Kritische PHP-Lücke: Globale Shutdowns & Patches

Eine kritische Schwachstelle in PHP, der Programmiersprache hinter fast 70 % aller Websites, hat weltweit zu behördlichen Abschaltungen und Notfall-Patches geführt. Die als PHP2Shell bezeichneten Lücken werden als CVE-2026-109618 und CVE-2026-109619 geführt und erlauben unauthentifizierte Remote-Code-Ausführung – Angreifer können Webserver ohne vorherigen Zugriff übernehmen.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname für zwei kritische Lücken in der PHP-Engine selbst, nicht in gehosteten Anwendungen. Da PHP auf den meisten Betriebssystemen läuft, sind betroffene Server unabhängig vom Website-Code angreifbar. Die PHP Foundation veröffentlichte am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, nachdem Details in sozialen Medien durchgesickert waren, so die BBC. Rund 70 % der Websites sind betroffen. Der Vorfall zeigt, wie eine einzelne Schwäche in der Open-Source-Webinfrastruktur weltweit Systeme beeinflussen kann.

Globale Abschaltungen bei Behörden

Innerhalb von Stunden nahmen mehrere europäische Regierungen Dienste offline. Laut Guardian wurden Websites in Belgien, den Niederlanden, Finnland, Frankreich und Deutschland sowie australische Systeme und der niederländische E-ID-Dienst abgeschaltet. Finnland stoppte öffentliche Regierungsdienste, die Niederlande nahmen Gesundheitsbehörde und Parlamentsseiten offline. Auch 32 britische Regierungsdienste und die Website des Edinburgh Council fielen kurzzeitig aus; Wikimedia schaltete Systeme ab, was Teile von Wikipedia beeinträchtigte.

Die Massnahmen zeigen, dass Cybersicherheitsbehörden bei kritischen Lücken Isolation vor Verfügbarkeit stellen.

Notfall-Patches und offizielle Warnungen

Die US-amerikanische NSA riet zu sofortigem Patchen und warnte, Angreifer könnten Daten stehlen oder tiefer in Netze eindringen; wer nicht patchen könne, solle Systeme offline nehmen (NSA). Das britische NCSC versandte 50.000 Warnungen und riet, nach Backdoors zu suchen – das Ausmass sei beispiellos. CERT-EU warnte vor unauthentifizierter Remote-Code-Ausführung; erste Angriffe folgten binnen Stunden. Beide Lücken erreichen 9,2 von 10 auf der CVSS-Skala. Behörden empfehlen, anfällige PHP-Versionen zu inventarisieren, Hersteller-Patches zu priorisieren und End-of-Life-Versionen zu ersetzen – Teil der PHP-Patching-Standards.

Die KI-Entdeckung und das Wettrennen um Exploits

Forschende von Wiz und Calif fanden die Lücken mit OpenAIs Patch-the-Planet-KI-Tools; ein Speicherverwaltungsfehler wurde 2024 erstmals vermutet und im August 2026 mit Modellen wie GPT-5.6 Sol und Gemini 4 Argon bestätigt. Die Fehler blieben über zehn Jahre unentdeckt. Cloudflare verzeichnete zehntausend Exploit-Versuche zehn Stunden vor der Offenlegung; binnen 45 Minuten waren es Zehntausende, nach zwei Stunden Hunderttausende und bis zum 22. Oktober Millionen. Amazon Threat Intelligence sprach von breiter Ausnutzung in freier Wildbahn.

Die Eskalation zeigt, wie KI-gestützte Schwachstellensuche das Zeitfenster zwischen Offenlegung und Ausnutzung auf Minuten verkürzt.

FAQ

Was ist die kritische PHP-Lücke?

Zwei unauthentifizierte Remote-Code-Ausführungslücken namens PHP2Shell (CVE-2026-109618 und CVE-2026-109619), die fast 70 % der Websites betreffen.

Welche Länder schalteten Websites ab?

Belgien, die Niederlande, Finnland, Frankreich, Deutschland, Australien und Grossbritannien – laut Guardian und BBC.

Wie behebe ich die Lücke?

Sofort auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Ist das nicht möglich, Systeme offline nehmen und auf Backdoors prüfen.

Warum ist PHP2Shell so gefährlich?

Angreifer können ohne Authentifizierung Code ausführen – Datenklau, Ausfälle und Netzwerkeinbrüche drohen.

Wurde KI zur Entdeckung genutzt?

Ja, Wiz und Calif nutzten OpenAIs Patch the Planet; die Lücke gilt als bedeutendste KI-Entdeckung.

Fazit und Ausblick

PHP2Shell zeigt, dass eine einzelne Lücke in weit verbreiteter Open-Source-Software öffentliche Dienste auf mehreren Kontinenten lahmlegen kann. Analysten befürchten viele ungewartete, dauerhaft verwundbare Sites. Bessere Webserver-Sicherheit und weniger Abhängigkeit von ungepatchten PHP-Versionen bleiben zentral.