PHP2Shell: Viele Webseiten wieder erreichbar, Angriffe bislang nicht bestätigt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am Mittwoch, 21. Oktober, vor zwei kritischen Schwachstellen in der Programmiersprache PHP gewarnt und Betreibern von Webservern geraten, die verfügbaren Sicherheitsupdates unverzüglich einzuspielen. Wo das nicht sofort möglich ist, kann nach Einschätzung der Behörde eine vorübergehende Trennung des Servers vom Internet erwogen werden. Das BSI ordnet die Lage in die Warnstufe 3 ein, die Farbe Orange.

Schadcode aus der Ferne, ohne Anmeldung

Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden in Fachkreisen unter dem Namen PHP2Shell geführt. Das BSI bewertet sie mit 9,2 von 10 Punkten auf der CVSS-Skala. Angreifer könnten damit aus der Ferne Schadcode auf Webservern ausführen, auf denen PHP-Anwendungen laufen. Eine Anmeldung oder ein Zutun der Nutzer ist dafür nicht erforderlich. Weil die Fehler in der PHP-Laufzeitumgebung selbst liegen, sind auch Anwendungen mit fehlerfreiem eigenem Code exponiert. Nach Angaben des BSI sind alle bekannten Versionen mindestens bis zurück zu PHP 5 verwundbar.

PHP ist die technische Grundlage verbreiteter Systeme wie WordPress, Joomla, Typo3, Drupal und Moodle. Allein für WordPress schätzen Fachleute die Zahl der Websites weltweit auf 400 bis 500 Millionen.

Updates seit Mittwochnachmittag verfügbar

Die PHP-Entwickler stellten die Korrekturen am 21. Oktober gegen 16 Uhr deutscher Zeit bereit. Geschlossen sind die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die nicht mehr offiziell gepflegten Zweige 7.4, 8.0 und 8.1 gibt es keine neuen Versionen, sondern lediglich Korrekturen im Quelltext. Entdeckt hatten die Fehler Wiz Research, das Sicherheitsunternehmen Calif und ein Sicherheitsteam von OpenAI. Einzelheiten waren bereits am Vortag in Umlauf geraten.

BSI-Vizepräsident Thomas Caspers hält eine großflächige Ausnutzung binnen weniger Stunden nach Erscheinen der Updates für wahrscheinlich. Angreifer könnten die Patches mit KI-gestützten Werkzeugen rasch auswerten und daraus Angriffscode ableiten. „Es besteht also unverzüglicher Handlungsbedarf!“, erklärte Caspers. Bestätigte Angriffe waren dem BSI zunächst nicht bekannt, wohl aber unbestätigte Berichte über bereits existierenden Angriffscode. Die Sicherheitsfirmen Cloudflare und watchTowr meldeten am Mittwoch erste Ausnutzungsversuche, einen erfolgreichen Einbruch bestätigte bis dahin keine Quelle.

Viele Seiten wieder online, einige Portale weiter abgeschaltet

Mehrere Kommunen und Behörden folgten der Empfehlung und schalteten Onlineangebote vorsorglich ab. Die Stadt Mainz deaktivierte mehrere städtische Internetdienste einschließlich ihres zentralen Portals; Ämter und Bürgerservice blieben telefonisch und per E-Mail erreichbar. Nach Agenturberichten reagierten auch Hochschulen und Krankenhäuser mit Abschaltungen.

Am Donnerstag, 22. Oktober, aktualisierte das BSI seine Warnung. Die meisten Internetseiten des Bundes sind nach Angaben der Behörde wieder erreichbar. Erfolgreich kompromittierte Systeme in regulierten Branchen oder der Bundesverwaltung waren dem BSI bis dahin nicht bekannt, erfolgreiche Angriffe schließt es aber nicht aus. Die Stadtwerke Bielefeld meldeten, alle ihre Seiten seien nach Schutzmaßnahmen wieder online. Weiterhin abgeschaltet oder ohne gemeldete Wiederherstellung waren nach Medienberichten am Donnerstag unter anderem die Angebote der Stadt Mainz, die Website der Berliner Charité und das zentrale Portal der Stadt Saarbrücken samt verbundener Seiten. Über die Suchmaschine Shodan sind nach diesen Berichten noch rund 884.000 erreichbare Server mit PHP 8.1 oder älter auffindbar, für die es keine offizielle neue Version gibt.

Für private Internetnutzer besteht nach Einschätzung von Fachleuten kein unmittelbarer Handlungsbedarf, da die Schwachstellen Server betreffen und nicht Smartphones oder Heimrechner. Mittelbar können Verbraucher dennoch betroffen sein, etwa durch nicht erreichbare Dienste oder durch abfließende Kundendaten, falls Angreifer ungepatchte Systeme übernehmen. Nach Einschätzung des Sicherheitsfachmanns Tim Berghoff von G Data CyberDefense sind vor allem Kundendaten bei Versorgern und Stadtwerken gefährdet; ein ungepatchter Server lasse sich mit geringem Aufwand und vollständig automatisiert übernehmen. Werden personenbezogene Daten entwendet, müssen Betreiber dies nach der Datenschutz-Grundverordnung in der Regel binnen 72 Stunden der Aufsichtsbehörde melden. Gefordert sind damit vor allem Unternehmen, Behörden und Hoster, die PHP-Server betreiben. Wie schnell sie die Updates tatsächlich einspielen, dürfte darüber entscheiden, wie groß der Schaden am Ende ausfällt.