PHP2Shell: Dringend Sicherheitsupdates installieren BSI warnt vor Lücke im PHP-Kern

Anbieter zum Thema

WatchGuard Technologies GmbH

European IT Consultancy EITCO GmbH

XOPERO SOFTWARE S.A.

Zwei kritische Lücken im PHP-Kern, bekannt als „PHP2Shell“, ermöglichen Angreifern die Übernahme von Webservern aus der Ferne. Das BSI warnt mit Stufe 3/Orange, und erste Behörden, Hochschulen und Kliniken haben ihre Seiten vom Netz genommen. Die PHP-Entwickler haben inzwischen Updates veröffentlicht.

Eine neu entdeckte, schwerwiegende Sicherheitslücke hat weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken gebracht. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Sicherheitsexperten haben die Schwachstelle als hochkritisch eingestuft. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam hat auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm geschlagen und eine offizielle Cybersicherheitswarnung herausgegeben.

Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser sind daraufhin vorsorglich offline gegangen und haben ihre Webseiten vorübergehend vom Netz genommen - solange, bis Entwickler die erforderlichen Sicherheitsupdates bereitstellen.

Für normale Internetnutzer kein direkter Handlungsbedarf

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiteten daran, die Lücken zu schließen.

BSI stuft Risiko als sehr hoch ein

In seiner veröffentlichten Warnung ordnet das BSI das Risiko mit der Warnstufe 3 / Orange als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine starke Beeinträchtigung des Regelbetriebs droht. Das BSI wies explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.

Rat der Experten unterstreicht Dringlichkeit der Lage

Das Amt machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: „Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können.“

Dass das BSI Betreibern von Internetangeboten explizit rät, ihre Server im Zweifel komplett vom Netz zu nehmen, unterstreicht die Dringlichkeit der Lage.

Immenses Gefahrenpotenzial dieser Lücken

Unter dem Namen PHP2Shell warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen könnten, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Länder und Kommunen ziehen vorsorglich den Stecker

Die Einschätzungen der Sicherheitsbehörden zeigten rasch Auswirkungen im öffentlichen Leben. Mehrere Bundesländer, Kommunen und Behörden sind der Empfehlung des BSI gefolgt und haben ihre Online-Angebote vorübergehend abgeschaltet, um Angreifern keine Angriffsfläche zu bieten. Entsprechend reagiert haben aber auch Universitäten und Krankenhäuser.

Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte, der Vorfall zeige erneut, dass sich die Cybersicherheitslage weiter verschärfe: "Wir müssen deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden."

Höchste Alarmbereitschaft für Seitenbetreiber

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt höchste Dringlichkeit, die eine sofortige Reaktion erfordern. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbieter in Verbindung zu setzen.

Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Sicherheitsupdate veröffentlicht

Die Entwickler des PHP-Projektes haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Web-Server vom Netz zu trennen, solange das Update nicht installiert wurde.

(ID:50995730)