Sicherheitslücken PHP2Shell
Wie das Internet stolperte
Am 21. Oktober war in der IT-Branche die Hölle los. Für Server-Admins und Webmaster war es ein schwarzer Tag, denn mit zwei Sicherheitslücken in der gängigsten Websprache PHP war der größte Teil des Internets plötzlich schutzlos. Viele sahen keine andere Möglichkeit mehr, als ihre Dienste abzuschalten. Und einige werden wohl noch länger abgeschaltet bleiben.
Um zu verstehen, was da gestern passierte, ist es sinnvoll, wenn nicht notwendig, zumindest knapp zu erklären, was PHP eigentlich ist. PHP („PHP: Hypertext Preprocessor“, ursprünglich „Personal Home Page Tools“) ist eine Skriptsprache, die hauptsächlich zur Erstellung dynamischer Internetseiten oder Webanwendungen verwendet wird. Und es ist wohl die am weitesten verbreitete: Schon Anfang 2013 war sie auf etwa 244 Millionen Internetseiten im Einsatz und bis Anfang 2019 nutzten 79 Prozent aller serverseitig erstellen Internetseiten PHP. PHP ist so gängig, dass sie von den meisten Webhostern¹ vorinstalliert wird.
Die beiden Sicherheitsfehler nun ermöglichten die Ausführung von Schadcode in PHP – und zwar so einfach, dass man die Angriffe leicht automatisieren konnte. Da PHP aktuell auf ungefähr 75 Prozent aller Webserver eingesetzt wird und populäre Webanwendungen wie WordPress, Drupal und Joomla darauf basieren, wurde die potenzielle Reichweite der Sicherheitslücke auf hunderte von Millionen Internetseiten eingeschätzt.
Betroffen waren nämlich alle PHP-Versionen seit 2004. Die PHP Foundation stufte die Sicherheitslücken, mit einem CVSS-Rating von 9,2 (maximal möglich sind 10) als kritisch ein und veröffentlichte am 20. Oktober 2026 eine entsprechende Warnmeldung. Die ursprünglich für den 22. Oktober 2026 geplante Bereitstellung von Patches² (deutsch „Flicken“) für aktuelle Versionen ab PHP 8.2, die am 21. Oktober 2026 um 16:00 Uhr MESZ angekündigt worden war, wurde vorgezogen, da Informationen über die Sicherheitslücke durch ein Leak (deutsch "Leck") in einschlägigen Foren bekannt wurden. Und damit hatte der Run der Cracker³ schon begonnen.
Eine massive Angriffswelle rollt weiter
In Deutschland rief das Bundesamt für Sicherheit in der Informationstechnik dazu auf, unmittelbar Ressourcen bereitzuhalten, um Patches umgehend zu installieren, da großflächige KI-gestützte Angriffe zu erwarten seien. Mehrere Städte deaktivierten ihre Onlinedienste, in mehreren Bundesländern gingen Regierungs- und Behördenseiten vom Netz und Kliniken und Universitäten deaktivierten oder sperrten ihre Webseiten.
Das bei Netzwerkdiensten in den USA dominierende Tech-Monopol Cloudflare Inc. alleine verzeichnete gestern Millionen von Ausnutzungsversuchen wie deren CEO Matthew Prince am späten Abend des 21. Oktober auf X berichtete: „In den zehn Stunden vor der öffentlichen Bekanntgabe verzeichneten wir im gesamten Netzwerk Tausende von Versuchen, diese Sicherheitslücken auszunutzen. Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und liegt nun bei Millionen“.
Diese Situation ist auch noch nicht vollständig überwunden, denn nicht alle Hoster¹ haben alle Patches eingespielt und für manche uralten Internetseiten wird vielleicht gar kein solcher Patch mehr kommen. Man muss davon ausgehen, dass noch über Jahre vernachlässigt gepflegte Webseiten mit diesen Sicherheitslücken angegriffen werden. Gerade kleine Initiativen und Vereine, aber auch Gewerbetreibende, sind in dieser Situation besonders gefährdet.