PHP-Sicherheitslücke legt Behördenwebsites lahm

Zwei kritische PHP-Lücken erlauben Serverübernahmen aus der Ferne. Das BSI ruft Warnstufe Orange aus, Behörden gehen vom Netz, erste Angriffe laufen bereits.

Zwei Kennungen: CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9,2 als kritisch eingestuft, betreffen laut heise sämtliche PHP-Versionen seit PHP 5, also Software aus den vergangenen zwanzig Jahren. Die unter dem Namen php2shell bekannten Schwachstellen stecken in der Speicher- und Fehlerverwaltung der Skriptsprache und erlauben Angreifern, ohne vorherige Anmeldung Schadcode auf fremden Servern auszuführen.

Nach Einschätzung von Eset-Experte Alexander Opel bildet PHP die Grundlage von rund zwei Dritteln aller aktiven Websites weltweit, wie er gegenüber dem Handelsblatt sagte. Damit ist nicht irgendeine Nischentechnologie betroffen, sondern das Rückgrat von Onlineshops, Nachrichtenportalen und Verwaltungsportalen gleichermaßen.

Behörden ziehen die Notbremse

Das Bundesamt für Sicherheit in der Informationstechnik hat die Warnstufe „3 / Orange“ ausgerufen, was laut WirtschaftsWoche eine starke Beeinträchtigung des Regelbetriebs signalisiert. Das BSI empfiehlt Betreibern explizit, Webserver notfalls komplett vom Netz zu trennen, sollten Patches nicht kurzfristig einspielbar sein.

Mehrere Bundesländer folgten dieser Linie bereits: Die Website der Landeshauptstadt Mainz war zeitweise nicht erreichbar, ebenso das Bundesinnenministerium und Verfassungsschutzbehörden in Bayern, Hessen und Thüringen, wie das Handelsblatt berichtet. Auch Polizeiportale in Berlin und Brandenburg blieben nach Angaben der WirtschaftsWoche zeitweise offline. Baden-Württembergs Innenminister Manuel Hagel ordnete den Vorfall politisch ein: Die Cybersicherheitslage verschärfe sich weiter, man müsse jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, sagte er laut WirtschaftsWoche.

Ein Leak beschleunigt alles

Eigentlich sollte die Veröffentlichung der Lücken erst am 22. Oktober erfolgen. Ein Leak zwang die PHP-Entwickler laut heise, den Patch einen Tag früher freizugeben. Das verschaffte Kriminellen weniger Vorlaufzeit, brachte aber auch Verteidiger unter Zeitdruck: Branchenexperten befürchten laut t3n, dass automatisierte Skripte schon bald massenhaft ungeschützte Server aufspüren werden.

Die Entdecker der Sicherheitslücke, das Unternehmen Calif, demonstrierten in einem Video, wie sie innerhalb von 38 Sekunden Systemkommandos auf einem Server mit dem Framework Laravel ausführten, wie heise schreibt. Der Audit, der zur Entdeckung führte, wurde von OpenAI im Rahmen der Initiative „Patch the Planet“ gesponsert, zusätzlich unterstützten Google-Tochter Wiz und OpenAI die Analyse mittels KI-Modellen.

Patch da, Risiko bleibt

Die PHP-Entwickler veröffentlichten kurz vor 16 Uhr deutscher Zeit aktualisierte Versionen. Nutzer älterer, nicht mehr unterstützter Versionen sollten laut WirtschaftsWoche mindestens auf PHP 8.3 wechseln, da auch Backports für 7.4, 8.0 und 8.1 das Grundproblem nur abmildern.

PHP-Release-Manager Volker Dusch sagte gegenüber heise: „Nach vielen Wochen Arbeit bin ich sehr froh, dass wir den Release geschafft haben.“ Cloudflare hat nach eigenen Angaben WAF-Regeln implementiert, die laut heise alle bekannten Angriffsvektoren schließen sollen, allerdings nur als vorübergehender Schutz. Für Endnutzer besteht kein direkter Handlungsbedarf, da die Lücke serverseitig liegt, indirekt drohen aber Ausfälle und Datenabflüsse, wie t3n und WirtschaftsWoche übereinstimmend einordnen.

Business Punk Check

Zwanzig Jahre Codegeschichte, ein gemeinsamer Fehler, Millionen Server: Das ist eine Infrastrukturfrage, die Behörden zwingt, ihre eigenen Websites abzuschalten. Dass ausgerechnet ein Leak den Patch beschleunigte, zeigt, wie knapp koordinierte Offenlegung und offene Ausnutzung beieinanderliegen.

Wer zwanzig Jahre alte Abhängigkeiten nie aktualisiert hat, zahlt jetzt die Rechnung in Reaktionsgeschwindigkeit. Offen bleibt, wie viele kleinere Betreiber ohne eigene IT-Abteilung die Updates überhaupt rechtzeitig einspielen können.

Auf einen Blick

• Zwei kritische PHP-Schwachstellen namens php2shell betreffen laut heise alle PHP-Versionen der vergangenen zwanzig Jahre und erlauben Remote-Codeausführung.
• Das BSI hat die Warnstufe „3 / Orange“ ausgerufen und rät im Zweifel zur vorübergehenden Trennung betroffener Server vom Internet, wie WirtschaftsWoche berichtet.
• Mehrere Behörden und Kommunen, darunter Mainz und das Bundesinnenministerium, nahmen Webangebote vorsorglich offline, so das Handelsblatt.
• Die PHP-Entwickler haben aktualisierte Versionen veröffentlicht, ältere Installationen sollten laut heise mindestens auf PHP 8.3 aktualisiert werden.

Quellen: Heise, T3N, WirtschaftsWoche, Handelsblatt, KI-unterstützt