Unter den Kennungen CVE-2026-109618 und CVE-2026-109619 – in der Fachwelt als „PHP2Shell“ bekannt – ermöglichen die Schwachstellen eine unauthentifizierte Remote Code Execution (RCE). Angreifer können dabei unter bestimmten Bedingungen eigene Schadcode ausführen, vertrauliche Datenbanken auslesen, Dateien manipulieren oder im schlimmsten Fall die vollständige Kontrolle über betroffene Server übernehmen.
KI entdeckt Jahrzehnte alte Lücke in PHP
Entdeckt wurden die Fehler im Rahmen einer koordinierten Offenlegung sowohl von der Sicherheitsfirma Calif (während eines OpenAI-Projekts) als auch von dem Cloud-Sicherheitsunternehmen Wiz. Mindestens ein Jahrzehnt lang blieben die Schwachstellen im Quellcode unbemerkt.
In einer Mitteilung von OpenAI wurde betont, dass es sich aufgrund der Schwere und der enormen Verbreitung von PHP um eine der folgenschwersten Sicherheitslücken der jüngeren Vergangenheit handelt. Der Vorfall unterstreiche zugleich das große Potenzial künstlicher Intelligenz bei der Aufspürung tief im Code verborgener Sicherheitsrisiken.
Globale Cybersicherheitsbehörden schlagen Alarm
Die akute Bedrohungslage veranlasste Cybersicherheitsbehörden weltweit zum schnellen Handeln. Das deutsche Bundesamt für Sicherheit in der Informationstechnik stufte die Gefahr in einer Warnung der Stufe 3 (Orange) ein. BSI-Vizepräsident Thomas Caspers betonte den unverzüglichen Handlungsbedarf für alle Betreiber. Das Amt warnte ausdrücklich davor, dass Angreifer mit Kenntnis dieser Schwachstellen massive Angriffskampagnen durchführen und IT-Systeme aus verschiedensten Anwendungsbereichen kompromittieren könnten. Auch US-Behörden wie die Cybersecurity and Infrastructure Security Agency (CISA), die NSA und das FBI gaben dringende Warnungen heraus und empfahlen entsprechende Schutzmaßnahmen.
Der tatsächliche und dringende Handlungsbedarf liegt unmissverständlich bei den Administratoren und Serverbetreibern. Betroffene Systeme müssen unverzüglich auf die vom PHP-Projekt bereitgestellten korrigierten Versionen wie 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert werden. Da ältere, nicht mehr offiziell unterstützte PHP-Versionen unterhalb von 8.2 keine regulären Binaries mehr erhalten, sind Betreiber hier auf Source-Backports, spezielle Sicherheitsupdates von Distributions- und Hosting-Anbietern oder ein dringendes Upgrade auf eine unterstützte Version angewiesen. Ist ein sofortiges Einspielen der Patches nicht möglich, empfehlen Experten dringend, die gefährdeten Anwendungen vorübergehend vom öffentlichen Internet zu trennen.
Die Sorge vor Ausnutzung ist begründet: Bereits vor beziehungsweise kurz nach der Veröffentlichung der Patches kursierten unbestätigte Berichte und frühe Exploits, und Sicherheitsbehörden stuften eine massenhafte Ausnutzung als hochwahrscheinlich ein. Ein reines Update schützt zudem nicht rückwirkend; Betreiber müssen ihre Serverprotokolle und Systemdateien gründlich auf auffällige Aktivitäten und mögliche Einbrüche untersuchen, die vor der Absicherung stattgefunden haben könnten.
Schutz vor Folgeschäden: Was Endnutzer beachten sollten
Wie können sich Endnutzer schützen? Browser wie Firefox oder Brave, Ad-Blocker und VPNs können zwar die serverseitige PHP-Lücke auf einem Fremdserver nicht schließen, bieten aber einen wichtigen Schutzwall gegen Folgeschäden – etwa wenn Kriminelle gehackte Seiten für Phishing oder Schadcode-Injektionen missbrauchen. Zusammen mit starken Passwörtern, Zwei-Faktor-Authentifizierung und aktuellen Systemen minimieren Nutzer so das Risiko nachgelagerter Angriffe deutlich.
Der konsequente Einsatz einer Zwei-Faktor-Authentifizierung schützt das eigene Konto selbst dann, wenn Zugangsdaten aus einer Datenbank gestohlen werden, während die Nutzung einzigartiger Passwörter für jeden Dienst verhindert, dass ein Datenleck auf einer betroffenen PHP-Seite zum Einbruch in andere persönliche Konten führt. Das Aufrechterhalten aktueller Browser und Betriebssysteme bleibt ebenfalls essenziell, um zumindest verbindungsseitige Risiken zu minimieren.
