Zwei kritische Sicherheitslücken in PHP haben gestern das gesamte Internet erschüttert. Sie ermöglichen es Angreifern unter bestimmten Bedingungen, Webserver ohne Anmeldung zu kompromittieren. Für Nutzer von Krypto-Websites können daraus manipulierte Anmeldeseiten und gefährliche Wallet-Anfragen entstehen.

Was das für Krypto-Nutzer bedeutet

Die beiden entdeckten PHP-Lücken ermöglichen Angreifern, ohne Anmeldung Schadcode auf verwundbaren Webservern auszuführen. Dadurch könnten sie Daten stehlen oder Websites manipulieren. Weil die Fehler in PHP selbst stecken, reicht ein WordPress- oder Plugin-Update allein nicht aus.

Die Sicherheitsfirma Calif hatte die Sicherheitslücke mithilfe des OpenAI-Modells GPT-5.6 Sol entdeckt. Seit dem 21. Oktober um 15 Uhr deutscher Zeit sind bereits PHP-Sicherheitsupdates verfügbar, die Betreiber von Websites umgehend einspielen sollten.

Tipp der Redaktion: Krypto-Haltefrist: Abschaffung offenbar vor dem Aus – Schäffler enthüllt Kabinettsplanung

Bitcoin-Cypherpunk Jameson Lopp hatte vor der Veröffentlichung auf X gewarnt:

„In wenigen Stunden wird eine kritische Sicherheitslücke offengelegt, die rund 70 Prozent der Websites betrifft. Sie ermöglicht es einem Angreifer, beliebigen Code hochzuladen und auszuführen. Am besten wäre es wohl, wenn ihr für den Rest der Woche nicht mehr im Internet surft.“

Lopp zitierte die Vorwarnung der PHP Foundation. Diese hatte erklärt, dass das PHP-Sicherheitsteam ein Sicherheitsupdate für zwei kritische Schwachstellen veröffentlichen wird, die beide mit CVSS v4 9,2 bewertet sind.

Ledger-CTO Charles Guillemet schrieb daraufhin:

„Millionen Rechner sind verwundbar. Die meisten davon werden in naher Zukunft keine Sicherheitspatches erhalten, und auf TLS kann man sich nicht mehr wirklich verlassen.“

Bei einem erfolgreichen Serverangriff könnten Kriminelle Zugangsdaten abgreifen oder schädliche Transaktionen und Transaktionsfreigaben unterschieben. Auch die bekannte Originaladresse schützt dann nicht, weil die legitime Seite selbst manipuliert sein kann.

Lesetipp: Krypto-Haltefrist: Gesetz verzögert – droht rückwirkende Steuer?

Binance-Mitgründer CZ warnte entsprechend:

„Nennt mich paranoid, aber seid in den nächsten Tagen beim Besuch JEDER Website besonders vorsichtig, weil manche Webadministratoren ihre Systeme nicht immer mit den neuesten Sicherheitspatches versorgen.“

Die Cyber-Security-Firma SlowMist richtete sich via X an die Betreiber:

„SlowMists Threat-Intelligence-System MistEye hat einen weltweiten Scan PHP-bezogener Systeme in der Kryptobranche durchgeführt. Wir fordern alle Plattformen, DeFi-Projekte, Wallet-Anbieter und andere betroffene Akteure auf, mögliche Risiken zu bewerten und auf die offiziell gepatchten Versionen zu aktualisieren, sobald diese verfügbar sind.“

Nutzer sollten unbedingt unerwartete Signaturanfragen ablehnen, Empfänger und Berechtigungen prüfen und ihre Seed-Phrase niemals auf Webseiten eingeben.

Auch eine Hardware-Wallet schützt nicht, wenn ihr Besitzer eine schädliche Transaktion bestätigt. Das Trennen der DApp-Verbindung genügt nicht. Bei offengelegter Seed-Phrase braucht es eine neue Wallet mit neuer Wiederherstellungsphrase.