Cloudflare: Jahrelang Sicherheitsprobleme wie bei php2shell

Die in den letzten Tagen veröffentlichten Sicherheitslücken php2shell und Broccoli2Shell sind laut Matthew Prince, CEO von Cloudflare, nur der Anfang. „Ich glaube, wir werden ein paar Jahre erleben, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen“, sagte er in der vergangenen Woche der Nachrichtenagentur Reuters. Der Grund: Immer mehr Menschen suchen mithilfe von KI nach Sicherheitslücken.

Weiterlesen nach der Anzeige

Cloudflare, das unter anderem mit seinem Reverse-Proxy-Netz und einer Web Application Firewall (WAF) die Webseiten seiner Kunden schützt, war eines der ersten Unternehmen, die Angriffe mit php2shell erkannten und abwehrten. An den Patches für die Lücke, die aus der Ferne eine vollständige Übernahme von fremden Systemen ermöglichte, wurde monatelang gearbeitet. Große Player in der Security-Szene wie Cloudflare werden bei solchen Prozessen oft früh einbezogen.

Schon jetzt sind offenbar mehrere Lücken bekannt, die sich so ähnlich wie php2shell auswirken könnten. Cloudflare kenne „eine Reihe weiterer schwerwiegender Schwachstellen, die in anderen kritischen Softwarekomponenten vorhanden sind“, sagte Prince im Gespräch mit Reuters. Die Namen von betroffenen Projekten nannte er dabei natürlich nicht.

Zeit zwischen Entdeckung und Angriff wird kürzer

Prince, der mit Security sein Geld verdient, ist mit solchen Beobachtungen nicht alleine. Auch Patrick Garrity von VulnCheck, das aktiv unter anderem mit eigenen Honeypots nach Angriffen sucht, meint, es werde „noch deutlich mehr Feuerwehreinsätze für alles geben, was dem Internet ausgesetzt ist“. Mit Prince einig ist er sich auch darin, dass die Zeit zwischen der Entdeckung von Lücken und Angriffen über diese immer kürzer wird.

Weiterlesen nach der Anzeige

Dieser Meinung ist auch Tobias Glemser von der deutschen secuvera GmbH, der in einem Kommentar für heise online auch Auswege aus dem Dilemma aufzeigt. Vor allem eine kontinuierliche Wartung von jeglicher Software hält er für erforderlich. Gerade bei PHP waren viele teils Jahrzehnte alte Installationen im Einsatz, wie sich in der vergangenen Woche erneut zeigte.