Eine schwerwiegende Sicherheitslücke in der Skriptsprache PHP hält Website-Betreiber und Behörden in Atem. Unter dem Namen PHP2Shell warnen Sicherheitsforscher vor zwei kritischen Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Angreifer können darüber ohne Anmeldung aus der Ferne Schadcode auf verwundbaren Servern ausführen und im schlimmsten Fall die komplette Kontrolle übernehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Cybersicherheitswarnung mit der Warnstufe 3 / Orange herausgegeben, der zweithöchsten Stufe.
PHP arbeitet im Hintergrund eines Großteils aller Websites. Darauf setzen Content-Management-Systeme wie WordPress, Joomla, TYPO3 und Drupal, aber auch Forensoftware wie phpBB und die Wiki-Software MediaWiki, auf der viele Spiele-Wikis laufen. Betroffen ist laut PHP-Sicherheitsteam jede Installation, die Webanfragen verarbeitet, egal über welche Server-Anbindung. Am größten ist das Risiko bei Apache mit mod_php, weil dort eine einzige Anfrage genügt, noch bevor Code der eigentlichen Website ausgeführt wird. Beide Lücken stuft das PHP-Team mit einem CVSS-Wert von 9,2 als kritisch ein.
Leak setzte PHP unter Zeitdruck
Eigentlich sollten die Lücken erst am 22. Oktober koordiniert offengelegt werden. Doch schon am 20. Oktober kursierten die CVE-Kennungen auf Hacker News und in sozialen Netzwerken. Das PHP-Projekt zog die Updates daraufhin vor und veröffentlichte am Mittwochnachmittag die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Korrekturen, ältere Versionen gehen leer aus. Anpassungen an der Konfiguration können Angriffe laut PHP allenfalls erschweren, das Update sei die einzige sichere Wahl.
Abschaltungen bei Behörden und Spieleseiten
Das BSI rät Betreibern, die nicht kurzfristig patchen können, ihre Webserver vorübergehend vom Netz zu nehmen. Dem sind bereits zahlreiche Einrichtungen gefolgt: Die Stadt Mainz hat ihr Portal mainz.de und weitere Onlinedienste vorsorglich abgeschaltet, auch Universitäten und Krankenhäuser reagierten. Aus der Spielewelt betraf das laut Medienberichten unter anderem die Wiki-Plattform wiki.gg sowie den Spieleverlag Choice of Games. Eine vorsorgliche Abschaltung heißt nicht, dass eine Seite gehackt wurde.
Cloudflare-Technikchef Dane Knecht berichtete am Mittwoch von ersten Angriffen, Sicherheitsfirmen wie Huntress hatten bis zum Nachmittag noch keine Ausnutzung beobachtet. Experten rechnen aber mit automatisierten Massenscans, die ungeschützte Server schnell aufspüren. Gekaperte Server landen oft in einem Botnetz und dienen als Ausgangspunkt für weitere Attacken.
Was du jetzt tun solltest
Als normaler Nutzer musst du nichts unternehmen, denn die Lücke steckt in Servern, nicht in PC, Konsole oder Smartphone. Indirekt kann sie dich trotzdem treffen, etwa durch ausgefallene Dienste oder abgeflossene Daten. Wer selbst eine Website, einen Blog oder ein Community-Forum betreibt, sollte die PHP-Version sofort prüfen und aktualisieren oder beim Hoster nachfragen. Wie schnell Angreifer nach dem Bekanntwerden einer Lücke zuschlagen, hatte Ende September eine kritische WordPress-Lücke gezeigt. Die Grundlagen erklären wir im Artikel zur Cybersicherheit.
