Eine Sicherheitslücke in der Programmiersprache PHP bedroht zahlreiche Blogs und Onlineshops weltweit. Vorsorglich haben bereits Universitäten, Krankenhäuser und Behörden ihre Webseiten abgeschaltet. Handlungsdruck entsteht dadurch, dass Angreifer über diese Schwachstellen von außen Schadcode auf Webservern ausführen können.
Inhaltsverzeichnis
Bedeutung der Programmiersprache PHP
PHP dient als Grundlage für zahlreiche Online-Anwendungen. Große Nachrichtenportale, einfache Blogs, Content-Management-Systeme und komplexe Onlineshops können von den Sicherheitslücken betroffen sein.
Schätzungen zufolge läuft PHP auf etwa 70 % aller Webseiten, deren serverseitige Programmiersprache bekannt ist.
Solange keine abgesicherte PHP-Version implementiert ist, besteht für sie alle potenziell Gefahr.
Schätzungen von Fachleuten zufolge sind allein 400 bis 500 Millionen Webseiten weltweit betroffen, die mit der PHP-basierten Anwendung WordPress betrieben werden. Auch andere Content-Management-Systeme wie TYPO3 und Joomla! sowie das Lernmanagementsystem Moodle werden mit PHP betrieben und können gefährdet sein.
Programmiersprache PHP mit zwei gravierenden Schwachstellen
Die Sicherheitslücken in PHP sind schon länger bekannt: Es handelt sich um Versionen, die vor über zehn Jahren erschienen sind. Im Sommer 2026 haben Sicherheitsforscher der Unternehmen Calif und Wiz diese mithilfe von KI-Modellen entdeckt. Am 20. Oktober 2026 gelangten erste Informationen durch ein Leak an die Öffentlichkeit, am 21. Oktober veröffentlichte das PHP-Team die Sicherheitsupdates. Jetzt sprechen Fachleute für IT eine Warnung aus. Eine offizielle Cybersicherheitswarnung wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht.
Die beiden sicherheitskritischen Schwachstellen machen es Verbrechern möglich, ohne Registrierung und aus der Distanz eigenen Schadcode auf Servern zu platzieren.
Die Schwachstellen, die unter dem Namen PHP2Shell bekannt sind, wurden offiziell als CVE-2026-109618 und CVE-2026-109619 erfasst. Das PHP-Team vergibt für beide eine Bewertung von 9,2 auf einer Skala von 10 (CVSS 4.0). Das BSI bewertet das Risiko mit der Warnstufe 3 (Orange) als extrem hoch, da es möglich ist, dass Kriminelle die betroffenen Systeme vollständig übernehmen.
Wenn es Angreifern gelingt, einen Server zu übernehmen, können sie Passwörter, die dort gespeichert sind, stehlen oder Besucher auf gefälschte Seiten umleiten. Sollten Betroffene die gleichen Zugangsdaten auch für andere Dienste verwenden, so können Kriminelle diese ausnutzen, um weitere Konten anzugreifen.
Vorsorglich haben viele Webseitenbetreiber ihre Seiten vom Netz genommen. Einige Betreiber haben inzwischen Updates vorgenommen und sind nun mit ihren Internetauftritten wieder online.
Indirektes Risiko für persönliche Daten
Indirekt besteht ein Risiko für die persönlichen Daten der Webseitenbesucher. Das betrifft Bürgerportale genauso wie Onlineshops, wenn sie mit PHP programmiert wurden. Über einen Schadcode können Angreifer an die Datenbanken gelangen und Passwörter, Kontaktdaten sowie andere sensible Kundendaten abschöpfen.
Angreifer können auf alles, was auf einer Webseite gespeichert ist, zugreifen, wenn der Webserver gehackt wird. Außerdem ist es möglich, einen übernommenen Server als Basis für zusätzliche Angriffe zu nutzen. Betreiber einer Webseite sollten darauf achten, dass auf ihrem Server eine sichere PHP-Version installiert ist. Die Lücken werden nicht durch automatische Updates des Content-Management-Systems oder von Plugins geschlossen – PHP selbst muss aktualisiert werden, in der Regel durch den Webhoster oder die Serveradministration.
PHP kann auch bei Netzwerkspeichern im Spiel sein, über die Daten mit der Familie und Freunden getauscht werden. Updates können auch hier helfen, um diese Plattformen sicherer zu machen.
Keine direkte Gefahr auf Endgeräten
Eine direkte Gefahr auf Endgeräten wie PCs, Smartphones oder Tablets von Nutzern besteht nicht. Betroffen sind Systeme, die PHP ausführen – hauptsächlich die Server der Webseitenbetreiber, aber auch einige vernetzte Geräte.
Gefahr bei vernetzten Geräten
Eine Gefahr besteht bei vernetzten Geräten wie Netzwerkspeichern, Routern, Überwachungssystemen oder Lösungen zur Gebäudeautomation. Eine verwundbare Verwaltungsoberfläche kann bei vernetzten Geräten dazu führen, dass sich Angreifer Zugriff verschaffen.
Angreifer können über eine verwundbare Verwaltungsoberfläche Daten auslesen, das Gerät für weitere Angriffe verwenden oder Einstellungen manipulieren. Eine erhöhte Gefahr besteht für Unternehmen mit vernetzten Geräten. Eine unscheinbare Verwaltungsoberfläche könnte für Angreifer eine Hintertür zum Unternehmen darstellen.
Inhaber solcher Geräte sollten die Sicherheitshinweise und Firmware-Updates der Hersteller kontrollieren und sicherstellen, dass die Verwaltungsoberfläche nicht über das Internet zugänglich ist. Die Reaktionen der Hersteller auf die Situation variieren in ihrer Geschwindigkeit, Synology bietet bereits korrigierte Pakete an, während QNAP zuletzt noch keinen Termin genannt hat.
– stock.adobe.com
Keine Probleme bei Banking-Anwendungen
Banking-Anwendungen basieren auf anderen technischen Komponenten und sind daher, nach allem, was bisher bekannt ist, nicht von den Sicherheitslücken in PHP betroffen. Der Deutsche Sparkassen- und Giroverband erkennt momentan keine Auswirkungen auf das Online-Banking. Einige Banken haben ihre digitalen Schaufenster für einige Stunden vom Netz genommen, da sie die PHP-Technik für herkömmliche Webseiten nutzen. Diese digitalen Schaufenster sind strikt von den Banking-Anwendungen getrennt.
Wie Betreiber von Webseiten die Sicherheit prüfen können
Wer eine Webseite betreibt, egal, ob es sich um einen Blog, eine Webseite von einem Unternehmen oder einer öffentlichen Einrichtung beziehungsweise eine Vereinswebseite handelt, muss die PHP-Version seiner Serverumgebung prüfen. Es sind die Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie alle neueren Versionen dieser Serien abgesichert. Das PHP-Projekt gibt keine offiziellen Updates mehr für PHP 8.1 und frühere Versionen heraus. Die Webseite kann mit Notfall-Updates auf den neuesten Sicherheitsstand gebracht werden.
Viele große Webhosting-Anbieter haben ihre PHP-Version schon aktualisiert. Webseiten sind nur dann geschützt, wenn die automatischen Sicherheitsupdates auch PHP auf dem Server berücksichtigen und eine noch unterstützte PHP-Version verwendet wird.
Auch dann, wenn ein Webhoster für die Sicherheit verantwortlich ist, sollten Webseitenbetreiber prüfen, ob bereits eine geeignete PHP-Version als Update eingespielt wurde.
Wie geht es weiter?
Sicherheitsfirmen nehmen gegenwärtig eine Vielzahl automatisierter Angriffsversuche wahr; am 22. waren dem BSI erfolgreiche Angriffe in größerem Umfang bekannt. Im Oktober steht noch keine Bekanntgabe an. Es wird vermutet, dass die Angriffswelle noch Wochen und Monate andauern wird. Attackierer sind fortwährend auf der Suche nach nicht gepatchten Systemen.
Eine Entwarnung ist erst möglich, wenn alle Systemadministratoren und Webhoster die Sicherheitsupdates vorgenommen haben. Betreiber sollten veraltete PHP-Versionen, für die keine offiziellen Updates mehr verfügbar sind, isolieren und unverzüglich abschalten oder auf eine unterstütze Version umstellen, um Cyberangriffe zu verhindern.
PHP ist ein Open-Source-Projekt. Ein kleines Team von Entwicklern, das teilweise von der gemeinnützigen PHP Foundation finanziert wird, übernimmt die Absicherung, unterstützt von ehrenamtlichen Helfern und einer globalen Entwickler-Community. Dieses Team prüft eingehende Sicherheitsmeldungen und stellt Notfall-Updates bereit.
