PHP-Lücken: Webseiten offline, Millionen Instanzen gefährdet
Zwei kritische PHP-Lücken haben Behörden, Kliniken und Unternehmen zum Abschalten ihrer Webseiten veranlasst. Laut Palo Alto Networks waren weltweit mehr als 22 Millionen Instanzen potenziell gefährdet. Experten mahnen schnelle Updates an. Doch zuerst müssen Unternehmen wissen, wo PHP überhaupt läuft – auch bei ihren Dienstleistern.
Über die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 können Angreifer ohne Anmeldung Schadcode auf verwundbaren Webservern ausführen. Die unter »PHP2Shell« bekannten Schwachstellen betreffen die Speicherverwaltung von PHP. Beide sind mit einem CVSS-Wert von 9,2 als kritisch eingestuft. PHP verarbeitet auf dem Server die Anfragen vieler Websites und Webanwendungen. Entsprechend weit reichen die möglichen Folgen: Angreifer könnten Daten stehlen, Webseiten manipulieren oder betroffene Systeme übernehmen.
Am 21. Oktober 2026 nahmen zahlreiche Einrichtungen ihre Internetangebote vorsorglich vom Netz. Dazu gehörte die Berliner Charité. Ihre Website und angeschlossene Portale waren nicht erreichbar, auch Online-Terminbuchungen waren eingeschränkt. Nach Angaben der Klinik handelte es sich um eine Schutzmaßnahme und nicht um einen Cyberangriff. Der Klinikbetrieb blieb unbeeinträchtigt. Auch die Universitätskliniken Köln, Düsseldorf, Freiburg, Heidelberg und Mannheim schalteten Webseiten vorübergehend ab.
Indirekt traf es auch speicherguide.de: Unser Newsletter-Partner musste zeitweise in den Wartungsmodus wechseln. Unsere Webseite auf Basis von CMFramework war selbst nicht betroffen. Diese technische Basis hat uns schon häufiger staunende Blicke eingebracht – diesmal ersparte sie uns einige Unannehmlichkeiten.
PHP-Lücken: BSI warnt vor schneller Ausnutzung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte ebenfalls vor möglichen großflächigen Angriffen. BSI-Vizepräsident Thomas Caspers erklärte: »Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich.« Angreifer könnten die veröffentlichten Korrekturen mit KI-Werkzeugen analysieren und daraus kurzfristig Angriffscode entwickeln. Die Warnung beschreibt eine erwartete Entwicklung, keine bereits nachgewiesene Angriffswelle.
Die PHP-Entwickler veröffentlichten noch am selben Tag die bereinigten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wer ältere Versionen nutzt, sollte beim zuständigen Distributor oder Support-Anbieter nach Sicherheitskorrekturen fragen oder auf eine unterstützte Version wechseln. Änderungen an der Konfiguration können einzelne Angriffswege erschweren, ersetzen das Update aber nicht.
Wie groß die mögliche Angriffsfläche ist, zeigt ein Bericht von Unit 42, dem Forschungsteam von Palo Alto Networks. Nach eigenen Angaben erfasste der Anbieter zum Veröffentlichungszeitpunkt weltweit mehr als 22,6 Millionen öffentlich erreichbare Instanzen, die potenziell für die beiden Lücken anfällig waren. Die Zahl belegt weder, dass alle diese Installationen tatsächlich angreifbar waren, noch dass sie bereits angegriffen wurden.
Sophos: Installationen finden und Angriffsspuren prüfen
Für Don Smith, VP Threat Intelligence der Sophos Counter Threat Unit, beginnt die Arbeit vor dem eigentlichen Update: »Die unmittelbare Herausforderung besteht nicht einfach darin, einen Patch einzuspielen, sondern jede Instanz zu finden und zu verwalten, auf der PHP läuft.« PHP könne in Webseiten, Content-Management-Systemen, Hosting-Angeboten und Drittanbieterprodukten stecken. Den nutzenden Unternehmen sei das nicht immer bewusst.
Smith empfiehlt, zuerst die aus dem Internet erreichbaren Systeme zu prüfen und zu aktualisieren. Verwundbare Installationen, die sich nicht patchen lassen, sollten bis zur Absicherung vom Internet getrennt werden. Zugleich müssten Sicherheitsteams nach Hinweisen auf bereits erfolgte Angriffe suchen. Dazu zählen ungewöhnliche Prozesse oder Befehlsausführungen durch PHP und den Webserver. Auch Smith warnt, dass Angreifer besonders mit KI-Unterstützung schnell handeln könnten.
NVISO: Software und Abhängigkeiten erfassen
Maxime Thiebaut, Experte für digitale Forensik und Incident Response bei NVISO, sieht im fehlenden Überblick ein grundlegendes Problem: »Unternehmen nutzen oft Software, von der sie nichts wissen, auch durch indirekte Abhängigkeiten.«
Er nennt drei Aufgaben: Das Schwachstellen-Management muss erfassen, welche Software in welcher Version auf welchen Systemen läuft. Die Analyse der externen Angriffsfläche muss zeigen, welche Dienste von außen erreichbar sind – einschließlich übersehener Altsysteme. Eine Software Bill of Materials (SBOM) dokumentiert wiederum die Komponenten und Abhängigkeiten der eingesetzten Software.
Damit sollen Unternehmen bei neuen Sicherheitswarnungen schneller erkennen können, welche Systeme betroffen sind. Thiebaut zufolge verkürzt KI die Zeit, die Angreifer zur Ausnutzung neuer Schwachstellen benötigen. Umso wichtiger sei es, die eigene Software und die Abhängigkeiten von anderen Anbietern zu kennen.