Der Patch kam am 21. Oktober. Der erste Angriff schon am 17.

Serverschränke in einem Rechenzentrum. Foto: NOIRLab/NSF/AURA/T. Slovinský / Wikimedia Commons, CC BY 4.0, zugeschnitten

AWS betreibt weltweit Köder-Systeme, sogenannte Honeypots. Sie sehen aus wie gewöhnliche Server und sollen Angreifer anlocken. Am 17. Oktober meldeten sie einen ersten Versuch, die neuen PHP-Lücken auszunutzen, schreibt AWS im Sicherheitsblog. Der Versuch kam über einen Anonymisierungsdienst. Wie der Angreifer vor der Veröffentlichung an die Informationen kam, ist laut AWS unklar.

Am 21. Oktober ging es dann schnell. Ab etwa 4 Uhr Schweizer Zeit tauchten erste Testprogramme für einen Angriff auf, und AWS zählte weitere Angriffsversuche. Das war zwölf Stunden, bevor das PHP-Projekt um 16 Uhr die Korrekturen freigab. Nach der Veröffentlichung tauchte weiterer Angriffscode innerhalb von Stunden auf, und er wurde laut AWS fast sofort gegen die Köder-Systeme eingesetzt.

Was das für Schweizer Websites heisst

Viele Schweizer Hoster haben am Mittwochabend reagiert. Hostpoint spielte das Update nach eigenen Angaben eineinhalb Stunden nach der Veröffentlichung ein, Cyon schaltete alle Webhostings vorsorglich ab (Leitgrad berichtete). Gegen einen Angriff, der schon vorher passiert ist, hilft ein Update aber nicht. Es schliesst die Tür, es sucht nicht nach jemandem, der schon drin ist.

Das Bundesamt für Cybersicherheit (BACS) kennt nach aktuellem Stand keine Angriffe in der Schweiz, schliesst unentdeckte oder nicht gemeldete Fälle aber nicht aus, berichtete watson am 22. Oktober. Verlässliche Zahlen zu betroffenen Websites und Shops hat das Amt nicht.

Wonach man sucht

AWS nennt ein Upgrade die einzige vollständige Lösung. Für die Kontrolle danach empfiehlt das Unternehmen, die Protokolle der Webserver ab dem 17. Oktober zu durchsuchen: nach Formular-Uploads, die den Begriff PHP_SESSION_UPLOAD_PROGRESS enthalten, nach unerwarteten Prozessen und nach Dateien, die sich ohne Grund verändert haben. Das ist Arbeit für den Hoster, die Agentur oder die eigene IT. Wichtig ist, dass jemand sie macht und das Ergebnis festhält.

Wer zuerst wissen will, welche PHP-Version die eigene Website nach aussen meldet, kann das kostenlos auf meit.ch/php-check prüfen. Der Check liest nur, was die Website öffentlich angibt, er scannt nichts. Offenlegung: Die Agentur Meit gehört wie Leitgrad Merag Shahzad.

Häufige Fragen

Reicht es, wenn mein Hoster das Update eingespielt hat?

Für die Zukunft ja. Weil erste Angriffe schon am 17. Oktober beobachtet wurden, empfiehlt AWS zusätzlich, die Protokolle ab diesem Tag zu prüfen.

Gab es in der Schweiz Angriffe?

Dem Bundesamt für Cybersicherheit sind bisher keine bekannt. Unentdeckte oder nicht gemeldete Fälle schliesst es aber nicht aus.

Wonach sucht der Hoster in den Protokollen?

Nach Formular-Uploads mit dem Begriff PHP_SESSION_UPLOAD_PROGRESS, nach unerwarteten Prozessen und nach Dateien, die sich ohne Grund verändert haben.

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren