Kritische PHP-Lücke gefährdet Websites weltweit

Eine schwere Sicherheitslücke in der Websprache PHP setzt weltweit Websites, Onlineshops und digitale Plattformen unter Druck. Das Bundesamt für Sicherheit in der Informationstechnik warnt vor möglichen Angriffswellen, erste Angriffsversuche werden aus der IT-Sicherheitsbranche gemeldet. Das PHP-Team hat am Mittwochnachmittag Sicherheitsupdates bereitgestellt. Betreiber sollen ihre Systeme umgehend aktualisieren.

Behörden nehmen Dienste vom Netz

Mehrere Betreiber reagierten bereits vor Veröffentlichung der Updates mit Vorsichtsmaßnahmen. Die Landeshauptstadt Mainz schaltete mehrere städtische Internetangebote sowie ihr zentrales Portal mainz.de zeitweise ab. Auch die Website des Bundesinnenministeriums war am Mittwoch nicht erreichbar.

Das BSI sieht ein hohes Risiko für eine schnelle Ausnutzung der Schwachstellen. BSI-Vizepräsident Thomas Caspers warnte vor einer „großflächigen Ausnutzung“ innerhalb kurzer Zeit nach Bereitstellung der Updates. Unternehmen, Behörden und andere Betreiber von Webdiensten sollen die neuen Versionen deshalb ohne Verzögerung einspielen.

PHP läuft auf sehr vielen Servern im Hintergrund. Die Sprache wird genutzt, um dynamische Websites, Webanwendungen, Shop-Systeme und Unternehmensportale zu betreiben. Eine Schwachstelle in dieser Ebene kann daher zahlreiche Angebote gleichzeitig betreffen, auch wenn die Seiten nach außen ganz unterschiedlich aussehen.

Zwei kritische Fehler ermöglichen Schadcode

Die Lücken werden unter dem Namen php2shell zusammengefasst. Sie betreffen nach Angaben des PHP-Teams die Fehler- und Speicherverwaltung der Skriptsprache. Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit einem kritischen Schweregrad bewertet.

Angreifer können unter bestimmten Bedingungen Speicherinhalte manipulieren und eigenen Code im Kontext des Webservers ausführen. Dafür sind teils speziell präparierte Upload-Formulare, verschachtelte Eingaben oder mehrere HTTP-Anfragen nötig. Die Ausnutzung gelingt nicht zwingend sofort, kann aber automatisiert mit vielen Anfragen versucht werden.

Betroffen sind PHP-Versionen bis zurück zu PHP 5. Verwundbar sind nach den technischen Angaben unter anderem verbreitete Betriebsarten wie Apache mit mod_php, PHP-FPM und LSAPI. Auch PHP-Server unter Windows gelten als angreifbar. Anwendungen in Docker-Containern sind ebenfalls betroffen, wenn sie eine verwundbare PHP-Version mitbringen.

Updates sind der zentrale Schutz

Das PHP-Team stellt aktualisierte Versionen bereit. Genannt werden PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Zweige wie 7.4, 8.0 und 8.1 sind Rückportierungen vorgesehen. Betreiber sehr alter Installationen sollen jedoch auf eine aktuell unterstützte Version wechseln.

Technische Übergangslösungen können das Risiko senken, ersetzen das Update aber nicht. Das PHP-Team bezeichnet solche Maßnahmen selbst als „temporäre Krücke“. Dazu gehören geänderte Grenzwerte in der Konfiguration, Einschränkungen bei Eingaben oder zusätzliche Schutzmechanismen auf Serverebene. Vollständigen Schutz bieten diese Schritte nicht.

Auch Dienstleister und Hostinganbieter stehen unter Zeitdruck. Wer Webanwendungen extern betreiben lässt, sollte prüfen, ob der Anbieter die Patches zeitnah einspielt. Der Netzbetreiber Cloudflare hat nach eigenen Angaben Regeln für seine Web Application Firewall aktiviert, die bekannte Angriffswege blockieren sollen. Auch solche Filter gelten nur als zusätzliche Absicherung.

Nutzer indirekt betroffen

Privatnutzer müssen beim normalen Surfen nicht selbst aktiv werden. Sie können die PHP-Version einer besuchten Website in der Regel weder erkennen noch aktualisieren. Folgen können sie dennoch spüren, etwa wenn kommunale Portale, Shops oder andere Onlinedienste vorübergehend offline gehen.

Ein weiteres Risiko sind Datenabflüsse bei nicht rechtzeitig abgesicherten Angeboten. Gelingt Angreifern die Übernahme eines Servers, könnten Kundendaten ausgespäht, Zahlungsabläufe gestört oder kompromittierte Systeme für weitere Attacken genutzt werden.

Die Lage zeigt erneut, wie abhängig viele digitale Dienste von gemeinsam genutzter Basissoftware sind. PHP ist seit Jahrzehnten ein zentraler Baustein des Webs. Dadurch entfalten kritische Fehler in der Plattform eine Wirkung, die weit über einzelne Websites hinausreicht.