Unsere Grundlage: kontinuierliches Business- und Infrastruktur-Monitoring
Sicherheit und zuverlässiger Betrieb gehören zu unserer täglichen Arbeit. Dafür betreiben wir ein umfassendes Monitoring, das mehrere Ebenen unserer Infrastruktur abdeckt:
- Aktivitäten und Ressourcen je Server: Wir überwachen Systemzustände, Auslastung und betriebsrelevante Aktivitäten, um Auffälligkeiten frühzeitig zu erkennen und einzuordnen.
- Dienste und Software: Dazu gehören beispielsweise DHCP, Apache-Webserver, PHP und Datenbanken. Die Übersicht über eingesetzte Dienste und Softwarestände hilft uns, bei neuen Sicherheitsmeldungen schnell festzustellen, welche Systeme betroffen sein könnten.
- Hardware: Auch Festplatten, RAID-Controller, CPUs und weitere zentrale Komponenten werden auf Zustand, Fehler und Auslastung überwacht.
- Sicherheitsmeldungen: Unser Monitoring verfolgt relevante Nachrichtenportale und Sicherheitsmagazine, damit neue Risiken frühzeitig in unsere technischen Prüfungen einfließen.
- Datenabflüsse: Ergänzend setzen wir ein DLP-System (*Data Loss Prevention*) zur Erkennung und Verhinderung unerwünschter Datenabflüsse ein.
Diese laufende Überwachung ermöglicht es uns, betroffene Systeme schnell zu identifizieren, Maßnahmen gezielt umzusetzen und ihre Wirkung zu kontrollieren. Die Reaktion auf die PHP-Sicherheitslücken erfolgte im Rahmen unserer etablierten Sicherheits- und Betriebsabläufe – auf Grundlage der Prozesse, die wir auch im täglichen Serverbetrieb einsetzen.
Unser Vorgehen am 21. Oktober
- In der Nacht: Unser Nachrichten- und Sicherheitsmonitoring hat uns frühzeitig auf die angekündigten PHP-Sicherheitslücken aufmerksam gemacht.
- Am frühen Morgen: Unser Technikteam hat gemeinsam mit unseren eigenen, auf Sicherheitsaufgaben spezialisierten KI-Agenten die Schwachstellen analysiert. Durch kontrollierte Angriffe auf unsere eigenen Systeme konnten wir nachvollziehen, unter welchen Bedingungen sich die Schwachstellen ausnutzen lassen und welche Auswirkungen möglich sind. Damit konnten wir unsere Schutzmaßnahmen anhand eigener Testergebnisse entwickeln.
- Bereits am Vormittag: Auf Basis dieser Ergebnisse haben wir Serverkonfigurationen angepasst und Schutzmaßnahmen umgesetzt. Anschließend haben wir unsere Systeme erneut mit denselben Angriffsmustern getestet. Die zuvor nachvollziehbaren Angriffe ließen sich nach den Anpassungen nicht mehr erfolgreich durchführen. Damit war die Wirksamkeit der Schutzmaßnahmen gegen die getesteten Angriffswege bereits vor der Installation der später verfügbaren Sicherheitsupdates bestätigt.
- Im weiteren Verlauf des Vormittags: Wir haben unsere Server systematisch überprüft, die Schutzkonfigurationen ausgerollt und unsere zentralen Infrastruktur- und Backbone-Systeme angepasst.
- Bis zum Mittag: Zusätzliche Regeln in unseren Firewalls und der Web Application Firewall (WAF) wurden eingerichtet, um auffällige Anfragen und bekannte Angriffsmuster zu blockieren.
- Ab etwa 15:30 Uhr: Unmittelbar nach Verfügbarkeit der ersten passenden Sicherheitsupdates haben wir mit deren Installation begonnen.
- Ab etwa 16:30 Uhr: Sobald Updates für weitere Systemversionen verfügbar waren, haben wir die Aktualisierung entsprechend ausgeweitet.
- Bis in die späten Abendstunden: Im Rahmen der heutigen Maßnahmen haben wir mehrere hundert Server mit den erforderlichen Sicherheitsupdates aktualisiert. Unsere etablierten Überwachungs- und Updateprozesse ermöglichten eine zügige, koordinierte Umsetzung über die gesamte betroffene Infrastruktur hinweg. Die hier beschriebenen PHP-Sicherheitslücken sind damit auf allen betroffenen, von uns verwalteten Servern geschlossen.
Bei der bisherigen Auswertung unserer Überwachung wurden keine Hinweise auf einen unbefugten Datenabfluss im Zusammenhang mit diesen Schwachstellen festgestellt.
Die frühzeitigen Konfigurationsänderungen und Firewall-Regeln haben das Risiko bereits vor der Verfügbarkeit passender Updates reduziert. Mit den anschließenden Sicherheitsupdates haben wir die zugrunde liegenden Schwachstellen behoben. Unsere Systeme und die weitere Sicherheitslage überwachen wir kontinuierlich.
