Warum also abschalten?

Transkript

1. Am Mittwoch nahm die niederländische Regierung Websites vom Netz, auch DigiD.
2. Der Login funktionierte weiter.
3. Ein Fix war für den Nachmittag geplant.
4. Am Donnerstag pausierten Banken in Japan einige Online-Dienste,
5. und die Steuerbehörde schloss die Startseite von e-Tax.
6. Die Ursache: 2 Lücken in PHP, das Millionen Websites nutzen.
7. Mit Anfragen, ganz ohne Passwort,
8. konnte ein Fremder eigenen Code auf dem Server ausführen.
9. Warum also abschalten?
10. Weil das Geheimnis schon raus war, und selbst mit Fix
11. mussten Server gepatcht und geprüft werden.
12. 2024 sah PHPs Team Anzeichen des Speicher- fehlers hinter einer der Lücken.
13. Es konnte keinen Einbruch zeigen, und der Fix stockte monatelang.
14. PHPs Stiftung nennt die Verzögerung heute ihr eigenes Versagen.
15. Im August zeigte die Sicherheitsfirma Calif, mit Hilfe von KI,
16. dass sie eine WordPress-Seite übernehmen kann, und meldete es PHP.
17. OpenAI meldete es am selben Tag.
18. Der Fix wurde auf den 22. Oktober gelegt.
19. Bis dahin sollten nur die davon wissen, die ihn vorbereiteten.
20. In der letzten Woche zerfiel das Geheimnis.
21. Der Chef der Sicherheitsfirma Chainguard sagt, am Freitag, dem 16. Oktober,
22. habe ihm einer der Finder nur gesagt, dass etwas kommt,
23. und sein Team fand die Lücke in derselben Nacht mit KI.
24. Am nächsten Tag stieg Chainguard in die Arbeit ein und
25. bekam, wie andere Distributoren, den Fix.
26. An dem Samstag zeichneten Amazons Köder jemanden auf, der den Angriff versuchte.
27. Woher er es wusste, sei unklar, sagt Amazon.
28. Am Dienstag tauchten die Katalognummern der Lücken online auf, ohne Details.
29. PHP zog seinen Fix um einen Tag vor.
30. Am Abend, sagt PHP, veröffentlichte Calif versehentlich ein Video seines Angriffs.
31. Früh am Mittwoch, über 6 Stunden vor dem vereinbarten Zeitpunkt,
32. veröffentlichte Chainguard seine gefixten Builds.
33. Es sagt, Angriffe hätten schon begonnen, Amazons Köder sahen Versuche.
34. PHP sagt, mit diesen Builds konnten Angreifer den Fix studieren.
35. Am Nachmittag veröffentlichte PHP den Fix,
36. fertig nur für seine 4 unterstützten Versionen.
37. Laut W3Techs läuft etwa die Hälfte der PHP-Seiten auf 8.1 oder älter.
38. Für sie liefert PHP kein fertiges Update.
39. Behörden in Großbritannien, der EU und den USA rieten also:
40. Wenn du nicht updaten oder schützen kannst, erwäge, offline zu gehen.
41. DigiDs Seite kam am nächsten Tag zurück, nach Patch und Test.
42. Amazon sagt, Versuche sind jetzt verbreitet.
43. Die PHP-Stiftung weiß von keiner erfolgreichen Ausführung von Code.
44. Ob jemand vor dem Patch in einen Server eingebrochen ist, bleibt unbekannt.
45. Unterstütze uns auf pollar.news/support oder in unserer App für iOS und Android.