Update: Kritische PHP-Schwachstellen offenbar schon seit 2024 bekannt

(Source: Maksim Kabakou / Fotolia.com)

(Source: Maksim Kabakou / Fotolia.com)

Update vom 23.10.2026: "PHP2Shell" hält Systemadministratoren auf Trab. Weltweit aktualisierten Unternehmen und Behörden die PHP-Version ihrer Server, um sich vor den unlängst bekannt gewordenen Schwachstellen zu schützen. Das auf das automatische Scannen von Websites spezialisierte Unternehmen Risikomonitor untersuchte am 22. Oktober annähernd 690'000 Server mit Schweizer Bezug. Unter diesen fand es noch etwas über 23'000 von "PHP2Shell" betroffene Server, also rund 3,5 Prozent. Tatsächlich könnte die Anzahl angreifbarer Server höher liegen, denn längst nicht bei allen lässt sich die installierte PHP-Version ermitteln. Das bestätigt auch Virustotal: Dessen Scanner identifizierte am 21. Oktober weltweit zwar über 5 Millionen PHP-Server, konnte aber die genaue Version nur bei einem Viertel davon ermitteln. Unter diesen identifizierbaren Version dominierten mit über 700'000 Servern PHP-Versionen, die den Status "End of Life" haben, für die es also keine Notfall-Patches gibt.

Über tatsächliche Angriffe mit Schadenfolge in Zusammenhang mit "PHP2Shell" gibt es aktuell keine Meldungen, sehr wohl aber über Angriffsversuche. Die sollen bereits 4 Tage vor Veröffentlichung der Notfall-Updates gestartet haben, wie "Bleeping Computer" unter Berufung auf Amazon Threat Intelligence berichtet. Demnach probierten mutmasslich mehrere kriminelle Hackergruppen eine Reihe Methoden, um die Sicherheitslücken auszunutzen, jedoch jeweils ohne Erfolg.

Derweil erklärt das PHP-Team, bereits 2024 erste Hinweise der jetzt ausgenützten Schwachstelle erhalten zu haben. Damals habe man einen möglichen Exploit "theoretisch in Betracht gezogen. Es wurden jedoch keine konkreten Angriffsvektoren gefunden, und andere konkrete Probleme mit klaren Auswirkungen rückten diese Bedenken in den Hintergrund", heisst es im PHP-Blog. Im Lauf der Zeit entwickelte das Security-Team zwar mehrere mögliche Lösungen für die Ursache der Schwachstelle. Da jede ihre eigenen Nachteile mit sich brachte, fand das Team keinen Konsens darüber, welche Lösung implementiert werden sollte. Über Monate seien die Arbeiten an einer Korrektur immer wieder ins Stocken geraten. "Wir wollen das nicht beschönigen: Die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch dessen Ressourcenmangel", schreibt PHP. Gleichzeitig erklärt das Team, bereits Massnahmen zur Stärkung der PHP-Sicherheit eingeleitet zu haben. Dazu gehören sowohl zusätzliche personelle Ressourcen als auch Unterstützung, etwa durch KI-Scanner. Namentlich erwähnen die PHP-Entwickler Unternehmen wie OpenAI, Calif und Wiz. Deren Arbeit habe das Ausmass des Problems von "PHP2Shell" aufgezeigt und dem Team ermöglicht, die entsprechenden Schwachstellen mit hoher Priorität zu beheben.

Originalmeldung vom 21.10.2026:

Kritische PHP-Sicherheitslücken machen Websites angreifbar

Eine unlängst entdeckte Angriffsmethode namens “PHP2Shell” bedroht Web-Server und -Anwendungen, die auf die Programmiersprache PHP zurückgreifen. Nicht nur die Entwickler der Programmiersprache selber, sondern auch das IT-Sicherheitsunternehmen Huntress sowie mehrere Behörden - darunter das Bundesamt für Cybersicherheit (BACS) - warnen in dem Zusammenhang vor zwei kritischen Schwachstellen in PHP. Kriminelle können diese Sicherheitslücken aus der Ferne und ohne Anmeldung ausnutzen, wie "SRF" in einem Artikel schreibt. Auf diese Weise sei es etwa möglich, Schadcode einzuschleusen, Kundendaten abzugreifen oder kompromittierte Server für weitere Angriffe zu missbrauchen.

Da PHP eine weit verbreitete Programmiersprache ist, könnten weltweit Millionen von Onlineshops und Nachrichtenportalen angreifbar sein, wie "SRF" hinzufügt. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnet die Bedrohung als "ausserordentlich hoch" ein, da eine massive Beeinträchtigung des Regelbetriebs drohe. 

Viele Websitebetreiber sind bereits aktiv geworden. So seien Regierungswebsites in Europa und Übersee vorsorglich offline gegangen, schreibt "SRF". Auch mehrere Gemeindeverwaltungen, Hochschulen und Spitälern schalteten ihre Webauftritte kurzfristig ab.

Updates stehen bereit

Das PHP-Entwicklerteam hat die bereinigten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, welche die Sicherheitslücken schliessen, wie das BACS schreibt. Die Behörde betont, dass jetzt nicht nur Betreiber öffentlicher Websites dringend handeln und die Patches einspielen sollten: PHP könne auch Bestandteil von Verwaltungsoberflächen, internen Fachanwendungen, Hosting-Plattformen, Containern oder Appliances sein, warnt das BACS. Dabei sei den Betreibern nicht immer bekannt, dass das Produkt im Hintergrund PHP verwende. Entsprechend rät das Bundesamt, mit Softwarelieferanten und Dienstleistern zu klären, welche Produkte betroffen seien und welche Updates benötigt würden. "Priorisieren Sie Systeme, die aus dem Internet erreichbar sind, und Anwendungen mit Zugriff auf besonders schützenswerte Daten oder kritische Geschäftsprozesse. Prüfen Sie anschliessend auch interne Systeme", heisst es in der Warnmeldung.

Das BACS fügt hinzu, dass auch ältere PHP-Versionen, für die die Entwickler keine Sicherheitspatches mehr anbieten, von den Schwachstellen betroffen seien. Bei "Golem" ist zu erfahren, dass bis zu 20 Jahre alte PHP-Versionen angreifbar sein könnten. Sollte keine gepatchte Version mehr veröffentlicht werden, "wechseln Sie auf eine unterstützte Version", empfiehlt das BACS.

Das könnte Sie auch interessieren: Cyberkriminelle haben eine Schwachstelle im Analysetool Metabase ausgenutzt. Beim Onlinemagazin "Republik" griffen sie Daten aller registrierten User ab. Mehr zum Cyberangriff lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.