Drupalgeddon 2: 115.000 Webseiten mit Drupallücken übernommen

Mindestens 115.000 Webseiten weltweit sind von Sicherheitsproblemen betroffen, weil sie Patches für kritische Sicherheitslücken im Content Management System (CMS) Drupal nicht eingespielt haben, wie Ars Technica berichtet. Die als Drupalgeddon 2 bekanntgewordene Lücke ermöglicht Angreifern, Code auf einer Webseite auszuführen und dort böswillig Veränderungen vorzunehmen.

Zahlreiche zum Teil prominente Seiten sind betroffen, etwa eine Unterseite der Universität Harvard, außerdem die brasilianische Ausgabe des Magazins Computerworld. Aus Deutschland sind unter anderem die Webseite des Fachbereichs Bioinformatik der Universität des Saarlandes, die Seite des Berufskollegs Hilden sowie zahlreiche weitere Universitätswebseiten betroffen. In den USA sind ebenfalls zahlreiche Seiten von Universitäten, aber auch von lokalen Regierungsstellen betroffen.

Seiten betreiben Kryptomining

Einige der Seiten sind durch ein Defacement verändert worden, andere werden für verstecktes Kryptomining im Webbrowser missbraucht. Aufgespürt wurden die Webseiten vom Malwarebytes-Analysten Jérôme Segura, er hat zahlreiche Seiten in einem Pastebin zusammengetragen. Bei vielen davon dürfte es sich um aufgegebene Projekte handeln.

Schon vor der Veröffentlichung der Patches hatte das Drupal-Team gewarnt, dass die Schwachstellen umgehend behoben werden sollten, weil mit Exploits innerhalb weniger Stunden zu rechnen sei. Auf einem Vortrag auf der IT-Sicherheitskonferenz Ruhrsec hatte David Jardin aus dem Joomla-Team berichtet, dass Seiten oft nur wenige Stunden nach Veröffentlichung von Sicherheitslücken automatisch angegriffen werden.

Nutzer sollten die Drupalversionen 7,59 oder 8.5.4 nutzen, um gegen bekannte Schwachstellen abgesichert zu sein.