Ein vermeintlich harmloses CAPTCHA mit gefährlichen Folgen
Ein Techniker eines IT-Dienstleisters wollte lediglich überprüfen, ob die Website eines Kunden nach einem Update noch ordnungsgemäß funktionierte. Doch beim Aufrufen der Seite fiel ihm etwas auf. Zunächst erschien eine gewöhnlich wirkende CAPTCHA-Abfrage.
Nach einem Klick auf die Bestätigung öffnete sich jedoch ein Fenster mit einer Anleitung:
Windows + R drücken, um das Ausführen-Fenster zu öffnen.
Strg + V drücken, um einen bereits kopierten Befehl einzufügen.
Enter drücken, um den Befehl auszuführen.
Was wie eine zusätzliche Sicherheitsprüfung aussah, war in Wirklichkeit ein Versuch, Schadcode auf dem Rechner des Besuchers auszuführen. Der Techniker erkannte die Gefahr und führte den Befehl nicht aus. Damit konnte er eine mögliche Infektion seines Rechners verhindern.
Die eigentliche Sicherheitslücke lag jedoch nicht bei seinem Gerät: Die Website des Kunden war bereits manipuliert worden und stellte damit eine potenzielle Gefahr für jeden weiteren Besucher dar.
ClickFix: Wenn Besucher selbst Schadcode ausführen
Hinter der gefälschten CAPTCHA-Abfrage steckt eine Angriffstechnik namens ClickFix. Dabei versuchen Cyberkriminelle, Nutzer durch vermeintliche Sicherheitsprüfungen, Fehlermeldungen oder Update-Hinweise dazu zu bringen, selbst einen schädlichen Befehl auszuführen.
Besonders tückisch ist die Vorgehensweise: Die Angreifer platzieren einen Befehl in der Zwischenablage und leiten den Nutzer anschließend Schritt für Schritt zur Ausführung an. Durch gezielte Verschleierung kann der eigentliche Zweck des Befehls verborgen bleiben.
Die Gefahr besteht darin, dass Nutzer einer vertrauten Website und der scheinbar legitimen Sicherheitsprüfung vertrauen. Im schlimmsten Fall installieren sie dadurch unwissentlich Schadsoftware auf ihrem eigenen Gerät. Doch wie gelangen solche manipulierten Inhalte überhaupt auf eine Website?
PHP2Shell: Kritische Schwachstellen als mögliches Einfallstor
Genau hier kommen die zuletzt viel diskutierten PHP-Schwachstellen ins Spiel. Unter dem Namen PHP2Shell wurden im Oktober 2026 zwei kritische Sicherheitslücken in PHP bekannt, die unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Systemen ermöglichen.
PHP ist eine weitverbreitete Programmiersprache, die unter anderem für Websites, Webshops und Webanwendungen eingesetzt wird. Werden entsprechende Schwachstellen ausgenutzt, können Angreifer unter bestimmten Voraussetzungen die Kontrolle über Teile eines Webservers erlangen und beispielsweise schädliche Skripte in eine Website einschleusen.
Die möglichen Folgen reichen damit weit über den betroffenen Server hinaus: Eine kompromittierte Website kann selbst zur Plattform für weitere Angriffe werden – etwa durch gefälschte CAPTCHA-Abfragen wie im beschriebenen Praxisfall.
Wichtig: Dass die Website im geschilderten Fall manipuliert wurde, steht fest. Ob tatsächlich eine der aktuellen PHP-Schwachstellen als Einstiegspunkt genutzt wurde, ist nicht abschließend geklärt. Der Vorfall verdeutlicht jedoch ein mögliches Angriffsszenario und die Risiken verwundbarer Webserver.
Ausführliche Informationen zu PHP2Shell, den betroffenen Versionen und den verfügbaren Sicherheitsupdates finden Sie in unserem Beitrag: PHP2Shell: Kritische PHP-Lücken und wie lywand hilft
Was bedeutet das für Managed Service Provider?
Für MSPs und IT-Dienstleister zeigt dieser Fall, warum die regelmäßige Überprüfung der Kundeninfrastruktur so wichtig ist. Denn eine Sicherheitslücke auf einem öffentlich erreichbaren Server gefährdet unter Umständen nicht nur den Betreiber selbst. Wird die Website erfolgreich kompromittiert, können auch Kunden, Geschäftspartner und andere Besucher betroffen sein.
Besonders kritisch wird es, wenn Sicherheitslücken zwar bekannt sind, aber über längere Zeit unentdeckt oder unbehandelt bleiben. Für MSPs ergeben sich daraus drei wesentliche Aufgaben:
Schwachstellen frühzeitig erkennen: Welche Server, Endgeräte und Netzwerkgeräte sind von den aktuellen Sicherheitslücken betroffen?
Risiken gezielt priorisieren: Welche Schwachstellen erfordern aufgrund ihrer Kritikalität und möglichen Ausnutzbarkeit besonders rasches Handeln?
Behebung überprüfen: Wurden die erforderlichen Updates tatsächlich eingespielt und die Schwachstellen erfolgreich geschlossen?
Eine einmalige Überprüfung reicht dafür nicht aus. Neue Sicherheitslücken werden laufend bekannt, während sich die IT-Infrastruktur der Kunden ständig verändert.
Wie lywand bei der Erkennung von PHP-Schwachstellen hilft
Mit lywand können Managed Service Provider die IT-Infrastruktur ihrer Kunden automatisiert auf bekannte Sicherheitslücken überprüfen, darunter auch die aktuellen PHP-Schwachstellen. Erkannte Schwachstellen werden anschließend zentral in der lywand-Plattform dargestellt, anhand relevanter Risikofaktoren priorisiert und mit passenden Maßnahmen zur Behebung versehen.
Nach dem Einspielen der Sicherheitsupdates kann durch erneute Prüfungen kontrolliert werden, ob die betreffenden Schwachstellen weiterhin erkannt werden. So behalten MSPs nicht nur die aktuellen PHP-Schwachstellen im Blick, sondern können das Vulnerability Management über ihre gesamte Kundeninfrastruktur hinweg automatisieren.
Eine bereits erfolgte Website-Manipulation oder ein laufender ClickFix-Angriff wird durch die Schwachstellenprüfung allerdings nicht automatisch erkannt. Hierfür sind ergänzende Sicherheitsmaßnahmen erforderlich.
Fazit: Bekannte Schwachstellen sollten nicht zu vermeidbaren Sicherheitsvorfällen werden
Der geschilderte Praxisfall zeigt, wie schnell eine manipulierte Website zur Gefahr für ihre Besucher werden kann. Dass der Techniker den Angriff rechtzeitig erkannt hat, verhinderte in diesem Fall eine mögliche Infektion seines Geräts. Die eigentliche Kompromittierung der Website war zu diesem Zeitpunkt jedoch bereits erfolgt. Die zuletzt bekannt gewordenen PHP-Schwachstellen verdeutlichen einmal mehr, wie wichtig es ist, verwundbare Systeme frühzeitig zu identifizieren und Sicherheitsupdates zeitnah einzuspielen.
Mit lywand unterstützen wir MSPs dabei, genau diesen Prozess zu automatisieren: Schwachstellen erkennen, Risiken priorisieren, Maßnahmen ableiten und die erfolgreiche Behebung überprüfen – zentral über alle betreuten Kunden hinweg. So können IT-Dienstleister potenzielle Einfallstore frühzeitig identifizieren, bevor Angreifer sie ausnutzen.
FAQs
