Drei Sicherheitsalarme in drei Wochen
· von Dennis Erdmann
Moin!
Die letzten drei Wochen hatten es in sich.
Am 21.10. kamen Updates für zwei kritische Lücken in PHP selbst, bekannt als PHP2Shell. Das BSI rechnete damit, dass Angreifer sie innerhalb weniger Stunden nach den Updates massenhaft ausnutzen. Mittwald hat daraufhin vorsorglich alle Websites offline genommen und erst nach dem Patch wieder freigeschaltet.
Am 27.10. ist dann ein Angreifer bei Mittwald selbst eingestiegen. Und zwar über den MCP-Server, also die Schnittstelle, mit der man das mStudio an KI-Assistenten anbinden konnte. Er hat Sitzungs-Tokens abgegriffen und kam damit an 56 Projekte. Aufgefallen ist das erst am 4.11.
Der MCP-Server ist weiterhin offline, einzelne Websites sind noch gesperrt. Eine ausführliche Darstellung hat Mittwald für diese Woche angekündigt.
Und morgen, am 11.11., kommen die angekündigten Sicherheitsupdates für Contao 5.3, 5.7 und 6.0.
Auch uns hat es erwischt, obwohl wir gar nicht betroffen waren. Eine Website, die wir betreuen, war nicht erreichbar, einloggen konnten wir uns auch nicht. Dabei hatte im Projekt niemand den MCP-Server genutzt. Gesperrt war trotzdem alles. Der Datenschutzbeauftragte des Projekts wurde vorsorglich informiert.
Seitdem denke ich viel über unsere Wartung nach.
Wir spielen Updates bei unseren Wartungskund:innen im Monatsrhythmus ein. Das hat lange gereicht. Ich glaube, auf Dauer reicht es nicht mehr. Aus drei Gründen.
1. Es geht schneller.
Bei PHP2Shell lagen zwischen Update und erwarteten Angriffen Stunden, nicht Wochen. Wer erst beim nächsten Wartungstermin aktualisiert, lässt die Tür im schlimmsten Fall vier Wochen offen.
Und die Angreifer werden schneller. Bei Mittwald lagen zwischen einzelnen Schritten teils nur Sekunden. Mittwald geht deshalb davon aus, dass KI-Werkzeuge im Spiel waren. Die Werkzeuge, mit denen wir Code schreiben, nutzen eben auch die Angreifer.
2. Contao ist nur eine von vielen Türen.
Gegen den Angriff bei Mittwald hätte kein Contao-Update geholfen. Contao war gar nicht das Problem. Das Problem war ein Zugang zur Plattform drumherum.
Und solche Zugänge werden mehr: PHP, Server, Hoster-Oberfläche, SSH-Keys, API-Tokens. Und seit Neuestem Schnittstellen für KI-Assistenten. Jede davon ist eine Tür, die jemand im Blick haben muss.
3. Ein Update räumt nicht auf.
Der Angreifer war gut eine Woche unbemerkt im System. Ein Update schließt die Lücke, durch die er gekommen ist. Was er in der Zwischenzeit hinterlassen hat, bleibt.
Was das für unsere Wartungsverträge bedeutet, sortiere ich gerade noch. Ein paar Dinge kannst du aber jetzt schon tun. Auch wenn deine Projekte nicht bei Mittwald liegen:
Zwei-Faktor-Authentifizierung einschalten. Im Contao-Backend und beim Hoster. Im mStudio gehen seit Kurzem auch Passkeys.
Zugänge aufräumen. SSH-Keys, API-Tokens, Backend-Benutzer:innen. Was niemand im Team kennt, fliegt raus.
Die PHP-Version kennen. Ob deine Projekte gepatcht sind, weißt du nur, wenn du weißt, worauf sie laufen. So findest du sie heraus.
Nach einem Vorfall Zugangsdaten tauschen. In der .env.local deiner Contao-Installation stehen in der Regel Datenbank-Passwort, Mail-Zugang und das APP_SECRET. Wer Zugriff auf das Projekt hatte, konnte sie lesen. Weitere Punkte listet Mittwald in den FAQ zum Vorfall.
Und jetzt du: Wie oft spielst du Updates ein? Fester Termin, sofort oder irgendwas dazwischen? Antworte einfach auf diese Mail, mich interessiert wirklich, wie andere Agenturen das lösen.
Erstma',
Dennis