PHP2Shell: Kritische Lücken in PHP zwingen zu Notfall-Updates
Die US-Behörde CISA rät, nicht sofort patchbare PHP-Server vom Netz zu nehmen. Ein erster Angriffsversuch soll schon vier Tage vor der Offenlegung erfolgt sein.
Von Marcel
Wegen zweier kritischer Sicherheitslücken in der Skriptsprache PHP hat das PHP-Team am Mittwoch, 21. Oktober, Notfall-Updates veröffentlicht. Die US-Cybersicherheitsbehörde CISA forderte Betreiber auf, ihre Systeme sofort zu aktualisieren oder sie vom Netz zu nehmen.
Die als PHP2Shell bezeichneten Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut CISA unauthentifizierte Remotecodeausführung. Angreifer können also ohne Anmeldung eigenen Code auf einem Server ausführen. Die Schwachstellen haben einen CVSS-Wert von 9,2 auf einer Skala, die bis 10 reicht.
Geschlossen sind die Lücken in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer PHP 8.1 oder älter nutzt oder nicht sofort aktualisieren kann, soll die Systeme nach Empfehlung der CISA vom Netz nehmen. Das britische Nationale Zentrum für Cybersicherheit (NCSC) gibt dieselbe Empfehlung für Systeme, die sich nicht sofort patchen lassen.
Angriffsversuch vor der Offenlegung
Laut Amazon Threat Intelligence, der Sicherheitsabteilung des US-Konzerns, gab es bereits am Samstag, 17. Oktober, einen Versuch, die Lücken auszunutzen – vier Tage vor ihrer Offenlegung.
Der Netzwerkausrüster Cisco teilte in einer Sicherheitsmeldung zu eigenen Produkten mit, seinem Sicherheitsteam seien keine böswilligen Ausnutzungen bekannt. Workarounds gebe es nicht.
Nach Angaben der Zeitung New York Times nahmen Betreiber viele Websites vorsorglich offline. Ein ungepatchter Server habe vollständig übernommen werden können.
Rund 69 Prozent der Websites setzen auf PHP
Die Tragweite ergibt sich aus der Verbreitung der Sprache. Nach Daten des Analysedienstes W3Techs vom 22. Oktober steckt PHP hinter 69,3 Prozent aller Websites, bei denen sich die serverseitige Sprache erkennen lässt. Allein das auf PHP basierende Content-Management-System WordPress macht demnach rund 40 Prozent aller Websites weltweit aus.
PHP läuft auf dem Server und erzeugt dort HTML oder andere Ausgaben, die an den Browser gehen. Der Quellcode selbst bleibt auf dem Server. Zu den großen Nutzern zählen die Wikipedia mit ihrer Software MediaWiki, die Systeme Drupal, Joomla und Magento sowie die Handelsplattform Etsy.
Entstanden ist die Sprache aus einem privaten Werkzeug. Der dänisch-kanadische Programmierer Rasmus Lerdorf schrieb 1994/1995 Skripte, um Besuche auf seiner Homepage zu zählen und Formulare zu verarbeiten. Im Juni 1995 veröffentlichte er den Code als „Personal Home Page Tools“. Heute steht PHP für „PHP: Hypertext Preprocessor“.
Als vollwertige Programmiersprache war PHP nie geplant. Lerdorf sagte später, er habe einfach immer den nächsten praktischen Schritt hinzugefügt. Weil PHP einfach zu lernen war und auf günstigem Webhosting lief, wurde die Sprache zum Standard für dynamische Websites.
Viele Websites laufen mit alten PHP-Versionen
Laut W3Techs nutzen rund 65 Prozent der PHP-Websites Version 8, 27 Prozent noch PHP 7 und knapp 8 Prozent PHP 5. Veraltete Installationen mit PHP 7 und älter bleiben ein Sicherheitsrisiko.
Nach Angaben der PHP Foundation werden derzeit PHP 8.5 und 8.4 aktiv gepflegt, PHP 8.3 und 8.2 erhalten nur noch Sicherheitsupdates. Ältere Versionen erhalten keine offiziellen Updates mehr. Für PHP 8.2 endet die Unterstützung Ende 2026, für PHP 8.5 Ende 2029. Die nächste Version, PHP 8.6, ist für November geplant.