BLOG
Die PHP-Sicherheitslücke: Wie sich Unternehmen schützen können
Am vergangenen Mittwoch (21.10.) war die Webseite des Mittelstand-Digital Zentrum Magdeburg mehrere Stunden nicht verfügbar. Grund dafür waren zwei schwere Sicherheitslücken in PHP – einer Programmiersprache, die Grundlage vieler Webseiten ist. Zahlreiche Unternehmen, Behörden und Universitäten waren ebenso betroffen und nahmen ihre Webseiten, Onlineshops und Webserver vom Netz.
Was war bei PHP2Shell passiert?
Am 20. Oktober wurden durch Unbekannte zwei kritische Sicherheitslücken (bezeichnet als CVE-2026-109618 und CVE-2026-109619) veröffentlicht. Die zugrunde liegenden Fehler im PHP-Code bestanden vermutlich seit Jahren. Allerdings war es im August dieses Jahres erstmals den Cybersicherheitsunternehmen Wiz und Calif in Zusammenarbeit mit OpenAI gelungen, die Schwachstellen durch den kombinierten Einsatz mehrerer KI- bzw. Large Language Modelle systematisch zu analysieren und auszunutzen. Wiz informierte die PHP Foundation, die daraufhin mit der Schließung der Sicherheitslücken begann. Kurz vor der ursprünglich geplanten Veröffentlichung des Sicherheitspatches (Software-Update zur Behebung der Sicherheitslücke) wurden Informationen über die Schwachstellen öffentlich bekannt.
Die Sicherheitslücken ermöglichen den Angreifern die Kontrolle über die Server, auf denen die Webseiten gehostet werden. Eine Authentifizierung (Eingabe von Benutzername, Passwort etc.) ist dafür nicht erforderlich. Da der Code direkt auf die Speicherverwaltung des PHP-Kerns zugreift, sind vorhandene Sicherheitsmechanismen der Webanwendungen wirkungslos. In der Folge können bspw. auf dem Server vorhandene Nutzerdaten ausgelesen, der Server verschlüsselt oder Schadcode an die Besucher der Webseite ausgeliefert werden.
Wer ist von PHP2Shell betroffen?
Laut einer Schätzung von Wiz basieren 70% aller Webseiten auf PHP und sind daher potenziell betroffen. Dazu zählen auch Seiten, die auf beliebten Diensten (Content Management Systemen) wie WordPress, TYPO3 oder Drupal aufbauen, da diese die PHP-Laufzeitumgebung nutzen. Auch Self-Hosting-Lösungen wie Nextcloud oder Hosting-Umgebungen wie cPanel und Plesk sind betroffen.
Was sollten Sie jetzt beachten?
Am 21. Oktober veröffentlichte das PHP-Team gegen 16 Uhr ein Sicherheitspatch für aktuell durch PHP unterstützte PHP-Versionen (z.B. ab 8.2.35). Ältere, nicht mehr unterstützte PHP-Versionen haben nur minimale Quellcode-Patches oder gar keine Sicherheitspatch erhalten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, die Sicherheitspatches umgehend einzuspielen und wenn nicht möglich, die Seite vom Netz zu nehmen bzw. sie vom Netz zu lassen. Konkret können folgende Schritte hilfreich sein:
- Prüfen Sie, inwieweit Ihre Webseiten PHP-basiert sind oder ob sie eigene Server unter Einsatz von PHP betreiben. Sofern Sie eines der oben genannten Content Management Systeme (WordPress, Drupal etc.) nutzen, setzen Sie PHP ein.
- Fragen Sie Ihren IT-Dienstleister, ob und wann der Sicherheitspatch eingespielt wurde. Lassen Sie auch ältere oder selten genutzte Webseiten prüfen.
- Falls kein IT-Dienstleister vorhanden, prüfen Sie inwieweit ein Sicherheitsupdate für Ihre PHP-Version verfügbar ist. Automatische Updates des Content Management Systems (z.B. WordPress) betreffen nur das Content Management System selbst und seine Erweiterungen, nicht aber PHP. Nach der Installation muss sichergestellt werden, dass alle PHP- beziehungsweise Webserverprozesse mit der aktualisierten Version neu gestartet wurden.
- Sollte kein Update verfügbar sein, migrieren Sie Ihre Webseite bzw. Ihren Server auf eine unterstützte PHP-Version. Sollte das nicht möglich sein, lassen Sie die Webseite bzw. den Server offline. Möglicherweise ist ein Neuaufsetzen der Webseite bzw. des Servers notwendig.
- Kontrollieren Sie die Nutzerzahlen auf Ihrer Webseite. Wenn in den Tagen ab dem 20. Oktober massive Nutzerzuwächse zu verzeichnen sind, könnte das für eine Kompromittierung sprechen.
- Falls Sie Anzeichen für einen möglichen Sicherheitsvorfall haben, lassen Sie diesen untersuchen. Ein Update beendet keine bereits erfolgte Kompromittierung.
Sie haben weitere Fragen, melden Sie sich doch bei unserem Netzwerkpartner Transferstelle Cybersicherheit im Mittelstand. Die Transferstelle Cybersicherheit im Mittelstand unterstützt kleine und mittlere Unternehmen kostenfrei bei der Einschätzung und Verbesserung ihrer IT-Sicherheit:
- CYBERsicher Notfallhilfe: Selbstcheck, Anlaufstellen und Checkliste für den Verdachtsfall.
- CYBERsicher Check: Einschätzung Ihres aktuellen Sicherheitsniveaus.
Quellen: BSI-Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“ (BITS-H 2026-297981, Version 1.1, 21.10.2026); Sicherheitshinweise des PHP-Projekts; krautpress.de/2026/kritische-sicherheitsluecken-in-php-das-ist-zu-tun; www.wiz.io/blog/php2shell-php-rce, calif.io/php2shell/
Ansprechpartner
Robert Kummer
