Technologie
Zwei kritische Sicherheitslücken in der Programmiersprache PHP können Angreifern ermöglichen, ohne Anmeldung fremden Code auf Webservern auszuführen. Behörden, Kommunen, Krankenhäuser, Unternehmen und Verbände hatten gestern schon ihre Internetauftritte vorsorglich vom Netz genommen. Das PHP-Entwicklerteam veröffentlichte am 21. Oktober 2026 Sicherheitsupdates und fordert Nutzer zur sofortigen Aktualisierung auf. Auch Hotels und Restaurants sind jetzt dringend aufgefordert zu handeln.
Denn PHP ist eine technische Grundlage vieler Webseiten und Internetanwendungen. Nach Angaben der Entwickler seien alle PHP-Installationen gefährdet, die Webanfragen verarbeiteten. Die unter „php2shell“ zusammengefassten Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Heise security berichtet, betroffen seien auch ältere Versionsreihen bis zurück zu PHP 5.
Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auf PHP setzen aber auch andere populäre Content-Management-Systeme wie Moodle, Joomla!, Typo3 und Drupal.
In seiner veröffentlichten Warnung ordnet das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.
Es müssten rasch Sicherheitsupdates installiert werden, hieß es. Von den Schwachstellen gehe großes Bedrohungspotenzial aus. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser nahmen daraufhin vorsorglich ihre Webseiten vorübergehend vom Netz.
«Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben», sagte der IT-Sicherheitsexperte Christoph Fischer der Deutschen Presse-Agentur. Er forderte ein drastisches Durchgreifen der Betreiber. «Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.»
Der Karlsruher IT-Sicherheitsexperte Christoph Fischer fordert angesichts drohender automatisierter Angriffswellen die Abschaltung ungeschützter Systeme. „Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte er der dpa.
Dienstleister prüfen Webseiten und weitere Anwendungen auf verwundbare PHP-Installationen
Für Hotels und Gastronomiebetriebe ist zunächst zu klären, welche ihrer Internetangebote PHP verwenden und ob die Sicherheitskorrekturen bereits installiert wurden. Ansprechpartner sind die betreuende Webagentur, der Hostinganbieter oder der IT-Dienstleister.
Die Prüfung betrifft die Hotel- oder Restaurantwebseite sowie weitere Anwendungen, etwa Buchungs-, Reservierungs- und Bestellsysteme, sofern diese PHP verwenden. Nicht jedes solche Angebot ist automatisch betroffen. Bei extern betriebenen Anwendungen ist der jeweilige Anbieter einzubeziehen.
Eine Checkliste bündelt die erforderlichen Prüfungen und weiteren Maßnahmen
- Betroffene Anwendungen ermitteln lassen: Webagentur, Hostinganbieter oder IT-Dienstleister prüfen, welche Webseiten und Anwendungen eine verwundbare PHP-Installation verwenden.
- Sicherheitskorrekturen bestätigen lassen: Der zuständige Dienstleister bestätigt, dass beide Schwachstellen geschlossen wurden. Das PHP-Team nennt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei abweichenden Anbieterpaketen ist zu klären, ob beide Sicherheitskorrekturen enthalten sind.
- Ältere Installationen gesondert prüfen: Für PHP 8.1 und ältere Versionsreihen ist festzustellen, ob passende Sicherheitskorrekturen verfügbar sind oder eine Umstellung auf eine unterstützte Version erforderlich ist.
- Ungeschützte Anwendungen vorübergehend vom Netz nehmen: Ist eine sofortige Aktualisierung nicht möglich, wird der öffentliche Zugriff bis zur Absicherung gesperrt. Ein Wartungsmodus innerhalb des Redaktionssystems bietet keinen verlässlichen Schutz.
- Externe Anbieter einbeziehen: Bei gemieteten und extern betriebenen Anwendungen ist zu klären, ob die PHP-Installation betroffen ist und erforderliche Sicherheitskorrekturen bereits installiert wurden.
Entwickler stellen auch Korrekturen für einige ältere PHP-Versionen bereit
PHP 8.1 und ältere Versionsreihen erhalten keine regulären Updates mehr vom PHP-Projekt. Einige Distributoren und Anbieter mit Langzeitunterstützung stellten allerdings zurückübertragene Sicherheitskorrekturen bereit, erklären die Entwickler.
Für PHP 7.4, 8.0 und 8.1 habe das Sicherheitsteam außerdem ausnahmsweise minimale Quellcode-Korrekturen veröffentlicht. Diese richteten sich an Administratoren, die PHP selbst aus dem Quellcode erstellen oder keinen entsprechenden Anbieter nutzen könnten.
Vorläufige Konfigurationsänderungen erschweren einzelne Angriffe, ersetzen aber keine Aktualisierung
Das PHP-Team beschreibt Einstellungen, mit denen Administratoren einzelne Angriffswege erschweren könnten. Diese machten eine Installation jedoch nicht sicher. Nur eine Aktualisierung behebe die Schwachstellen vollständig.
Die Entwickler beschreiben beim Apache-Modul „mod_php“ einen nachgewiesenen Angriff, der bereits vor der Ausführung des Anwendungscodes ansetzen könne. Ein innerhalb der Anwendung aktivierter Wartungsmodus verhindert einen solchen Zugriff daher nicht zuverlässig.
Heise security verweist zudem auf Anwendungen in Containern und Geräte mit PHP-basierten Verwaltungsoberflächen, die bei der Prüfung berücksichtigt werden müssten.
Fischer weist gegenüber dpa außerdem auf Schwierigkeiten bei der Aufklärung erfolgreicher Angriffe hin. Häufig sei schwer festzustellen, was passiert sei und welche Daten möglicherweise abgeflossen seien. Er fordert bessere forensische Untersuchungsmöglichkeiten und vorbereitete Notfallpläne.
Bei der Erstellung dieses Artikels kamen KI-gestützte Werkzeuge zum Einsatz. Die Inhalte wurden redaktionell überprüft. Feedback nehmen wir gerne unter news@tageskarte.io entgegen.
