Was ist PHP?
Eine Website besteht aus Programmen, die auf einem Computer im Rechenzentrum laufen, dem Server. PHP ist eine Programmiersprache, in der diese Programme geschrieben werden. Forscher der TU Berlin gehen davon aus, dass PHP über 75 Prozent aller Websites antreibt. Dazu zählen Onlineshops, Blogs und Nachrichtenportale.
Betroffen sind Systeme wie WordPress, (Verwaltung von Websites und Blogs), WooCommerce und Magento (Onlineshops) sowie Joomla und Drupal (weitere verbreitete Systeme zur Erstellung und Verwaltung von Websites).
Was ist PHP2Shell?
Der Begriff PHP2Shell ist eine Bezeichnung für zwei Sicherheitslücken in der Programmiersprache PHP selbst. Das Wort „Shell“ steht für eine Befehlszeile, über die Server aus der Ferne gesteuert werden.
Die Ursache liegt in der Speicherverwaltung von PHP. Die vorliegende Sicherheitslücke zeigt sich, wenn ein Programm bei der Verarbeitung einer Anfrage einen Fehler verursacht, beispielsweise weil der verfügbare Arbeitsspeicher nicht ausreicht. Dabei können Daten unvollständig verarbeitet oder bereits freigegebener Speicher erneut verwendet werden.
Angreifer können dieses Verhalten ausnutzen, um eigene Befehle einzuschleusen. Dafür müssen sie sich nicht einmal im System anmelden. Die Sicherheitslücken tragen die offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619.
Wie wurde die PHP-Sicherheitslücke entdeckt?
Üblich ist, dass Entwickler ein bekanntes Sicherheitsleck erst öffentlich machen, wenn eine Möglichkeit besteht, es zu beheben. In diesem Fall tauchten Details über das Leck bereits am 20. Oktober auf der populären IT-Plattform Hacker News auf, einen Tag vor dem festgesetzten Termin. Das PHP-Team veröffentlichte die Reparaturen daraufhin am 21. Oktober.
Die Folgen zeigen sich schnell. Cloudflare, ein Webdienst, der Websites vor Angriffen schützt, beobachtet bereits Angriffe, und laut CERT-EU, der IT-Sicherheitsstelle der EU, kursieren erste Anleitungen zum Ausnutzen der Sicherheitslücke. Böswillige Angreifer hatten somit bereits einen Vorsprung, bevor viele Betreiber überhaupt reagieren konnten.
Künstliche Intelligenz beschleunigt den Angriff
Marc Henrichmann (CDU) leitet das Parlamentarische Kontrollgremium zur Kontrolle der Nachrichtendienste des Bundes. Dem „Handelsblatt“ sagte er: „Wir erleben einen Wendepunkt.“ KI mache laut Henrichmann aus Schwachstellen, die bisher kaum ausnutzbar galten, innerhalb kürzester Zeit echte Einfallstore. Er zählt die PHP-Sicherheitslücke zu den ernstesten der vergangenen Jahre.
Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) waren die Firmen Wiz und Calif.io gemeinsam mit OpenAI an der Entdeckung beteiligt. KI-Tools stehen somit sowohl Entdeckern von Sicherheitslücken als auch Angreifern zur Verfügung. Ein Fehler in einer seit Jahrzehnten verbreiteten, wichtigen Server-Software kann sogar die Sicherheit von Staat und Wirtschaft gefährden. Zahlreiche Behörden nahmen ihre Internetseiten vorsorglich vom Netz.
Betreiber von Websites müssen PHP aktualisieren
Betreiber von Websites müssen die neue PHP-Version installieren und den Server neu starten. Die Fehler in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 wurden behoben. Für PHP 8.1 und ältere Versionen gibt es kein offizielles Update. Wer seine Seite bei einem Website-Hosting-Dienst betreibt, sollte dort nach dem Stand der Reparatur fragen.
Auch Besucher von Websites können betroffen sein
Als Website-Besucher sollten Sie auf Mitteilungen der von Ihnen genutzten Webdienste achten. Es ist denkbar, dass deren Betreiber Sie dazu auffordern, Ihre Passwörter zu aktualisieren. Laut den Sicherheitsforschern des Cloud-Sicherheitsunternehmens Wiz, die die vorliegenden Sicherheitslücken entdeckt haben, können Angreifer über die PHP-Sicherheitslücke auch sensible Daten auslesen. Dazu zählen Passwörter und kryptografische Schlüssel, die sich im Arbeitsspeicher eines betroffenen Servers befinden.
Begriffserklärungen und Definitionen zu PHP-Sicherheitslücken
PHP
PHP ist eine Programmiersprache, mit der ein Großteil aller Websites erstellt wurde. Sie läuft auf einem Server und erzeugt die Seiten, die in Ihrem Browser angezeigt werden.
Sicherheitslücke
Eine Sicherheitslücke ist ein Fehler in einer Software, den Angreifer ausnutzen können. Sie wird mit einer speziellen Kennung erfasst und nach Schweregrad bewertet.
Update (Patch)
Ein Update ist eine vom Hersteller bereitgestellte Fehlerkorrektur. Es ersetzt fehlerhafte Software durch eine korrigierte Version und wird generell erst nach der Installation und einem Neustart wirksam.
Drei Kurzantworten zu PHP-Sicherheitslücken
Was ist PHP2Shell?
Der Begriff „PHP2Shell“ bezeichnet zwei schwerwiegende Fehler im inneren Aufbau der Programmiersprache PHP. Mithilfe dieser Fehler können Angreifer Befehle auf Webservern ausführen, ohne deren Passwörter zu kennen.
Wer ist betroffen?
Betroffen sind PHP-Installationen, die Web-Anfragen verarbeiten, wie etwa bei WordPress, WooCommerce, Drupal, Joomla und Magento. Auch Besucher von Websites können betroffen sein, wenn auf einem Server gespeicherte Daten gestohlen werden.
Wie können Sie sich schützen?
Betreiber sollten die Versionen PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 installieren und den Server neu starten. Ältere PHP-Versionen, auf denen sich diese Versionen nicht installieren lassen, benötigen ein Upgrade.
Häufig gestellte Fragen zu PHP-Sicherheitslücken
Wird die Sicherheitslücke bereits ausgenutzt?
Cloudflare meldet zahlreiche Angriffe. Laut CERT-EU sind bereits erste Anleitungen zum Ausnutzen dieser Sicherheitslücke im Umlauf. Das Bundesamt für Sicherheit in der Informationstechnik rechnet damit, dass die Sicherheitslücke kurz nach Erscheinen der Updates weitläufig ausgenutzt wird.
Muss ich als Internetnutzer etwas tun?
Ein Update Ihrer eigenen Geräte ist nicht nötig, da der Fehler auf den Servern der Betreiber entsteht. Wechseln Sie Ihre Passwörter, wenn ein Webdienst, bei dem Sie Kunde sind, Sie dazu auffordert.
Schützt ein aktuelles WordPress?
Der Fehler liegt in der PHP-Version auf dem Server unterhalb von WordPress. Ausschlaggebend ist die vom Hoster oder Betreiber eingesetzte PHP-Version.
Reicht eine Firewall als Schutz?
Eine Web-Firewall senkt das Risiko, ersetzt ein PHP-Update aber nicht. Angreifer können ihre Attacken anpassen, um Filter zu umgehen. Nur die reparierte PHP-Version schließt die Lücke vollständig.
