WIEN. – Knapp 30.000 österreichische Websites weisen weiterhin bekannte Sicherheitslücken in der Programmiersprache PHP auf. Das geht aus einer europaweiten Untersuchung von EY Österreich und dem Cybersecurity-Unternehmen risikomonitor.com hervor. Die Analyse umfasst 34,9 Mio. erreichbare Websites in 27 EU-Staaten sowie der Schweiz und Liechtenstein. Demnach waren bei der Erstuntersuchung rund 3,9 Mio. Websites beziehungsweise 11,2 Prozent verwundbar. Nach der Bereitstellung von Sicherheitsupdates sank der Anteil auf 5,6 Prozent.
Hintergrund sind zwei als kritisch eingestufte Sicherheitslücken, die unter der Bezeichnung „PHP2Shell“ zusammengefasst werden. Sie ermöglichen es Angreifern unter bestimmten Voraussetzungen, ohne Anmeldung eigenen Programmcode auf betroffenen Servern auszuführen. Am 21. Oktober wurden korrigierte PHP-Versionen veröffentlicht.
Österreich bei Updates im Durchschnitt
In Österreich identifizierten die Studienautoren zunächst 46.182 Websites mit einer verwundbaren PHP-Version. Bei einer Nachmessung am 28. Oktober waren davon noch 28.622 betroffen, während 6.322 Websites zwischenzeitlich aktualisiert worden waren. Die ermittelte Patchrate von 18,1 Prozent entspricht dem europäischen Durchschnitt.
Deutliche Unterschiede zeigen sich zwischen den Ländern. Deutschland weist mit 5,8 Prozent die niedrigste Patchrate auf. Litauen erreicht hingegen 39,7 Prozent, gefolgt von Zypern mit 38,7 Prozent und Malta mit 38,1 Prozent.
Veraltete Systeme als Sicherheitsrisiko
Besonders problematisch ist laut Untersuchung, dass rund 81 Prozent der weiterhin betroffenen europäischen Websites PHP-Versionen verwenden, für die keine Sicherheitsupdates mehr bereitgestellt werden. Im Durchschnitt erhalten diese Systeme seit 4,7 Jahren keine Sicherheitskorrekturen mehr. Rund 18 Prozent sind sogar seit mehr als sieben Jahren ohne entsprechende Updates.
Die Analyse zeigt zudem, dass jeder verwundbare Server im europäischen Durchschnitt 72 bekannte PHP-Sicherheitslücken aufweist, darunter 22 kritische. In Österreich liegt dieser Wert bei durchschnittlich 68 Schwachstellen.
„Die veränderte Bedrohungslage macht es notwendig, Cyberstrategien und Informationssicherheitsmaßnahmen kritisch zu hinterfragen und insbesondere auf den zunehmenden Einsatz von KI auf Angreiferseite auszurichten“, erklärt Gottfried Tonweber, Partner bei EY Österreich.
Auch Online-Shops betroffen
Die Sicherheitslücken betreffen unterschiedliche Branchen. Besonders häufig finden sich verwundbare Websites bei Hotels, Handelsunternehmen, Transportbetrieben und in der Gastronomie. In Österreich zählen neben Hotels und Pensionen auch Arztpraxen und Kfz-Werkstätten zu den besonders betroffenen Bereichen.
Ein zusätzliches Risiko besteht für Kunden von Online-Shops. Werden verwundbare Server kompromittiert, können Angreifer unter anderem versuchen, Zahlungsdaten abzugreifen oder Schadsoftware über manipulierte Websites zu verbreiten.
Nach Angaben der Studienautoren verwenden fast neun von zehn betroffenen Websites mit erkennbarem Content-Management-System WordPress. Auch mehr als 19.400 Online-Shops auf Basis von PrestaShop, Magento oder Shopware sind betroffen.
Handlungsbedarf bei Website-Betreibern
Die Untersuchung zeigt, dass vor allem zentral verwaltete Hosting-Angebote rasch aktualisiert wurden. Bei älteren, nicht mehr unterstützten PHP-Versionen sind hingegen umfangreichere technische Umstellungen erforderlich.
„PHP2Shell hat gezeigt, wie schnell es gehen kann, wenn Hoster zentral handeln. Der Rest ist ein Spiegel dessen, was seit Jahren liegen geblieben ist: Fast jede fünfte verwundbare Website läuft seit über sieben Jahren ohne Sicherheitsupdate“, sagt Manuel Löw-Beer, Gründer und CEO von risikomonitor.com.
Die Studienautoren empfehlen Website-Betreibern, ihre PHP-Version zu überprüfen und gegebenenfalls auf eine unterstützte Version umzustellen. Ein Update des Content-Management-Systems allein reiche nicht aus, da die Sicherheitslücken die serverseitige Programmiersprache betreffen. (red)
