt. Auch beim Online-Handel, bei digitalen Bezahldiensten oder in älteren, bereits länger genutzten Programmen sei PHP tief im Verborgenen integriert.

Um kritische Geschäftsprozesse auch im Krisenfall aufrechtzuerhalten, müssten insbesondere Finanzinstitute ihre Sicherheitssysteme stärker automatisieren, Patchzyklen verkürzen und externe IT-Dienstleister in die Sicherheitsüberwachung einbeziehen. «Gleichzeitig müssen sie auch KI-Anwendungen selbst absichern und KI gezielt für die Cyberabwehr einsetzen», sagte Nern.