Hackers nutzen PHP-Schwachstellen vor dem Patch

Zwei kritische Sicherheitslücken in der Programmiersprache PHP haben am 21. Oktober 2026 weltweit zu Notabschaltungen von Websites und Regierungsportalen geführt. Die unter der Bezeichnung PHP2Shell bekannten Schwachstellen ermöglichen Angreifern die Remotecodeausführung auf betroffenen Webservern. Sicherheitsbehörden wie die NSA drängen auf sofortige Patches.

Weltweite Notabschaltungen und Reaktionen auf PHP2Shell

Zahlreiche Websites rund um den Globus wurden in den vergangenen Tagen vorübergehend vom Netz genommen, während Administratoren und IT-Sicherheitsteams hastig nach Lösungen suchten. Zu den betroffenen Plattformen gehörten laut Medienberichten Dienste wie Wikipedia, 4chan und DeviantArt, während in Europa unter anderem niederländische und finnische Behörden ihre Online-Angebote vorsorglich offline schalteten. In Australia nutzen beispielsweise 391 Regierungswebsites eine Drupal-basierte Plattform namens GovCMS, die ebenfalls im Fokus der Prüfungen stand. Die Sicherheitsbehörden reagierten alarmiert auf die neu bekannt gewordenen Schwachstellen.

Die Nationale Sicherheitsbehörde der USA (NSA) forderte Organisationen in einer offiziellen Erklärung auf, den Betrieb internetexponierter Dienste, die auf PHP basieren, genau zu überwachen und umgehend Sicherheitsupdates zu installieren. Sollte ein zeitnahes Einspielen der Patches nicht möglich sein, empfahl die Behörde, die betroffenen Systeme vorübergehend komplett vom Netz zu trennen. Auch das Cloudflare-Netzwerk berichtete über Angriffe und setzte Schutzmechanismen ein, um Web-Anwendungs-Firewalls (WAF) rechtzeitig vor der öffentlichen Bekanntgabe zu aktivieren.

Die technischen Details der Schwachstellen in PHP

Die von der PHP Foundation behobenen Sicherheitslücken sind im Kern der Open-Source-Skriptsprache verankert. Laut Angaben der Entwickler und betroffener Sicherheitsunternehmen betreffen die Mängel jene Bereiche, die fast jede Serveranfrage berühren.

Die als CVE-2026-109618 und CVE-2026-109619 registrierten Schwachstellen erhalten beide einen CVSS-Schweregrad von 9,2. Die erste Lücke entsteht bei der Verarbeitung von Speicherüberläufen (OOM), wenn interne Anfragedaten nur teilweise initialisiert sind. Die zweite Lücke ist ein sogenannter Use-After-Free-Fehler, bei dem anfragegebundener interner Zustand nach der Freigabe des Speichers weiterverwendet wird. Dies kann Angreifern erlauben, ohne vorherige Authentifizierung Code auszuführen und sensible Daten wie Passwörter auszulesen.

Kritik am vorzeitigen Bekanntwerden durch Chainguard

Die Veröffentlichung der Patches wurde von internen Spannungen begleitet. PHP-Entwickler warfen dem Software-Lieferkettenspezialisten Chainguard vor, die Sicherheitslücken durch eine verfrühte Bereitstellung von Software-Images vor dem offiziell koordinierten Offenlegungstermin gefährlich öffentlich gemacht zu haben. Laut dem Blog der PHP-Entwickler veröffentlichte Chainguard am 21. Oktober um 07:41 UTC und damit mehr als sechs Stunden vor dem geplanten Zeitpunkt Images mit den integrierten Korrekturen. Angreifer erhielten dadurch die Möglichkeit, den Fix im Binärformat zu analysieren, noch bevor die Mehrheit der Anwender reagieren konnte.

Chainguard-Chef Dan Lorenc wies den Vorwurf eines Leaks im Gespräch mit Reportern zurück und betonte, sein Unternehmen habe lediglich die notwendigen Schritte unternommen. Unabhängig davon zeigten Untersuchungen von Amazon Web Services (AWS), dass erste versuchte Angriffe auf Honeypots bereits am 17. Oktober und damit vier Tage vor der offiziellen Offenlegung stattfanden. AWS-Sicherheitschef CJ Moses warnte in einer Analyse:

Die Zeit vom Patch zu einem funktionierenden Exploit schrumpft aus strukturellen Gründen.

Künstliche Intelligenz und die neue Dynamik bei der Schwachstellenanalyse

Ein bemerkenswerter Aspekt des Vorfalls ist die Beteiligung von Systemen der Künstlichen Intelligenz an der Entdeckung und Ausarbeitung der Angriffsvektoren. Mehrere Unternehmen, darunter OpenAI, Wiz und Calif, gaben an, bei der Erkennung der Fehler im August und September KI-Modelle wie GPT-5.6 Sol oder Gemini 4 Argon eingesetzt zu haben. Experten bewerten dies als eine neue Phase in der Cybersicherheit. Während automatisierte Werkzeuge Verteidigern helfen, komplexe Fehler in jahrzehntealtem Code zu finden, beschleunigen sie auf der Gegenseite auch die Entwicklung funktionierender Exploits.

Sigi Goode, Professor für Informationssysteme an der Australian National University, betonte gegenüber Medien, dass die primäre Aufmerksamkeit nun denjenigen Systemen gelten müsse, die nach der Warnung eben nicht abgeschaltet wurden. Die größeren Bedenken gelten den Websites, die heute nicht offline sind, erklärte Goode und warnte davor, dass diese ungepatchten Instanzen klare Ziele für Angreifer darstellen. Neben dem Einspielen der offiziellen Aktualisierungen raten Experten dazu, betroffene PHP-Versionen zu aktualisieren und Speicherlimits streng zu konfigurieren, um das Risiko von Remotecodeausführungen zu minimieren.

=== END ARTICLE >

Mehr zu dieser Geschichte: PHP: Kritische Sicherheitslücke gefährdet Millionen Webseiten · PHP-Schwachstellen lösen weltweite Systemausfälle aus