Diese Woche haben zwei kritische Lücken im Kern von PHP weltweit dazu geführt, dass Websites vom Netz genommen werden mussten. Link11 ordnet ein, was über die Angriffe bekannt ist, welche Leistung Web Application Firewalls erbringen und warum nur das Update die Lücken schließt.
Am 21. Oktober hat das PHP-Projekt Sicherheitsupdates für die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619, die auch als „PHP2Shell” bekannt sind, veröffentlicht. Beide wurden mit einem CVSS-Wert von 9,2 bewertet. Unter bestimmten Bedingungen ermöglichen sie es Angreifern, ohne Anmeldung Code auf Webservern auszuführen und Speicherinhalte wie Passwörter oder API-Schlüssel auszulesen.
Das BSI stuft die Lage mit Warnstufe 3/Orange ein. Wo das Update nicht kurzfristig eingespielt werden konnte, empfahl es, die Server vorübergehend vom Netz zu nehmen. Dieser Empfehlung sind Behörden, Hochschulen, Kliniken und Hoster in einem bislang beispiellosen Ausmaß gefolgt.
Von Scans zu breiten Angriffen
Die weltweit verteilten Honeypots von Link11 haben Scanner registriert, die das Internet systematisch nach verwundbaren Websites durchsuchen. Inzwischen berichten Sicherheitsforscher branchenweit von breit angelegten Ausnutzungsversuchen gegen beide Schwachstellen. Erste Versuche gab es demnach bereits am 17. Oktober, vier Tage vor der Veröffentlichung. Ein erfolgreicher Einbruch ist bislang nicht öffentlich belegt.
„Wir sehen, dass Angreifer das Netz gezielt auskundschaften”, sagt Karsten Desler, CTO bei Link11. „Ob Lücken bereits ausgenutzt wurden, kann heute niemand seriös ausschließen. Ein geschickter Angriff bleibt oft auch für die Betroffenen unbemerkt.” Betreiber sollten ihre Logs deshalb nicht erst ab dem Tag der Veröffentlichung, sondern mindestens ab dem 17. Oktober prüfen.
Wie Link11 reagiert hat
Link11 hat proaktiv und direkt gehandelt. Unser Team hat am Tag der Veröffentlichung Schutzregeln gegen bekannte PHP2Shell-Angriffsmuster entwickelt und diese für alle Kunden der Link11 WAAP ausgerollt. Diese vereint eine Web Application Firewall (WAF), Web-DDoS-Schutz, Bot-Management und API-Sicherheit.
Eine Regel setzt am Session-Upload-Progress-Pfad von PHP an. Über diesen Weg laufen laut Beobachtungen von Sicherheitsforschern derzeit die meisten Angriffe. Das Team passt die Regeln laufend an neue Angriffsvarianten an.
Die Link11 WAAP bietet damit eine zusätzliche Schutzebene, während das PHP-Update vorbereitet und eingespielt wird. Das Update bleibt dabei der entscheidende Schritt.
Warum nur das Update hilft
Zu PHP2Shell gibt es zahlreiche Workarounds, etwa das Abschalten einzelner PHP-Funktionen. Diese senken das Risiko, schließen die Lücken aber nicht vollständig. Das PHP-Projekt nennt das Update daher ausdrücklich als einzige vollständige Lösung.
„Workarounds und Konfigurationsänderungen können helfen, aber sie ersetzen kein Update”, sagt Desler. „Wer nur an Stellschrauben dreht, bleibt angreifbar.”
Hinzu kommt, dass die PHP-Laufzeitumgebung selbst betroffen ist. Ein Update von WordPress, Typo3 oder anderen Anwendungen reicht deshalb nicht aus. Auch ältere, nicht mehr unterstützte Versionen bis zurück zu PHP 5 sind verwundbar.
Wie viele Websites sind betroffen?
Die oft genannte Zahl von 70 Prozent beschreibt den Anteil der Websites, die PHP nutzen. Wie viele dieser Websites tatsächlich angreifbar sind, hängt von der verwendeten Version, dem Server-Setup und dem Patch-Stand ab. Desler hält eine Größenordnung von 30 bis 40 Prozent für realistischer. Diese Zahl sinkt derzeit, da die meisten großen Hoster ihre Systeme bereits aktualisiert haben. Kritisch bleiben jedoch selbst betriebene Server, Container, Appliances und Altsysteme.
Was Betreiber jetzt tun sollten
Wichtig vorab: Die Lücken stecken in PHP selbst. Ein Update von CMS oder Anwendung allein schließt sie nicht.
- Alle PHP-Systeme finden. PHP läuft oft an mehr Stellen als gedacht, etwa in Containern, Appliances, internen Tools oder Admin-Oberflächen. Bei Linux-Distributionen zeigt der Changelog des Pakets, ob die CVE-Nummern behoben sind. Die Versionsnummer allein kann täuschen, da Distributionen Fixes oft in ältere Versionen zurückportieren.
- Sofort patchen. Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder auf das gepatchte Paket Ihres Anbieters. Starten Sie anschließend alle PHP-Prozesse neu, damit das Update greift. Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr. Diese Systeme sollten zügig auf eine unterstützte Version wechseln.
- Wenn sich das Patchen verzögert, verringern Sie die Angriffsfläche. Schränken Sie den Zugriff auf betroffene Systeme ein, etwa über Allowlists. Eine WAAP fängt bekannte Angriffsmuster ab und verschafft Zeit. Konfigurationsänderungen senken das Risiko zusätzlich, ersetzen das Update aber nicht. Systeme, die sich weder patchen noch absichern lassen, müssen vorübergehend vom Netz genommen werden.
- Nach dem Patch die Abwehr stärken. Das Update führt ein festes Speicherlimit ein. Prüfen Sie deshalb, ob die Speichereinstellungen zu Ihren Anwendungen passen, damit es nicht zu Ausfällen kommt. Werten Sie außerdem Ihre Logs aus, mindestens ab dem 17. Oktober, denn ein Patch macht eine bereits erfolgte Kompromittierung nicht rückgängig. Auffällig sind etwa gehäufte Speicherfehler, unerklärliche Serverfehler oder Neustarts von PHP-Prozessen.
Wer Websites bei einem Hoster betreibt, sollte nachfragen, ob der Fix tatsächlich installiert wurde oder nur geplant ist. Bei Managed Hosting liegt die Verantwortung für das Update in der Regel beim Hoster, bei eigenen Servern, virtuellen Maschinen und Containern hingegen beim Betreiber selbst.
KI verändert das Tempo
PHP2Shell wurde mithilfe von KI entdeckt. Der Fehler lag mehr als zehn Jahre lang unentdeckt im Code. Seit Juli hat das PHP-Sicherheitsteam bereits 15 CVEs veröffentlicht.
„PHP2Shell wird nicht die letzte Lücke dieser Art sein”, sagt Desler. „KI-Werkzeuge finden inzwischen Fehler, die jahrelang unentdeckt im Code lagen – und das gilt für Verteidiger und Angreifer gleichermaßen.”
Für Unternehmen bedeutet dies, dass die Zeit zwischen Veröffentlichung und funktionierendem Exploit weiter schrumpfen wird. Umso wichtiger sind ein aktuelles Software-Inventar, kurze Patch-Zyklen und eine Schutzschicht, die in Echtzeit auf Angriffe reagiert.
