php2shell: Das halbe Internet ist in Gefahr – nur PHP patchen hilft
Hacker können aufgrund zweier kritischer PHP-Lücken ohne Passwort Schadcode auf Webservern ausführen. Rund 70 Prozent aller Websites dürften betroffen sein. Exploit-Code ist bereits verfügbar. Nur ein PHP-Update hilft.
Zwei kritische Sicherheitslücken in der Programmiersprache PHP gefährden derzeit Millionen von Webservern. Angreifer können damit ohne Passwort Schadcode ausführen – ein anonymer Post auf der Plattform Hacker News hatte am 20. Oktober die Schwachstellen und ersten Exploit-Code bereits vorab enthüllt. Die Patches wurden am 21. Oktober um 16:00 Uhr MESZ veröffentlicht. Aufgrund der brisanten Situation haben etwa die Niederlande und die GrapheneOS-Entwickler ihre Systeme vorsorglich temporär vom Netz genommen. Ein Zeichen dafür, wie ernst die Lage ist.
Was genau passiert ist
Das PHP-Sicherheitsteam hat Patches für zwei kritische Lücken veröffentlicht, die Angreifern die Ausführung von beliebigem Code auf einem Server ermöglichen. Sie tragen die CVE-Nummern CVE-2026-109618 sowie CVE-2026-109619 und werden in Anlehnung an die berüchtigte Log4Shell-Lücke von 2021 auch als «php2shell» bezeichnet. Beide wurden mit einem CVSS-Score von 9.2 von 10 bewertet – die höchste Kategorie für kritische Schwachstellen.
Die erste Lücke (CVE-2026-109618) betrifft die Speicherverwaltung. Wenn ein PHP-Skript an sein Speicherlimit stösst, bricht die Ausführung ab und der Speicher wird aufgeräumt. Stört ein Angreifer diesen Aufräumprozess mit präparierten Anfragen, kann er den Speicher so manipulieren, dass PHP eigenen Schadcode ausführt. Die zweite Lücke (CVE-2026-109619) nutzt einen veralteten Zustand im Fehler-Handling aus: Daten aus einer alten Anfrage bleiben im Speicher hängen und werden bei der nächsten Anfrage fälschlicherweise als aktuell behandelt. Auch das erlaubt das Einschleusen von Schadcode.
Warum das so viele trifft
PHP ist das Fundament, auf dem ein grosser Teil des Webs gebaut ist. Rund 70 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, nutzen PHP. Content-Management-Systeme wie WordPress, Drupal, Joomla und Magento basieren darauf. Ein Update dieser Systeme reicht jedoch nicht aus, um sicher zu sein. Der Fehler steckt tiefer, in der PHP-Laufzeitumgebung selbst.
Die Schwachstellen betreffen nicht nur aktuelle PHP-Versionen. Sie ziehen sich durch den Code bis zurück zu PHP 5.4, das im Jahr 2012 veröffentlicht wurde. Viele Webserver laufen noch mit älteren, nicht mehr unterstützten PHP-Versionen ohne reguläre Sicherheitsupdates.
Was du jetzt tun musst
Die einzige vollständige Lösung ist das Update auf eine der neu veröffentlichten PHP-Versionen: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Diese Patches müssen manuell auf dem Server installiert werden – automatische Updates greifen hier nicht. Für ältere, nicht mehr unterstützte Versionen (PHP 7.4, 8.0, 8.1) hat das PHP-Team minimale Source-Backports bereitgestellt.
Bist du nicht selbst für den Server verantwortlich, solltest du deinen Hoster fragen, ob die Sicherheitsupdates bereits installiert sind. Für Systeme, die nicht sofort aktualisiert werden können, raten Behörden, sie vom Netz zu nehmen. Cloudflare hat bereits Firewall-Regeln ausgerollt, die bekannte Angriffsmuster blockieren. Solche Schutzmassnahmen können das Risiko verringern, ersetzen aber kein Sicherheitsupdate.
Wie schlimm ist es wirklich?
Die Warnungen kommen von höchster Stelle. So hat etwa das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Warnung herausgegeben. Auch die CERT-EU, das britische NCSC und die australische Cyberbehörde haben Notfallmeldungen veröffentlicht.
Wie viele Server bereits erfolgreich angegriffen wurden, ist derzeit unklar. Stand 21. Oktober 2026, 18:00 Uhr MESZ, liegen keine belastbaren Zahlen zu bestätigten Kompromittierungen vor. Cloudflare berichtet bereits von Angriffsversuchen und hat seine Schutzregeln verschärft. Andere Sicherheitsforscher haben in ihren überwachten Netzwerken hingegen noch keine Ausnutzung festgestellt. Das Risiko ist real und steigt mit jeder Stunde, in der Server ungepatcht bleiben.
Der tägliche Kuss der Muse lässt meine Kreativität spriessen. Werde ich mal nicht geküsst, so versuche ich mich mittels Träumen neu zu inspirieren. Denn wer träumt, verschläft nie sein Leben.
Vom neuen iPhone bis zur Auferstehung der Mode aus den 80er-Jahren. Die Redaktion ordnet ein.
Alle anzeigen
