PHP-Sicherheitslücken: Vorsicht vor falschen Hilfsangeboten

Wer jetzt eine Nachricht wegen der PHP-Sicherheitslücken bekommt, sollte den Absender sorgfältig prüfen. Die reale Bedrohung für Webserver kann auch einer erfundenen Hilfsgeschichte Glaubwürdigkeit verleihen. Ein Hinweis auf „PHP2Shell“ beweist weder, dass die Nachricht vom eigenen Anbieter stammt, noch dass die vorgeschlagene Maßnahme sinnvoll ist.

Bereits am 21. Oktober haben wir erklärt, warum die PHP-Sicherheitslücken auch Webseitenbesucher betreffen und was Betreiber jetzt klären müssen. PHP läuft bei vielen Internetangeboten auf dem Server, unter anderem bei WordPress-Seiten. Die veröffentlichten Sicherheitsupdates müssen dort eingespielt werden. Ein Browserupdate am eigenen Computer schließt diese Serverlücken nicht.

Die Angriffe sind real – die angebliche Hilfe muss geprüft werden

Cloudflare berichtet in seinem Beitrag vom 21. Oktober, bereits Angriffsverkehr gegen die Schwachstellen beobachtet zu haben. Das Unternehmen beschreibt auch Versuche, seine Schutzmaßnahmen durch veränderte Angriffsdaten zu umgehen. Das PHP-Projekt fordert zur sofortigen Aktualisierung auf. Die technische Warnung ist damit ein konkreter Handlungsauftrag für die zuständigen Betreiber und ihre IT-Betreuung.

Davon zu unterscheiden ist die vorsorgliche Warnung vor falschen Helfern: Uns liegen derzeit keine belegten Fälle von Betrugsnachrichten vor, die ausdrücklich diese PHP-Lücken als Vorwand verwenden. Dass Kriminelle angebliche Sicherheitsprobleme für falsche Supportangebote nutzen, ist allerdings dokumentiert. Das österreichische Bundeskriminalamt beschreibt Anrufe, bei denen Täter etwa einen Virenbefall oder ein notwendiges Update behaupten und unter diesem Vorwand Fernzugriff verlangen.

Wie ein falsches Hilfsangebot aussehen könnte

Ein denkbares, hier ausdrücklich ausgedachtes Beispiel wäre eine E-Mail im Namen des Webhosters: Wegen PHP2Shell müsse die Website sofort über einen mitgeschickten Link „abgesichert“ werden, andernfalls werde sie gesperrt. Führt dieser Link zu einer nachgebauten Anmeldung, könnten die eingegebenen Zugangsdaten bei Kriminellen landen. Der Zeitdruck soll eine Überprüfung verhindern.

Ebenso denkbar wäre ein unerwarteter Anruf mit der Behauptung, wegen der aktuellen Sicherheitslücken müsse dringend der private Computer überprüft werden. Wer daraufhin einem unbekannten Anrufer Zugriff über eine Fernwartungssoftware erlaubt, kann ihm weitreichende Kontrolle über das Gerät geben. Solche Programme werden auch von seriösen IT-Dienstleistern verwendet. Gefährlich wird die Freigabe an eine Person, deren Identität und Auftrag nicht geklärt sind.

Den eigenen Anbieter über bekannte Wege kontaktieren

Eine echte Mitteilung eures Hosters solltet ihr rasch prüfen. Öffnet dafür das Kundenportal über ein vorhandenes Lesezeichen oder die euch bekannte Internetadresse. Bei Rückfragen verwendet ihr die bereits gespeicherten Kontaktdaten eures Anbieters oder eurer IT-Betreuung. Die Telefonnummer aus einer verdächtigen Nachricht eignet sich nicht dazu, deren Echtheit zu bestätigen.

Gebt keine Passwörter oder Bestätigungscodes an unerwartete Anrufer weiter und installiert keine angeblichen Reparaturprogramme aus unverlangt zugesandten Anhängen. Das Bundeskriminalamt empfiehlt bei verdächtigen Nachrichten ebenfalls, die offizielle Seite direkt aufzurufen beziehungsweise den behaupteten Absender über unabhängig ermittelte Kontaktdaten zu erreichen.

Wer selbst eine Website betreibt, sollte konkret nachfragen, ob die eingesetzte PHP-Umgebung gegen beide veröffentlichten Schwachstellen abgesichert ist. Ein WordPress- oder Pluginupdate allein erledigt das nicht. Das PHP-Projekt stellt seine Sicherheitsmeldungen und offiziellen Downloads bereit; bei betreutem Hosting übernimmt die zuständige Stelle die Aktualisierung der Serverumgebung.

Was die Warnung für den eigenen Computer bedeutet

Die Nachricht über PHP2Shell allein ist kein Hinweis darauf, dass euer privater Computer infiziert ist. Webseitenbesucher können indirekt betroffen sein, wenn ein Anbieter erfolgreich angegriffen wird und dabei etwa gespeicherte Daten offengelegt werden. Ob das bei einem bestimmten Dienst passiert ist, braucht einen konkreten Nachweis. Eine vorübergehend abgeschaltete Website kann auch eine vorsorgliche Schutzmaßnahme sein.

Falls ihr bereits Zugangsdaten auf einer verdächtigen Seite eingegeben habt, ändert sie über den echten Dienst und informiert den Anbieter. Wurde einem mutmaßlichen Betrüger Fernzugriff gewährt, trennt das Gerät vom Internet und holt euch Hilfe bei einer bekannten, vertrauenswürdigen IT-Stelle. Ändert möglicherweise betroffene Passwörter von einem anderen, vertrauenswürdigen Gerät aus. Sind Zahlungsdaten oder Überweisungen betroffen, verständigt umgehend eure Bank.