Ist der sogenannte "Bash"-Bug, auch "Shellshock" genannt, wirklich schlimmer als der Heartbleed-Bug von April 2014, wie es ein Sicherheitsexperte letzte Woche einschätzte?

Das sicher nicht, denn der Fehler (offizielle Bezeichnung CVE-2014-6271) betrifft nur Maschinen, die als Server aus dem Internet ansprechbar sind - und damit nur wenige Nutzer von Apple-Computern. Trotzdem hat Apple in diesem Fall schnell reagiert und heute ein Sicherheits-Update  veröffentlicht: das "OS X bash update 1.0" steht für die OS X-Versionen 10.7 (Lion), 10.8 (Mountain Lion), 10.9 (Mavericks) sowie Lion-Server bereit.

Shellshock als "Virus" zu bezeichnen wäre falsch. Unterschätzen sollte man die Schwachstelle dennoch nicht: Der Fehler ermöglicht Angreifern das Einschleusen und Ausführen von Schadcode über die sogenannte Kommandozeilen-Shell "bash", die schon seit 1989 Teil von Unix-Systemen (und dazu gehört auch Mac OS X) ist.

Wer Zugriff auf sie hat, kann Daten absaugen, löschen, verschieben, Dienste an- und ausschalten - er kann sich also Fernzugriff auf einen Rechner verschaffen. "Kurz gesagt: die bash-Lücke ist eine weltweite Einladung an alle Hacker, mit den betroffenen Rechnern wilde Dinge anzustellen", fasst der deutsche Sicherheitsspezialist Thomas Kemmer in seinem Apple-Blog zusammen .

Die Angriffsversuche haben längst begonnen: Nach Beobachtungen der Sicherheitsfirma FireEye  sind seit letzter Woche Zigtausende Server regelrecht mit Attacken bombardiert worden. Ein erster Patch für Linux-Rechner erwies sich als unzureichend, eine neue Lücke (CVE-2014-7169) wurde identifiziert.

Seitdem bringen Hersteller weitere Updates. "Da die einfache Lücke so bequem auszunutzen und eine so große Nutzergruppe vorhanden ist, wird uns das Problem eher Monate als Wochen beschäftigen", prophezeit die britische Technik-Webseite "The Register" . Apples Patch kommt also gerade rechtzeitig.