PHP2Shell: PHP-Sicherheitslücke - Welche Webseiten sind betroffen?
Zwei kritische PHP-Sicherheitslücken gefährden weltweit Webseiten. Welche Seiten betroffen sind, welche Dienste offline gingen und was Nutzer wissen müssen.
Karl-Josef Hildenbrand/dpa-tmn/dpaEine schwerwiegende Sicherheitslücke sorgt am Mittwoch (21. Oktober 2026) weltweit für Aufregung. Unter dem Namen „PHP2Shell“ warnen IT-Sicherheitsexperten vor zwei Schwachstellen in der weitverbreiteten Programmiersprache PHP. Diese kommt auf zahlreichen Webseiten zum Einsatz und ermöglicht es, dynamische Inhalte bereitzustellen. Die beiden Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 werden auf der internationalen CVSS-Skala mit einem Wert von 9,2 von maximal 10 eingestuft. Angreifer könnten die Schwachstellen ausnutzen, um aus der Ferne Schadcode auszuführen und im schlimmsten Fall die vollständige Kontrolle über betroffene Server zu übernehmen.
Welche Webseiten sind von der PHP-Sicherheitslücke betroffen?
Die Sicherheitslücken betreffen grundsätzlich Webseiten und Onlinedienste, die anfällige Versionen von PHP verwenden. Da die Programmiersprache auf einem großen Teil der weltweit betriebenen Webseiten eingesetzt wird, ist das Ausmaß potenziell enorm. Besonders relevant ist die Bedrohung für Webseiten, die auf bekannten Content-Management-Systemen und Webanwendungen basieren. Dazu gehören unter anderem:
- WordPress: Das Content-Management-System wird weltweit auf schätzungsweise 400 bis 500 Millionen Webseiten eingesetzt.
- Drupal, Joomla und TYPO3: Auch diese Systeme verwenden PHP als technische Grundlage.
- Magento: Die E-Commerce-Plattform kommt beim Betrieb von Onlineshops zum Einsatz.
- MediaWiki und phpBB: Wiki-Plattformen und Internetforen könnten ebenfalls betroffen sein.
- Moodle und Laravel: Auch Lernplattformen und Webanwendungen, die auf diesen Technologien basieren, gehören zu den potenziell gefährdeten Diensten.
Das bedeutet allerdings nicht, dass automatisch jede Webseite mit einem dieser Systeme angreifbar ist. Entscheidend ist unter anderem, welche PHP-Version auf dem jeweiligen Server installiert ist und ob die Sicherheitsupdates bereits eingespielt wurden. Nach bislang kursierenden Informationen könnten sogar PHP-Versionen bis zurück zur mehr als 20 Jahre alten Version PHP 5 betroffen sein. Eine besondere Herausforderung stellt das für Betreiber veralteter Server dar, für die möglicherweise keine regulären Sicherheitsupdates mehr bereitgestellt werden.
Welche Webseiten wurden bereits abgeschaltet?
Die Warnungen haben bereits konkrete Auswirkungen. Mehrere Unternehmen, öffentliche Einrichtungen und Organisationen haben ihre Internetangebote vorsorglich deaktiviert oder den Zugriff eingeschränkt. So nahm die Stadt Mainz ihr zentrales Internetportal mainz.de und weitere städtische Onlinedienste vorübergehend vom Netz. Die Stadtverwaltung teilte mit, dass Ämter und Bürgerbüros weiterhin telefonisch und per E-Mail erreichbar bleiben. Bereits vereinbarte Termine sollen wie geplant stattfinden. Auch andere Anbieter haben reagiert. Dazu gehören die cloudbasierte Rechnungssoftware easybill, die Wiki-Plattform wiki.gg sowie die Webseite des Spieleverlags Choice of Games.
In Österreich wurden ebenfalls Dienste vorsorglich eingeschränkt. Die Technische Universität Wien beschränkte den Zugriff auf bestimmte Services auf das interne Netzwerk. Darüber hinaus wurden Internetangebote der Caritas sowie der niederösterreichischen Zeitung NÖN vorübergehend abgeschaltet. Auch die Webseite des deutschen Bundesinnenministeriums war am Mittwoch zeitweise nicht erreichbar. Aus den vorliegenden Informationen geht allerdings nicht eindeutig hervor, ob dies unmittelbar auf die PHP-Sicherheitslücke zurückzuführen war. Die vorsorglichen Abschaltungen bedeuten nicht automatisch, dass die betreffenden Webseiten bereits gehackt wurden. Vielmehr sollen sie verhindern, dass Angreifer möglicherweise verwundbare Systeme erreichen.
Wie gefährlich ist PHP2Shell?
Die Sicherheitslücken gelten als besonders kritisch, weil Angreifer nach den bisherigen Erkenntnissen keine vorherige Anmeldung benötigen, um verwundbare Server anzugreifen. Gelingt ein Angriff, könnten Cyberkriminelle sensible Kundeninformationen und Datenbanken auslesen, Webseiten manipulieren oder die betroffenen Server für weitere Cyberattacken missbrauchen. Bei Onlineshops könnten zudem Zahlungsprozesse beeinträchtigt werden. Besonders problematisch ist, dass vor der Veröffentlichung der Sicherheitsupdates bereits Informationen über die Schwachstellen im Internet kursierten. Dadurch entstand erheblicher Zeitdruck für Webseitenbetreiber.
Das Cybersicherheitsunternehmen Sansec warnte davor, dass automatisierte Massenangriffe bereits innerhalb von 15 Minuten nach Veröffentlichung der Sicherheitsupdates beginnen könnten. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) rechnet mit einer schnellen, großflächigen Ausnutzung. Der Technikchef des Internetunternehmens Cloudflare, Dane Knecht, berichtete am Mittwoch bereits von ersten beobachteten Angriffen. Das BSI hatte zuvor mitgeteilt, dass noch keine bestätigten Ausnutzungen bekannt seien.
Welche PHP-Versionen sind jetzt sicher?
Ursprünglich sollten die Sicherheitsupdates am Mittwoch um 16 Uhr deutscher Zeit erscheinen. Die PHP Group veröffentlichte die korrigierten Versionen jedoch bereits etwas früher. Folgende PHP-Versionen enthalten die bereitgestellten Sicherheitskorrekturen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Betreiber sollten ihre PHP-Installation deshalb schnellstmöglich aktualisieren. Für ältere, nicht mehr unterstützte Versionen könnten dagegen zusätzliche Maßnahmen oder ein Wechsel auf eine aktuelle PHP-Version erforderlich sein. Das BSI hat die Bedrohungsstufe „Orange“ ausgerufen. Diese ist die zweithöchste Warnstufe und beschreibt eine geschäftskritische Sicherheitslage. Können Betreiber die Updates nicht kurzfristig installieren, empfehlen Sicherheitsbehörden, betroffene Webserver vorübergehend vom öffentlichen Internet zu trennen.
Was bedeutet die Sicherheitslücke für normale Internetnutzer?
Für Verbraucher besteht zunächst kein unmittelbarer Handlungsbedarf. Die Sicherheitslücken befinden sich nicht auf Smartphones, Laptops oder privaten Computern, sondern in der serverseitigen Software von Webseiten. Dennoch können Nutzer indirekt betroffen sein. So könnten Onlineshops, Nachrichtenportale oder andere Internetdienste zeitweise nicht erreichbar sein, weil deren Betreiber vorsorglich Systeme abschalten oder Sicherheitsupdates installieren. Darüber hinaus besteht das Risiko, dass Angreifer bei erfolgreichen Attacken persönliche Informationen oder Kundendaten abgreifen.
Entscheidend ist deshalb vor allem das schnelle Handeln der Webseitenbetreiber. Wer eine Webseite mit PHP betreibt, sollte die verwendete Version überprüfen, verfügbare Sicherheitsupdates installieren und sich bei Bedarf an seinen Hosting-Anbieter oder IT-Dienstleister wenden. Ob eine bestimmte Webseite tatsächlich gefährdet ist, lässt sich allein anhand ihres Namens oder des verwendeten Content-Management-Systems nicht zuverlässig feststellen. Klar ist jedoch: Wegen der weiten Verbreitung von PHP betrifft die Sicherheitswarnung einen erheblichen Teil der weltweiten Internetinfrastruktur.