Kritische PHP-Lücke: Globale Abschaltungen & Notpatches

Eine kritische PHP-Schwachstelle, Ende Oktober 2026 entdeckt, zwang Behörden und Unternehmen in Europa, Asien und Nordamerika, Websites offline zu nehmen, während Notpatches eingespielt wurden. Die beiden als PHP2Shell bekannten Lücken betreffen die Open-Source-Sprache, auf der laut PHP Foundation rund 70 Prozent aller Websites laufen.

Was ist die PHP2Shell-Schwachstelle?

Die PHP Foundation veröffentlichte am 21. Oktober 2026 zwei Remote-Code-Execution-Lücken – CVE-2026-109618 und CVE-2026-109619. Beide haben einen CVSS-Wert von 9,2 und erlauben nicht authentifizierten Angreifern, beliebigen Code auf anfälligen Servern auszuführen. Die Fehler existieren seit PHP 5.4 und wurden mithilfe von KI-Modellen entdeckt; laut Stiftung sind sie die bedeutendsten jemals von KI gefundenen PHP-Schwachstellen.

Notpatches und globale Reaktion

NSA, FBI, das britische NCSC sowie Behörden in Singapur, Australien, Kanada und der EU drängten Administratoren, sofort zu patchen oder Systeme offline zu nehmen. Großbritannien versandte Zehntausende Warnungen. Mehrere Regierungsportale – Overheid.nl, DigiD, der Hafen Rotterdam, Finnlands Valtori und die Pariser Polizeipräfektur – gingen vorsorglich offline. Die Wikimedia Foundation setzte Dienste kurz aus und nahm sie nach dem Patchen wieder in Betrieb.

Welche Systeme sind betroffen?

Betroffen sind PHP-Versionen 5.4 bis 8.5.11. Patches erschienen am selben Tag in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Apache mit mod_php ist die exponierteste Konfiguration; auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed können anfällig sein. Organisationen sollten PHP-Installationen erfassen, internetzugewandte Systeme priorisieren, Updates einspielen, Container prüfen und Logs auf Ausnutzung kontrollieren.

Ausnutzung vor der Offenlegung

Amazons Threat-Intelligence-Team MadPot erkannte Ausnutzungsversuche vier Tage vor der öffentlichen Warnung. Cloudflare meldete innerhalb von Stunden nach Offenlegung Millionen Exploit-Versuche. Cloudflares Dane Knecht warnte, Firewall-Regeln seien nur ein Provisorium; Patchen bleibe unerlässlich.

Auswirkungen und Bedeutung

Die koordinierten Abschaltungen zeigen die Fragilität grundlegender Internetsoftware. Da PHP fast 70 Prozent der Websites antreibt, können wenige Fehler öffentliche Dienste, E-Commerce und Medien stören. Langsam aktualisierte Shared-Hosting-Umgebungen und End-of-Life-PHP-Versionen bleiben Risiken. Bis Freitag, 23. Oktober 2026, waren keine öffentlich bestätigten erfolgreichen Kompromittierungen bekannt; Sicherheitsteams suchen weiter nach Eindringlingsspuren.

FAQ: Notpatches für PHP2Shell

Was ist PHP2Shell?

PHP2Shell ist der Spitzname für zwei kritische PHP-Lücken, CVE-2026-109618 und CVE-2026-109619, die nicht authentifizierte Remote-Code-Ausführung ermöglichen.

Welche PHP-Versionen sind anfällig?

Alle Versionen von 5.4 bis 8.5.11. Gepatchte Releases sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Warum wurden Websites offline genommen?

Viele Organisationen schalteten betroffene Dienste vorsorglich ab, um Ausnutzung vor dem Notpatch zu verhindern – gemäß Hinweisen von NSA, FBI, NCSC und anderen Behörden.

Wurde die Lücke aktiv ausgenutzt?

Amazon entdeckte Honeypot-Versuche vor der Offenlegung, Cloudflare sah Millionen Versuche danach. Öffentlich bestätigte erfolgreiche Kompromittierungen gab es bis Freitag, 23. Oktober 2026, jedoch nicht.

Wie schütze ich meinen PHP-Server?

Aktualisieren Sie sofort auf eine gepatchte Version, erfassen Sie PHP-Installationen, priorisieren Sie internetzugewandte Systeme und prüfen Sie Logs auf verdächtige Aktivität.

Fazit

Der PHP2Shell-Vorfall erinnert daran, dass die Infrastruktur des Webs oft von wenigen Freiwilligen und Stiftungen gepflegt wird. Die Notpatch-Welle war breit, doch langfristige Resilienz erfordert bessere Finanzierung, schnellere Update-Akzeptanz und stärkere Nutzung KI-gestützter Schwachstellensuche.