PHP hat Notfall-Updates für zwei Sicherheitslücken veröffentlicht, die Serverangriffe ermöglichen könnten. Betroffen sind auch WordPress-Websites, E-Commerce-Websites und Unternehmensanwendungen.
Das 21. Oktober 2026 Zwei kritische Sicherheitslücken in PHP, der von zahlreichen Websites und Online-Anwendungen verwendeten Programmiersprache, wurden behoben. Die Schwachstellen, bekannt als PHP2Shell, kann es einem Angreifer ermöglichen, Code auf dem Server auszuführen, ohne über Anmeldeinformationen zu verfügen.
Das Problem betrifft nicht ein bestimmtes CMS oder ein anfälliges Plugin. Die Schwachstellen liegen direkt in der PHP-Engine und können daher selbst aktualisierte und korrekt konfigurierte Websites beeinträchtigen. Das Sicherheitsteam hat die Korrekturen vorzeitig veröffentlicht, nachdem technische Informationen zu den Schwachstellen bekannt wurden.
PHP2Shell: Was sind die beiden Sicherheitslücken und warum sind sie gefährlich?
Die als Schwachstellen identifizierten CVE-2026-109618 und CVE-2026-109619, Beide erhielten einen Schweregradwert von 9,2 von 10 Punkten auf der CVSS 4.0-Skala, das System, das zur Bewertung der Kritikalität von Computersicherheitslücken verwendet wird.
Beide Probleme betreffen die Speicherverwaltung von PHP. Unter bestimmten Bedingungen kann ein Angreifer diese Fehler ausnutzen, um Code aus der Ferne auszuführen – eine Technik, die als Remote-Code-Ausführung bekannt ist. Remote Code Execution (RCE).
Die erste Schwachstelle tritt bei der Fehlerbehandlung aufgrund von Speichermangel auf. Die zweite betrifft interne Informationen, die auch nach Abschluss einer Anfrage weiterhin zugänglich sein können.
Das mögliche Ergebnis ist besonders schwerwiegend: Ein Angreifer könnte Anweisungen mit den Berechtigungen des PHP-Prozesses ausführen, auf vertrauliche Informationen zugreifen oder den Betrieb der Website gefährden.
Der Schweregrad wurde durch die offizielles PHP-Team, der die Administratoren dringend aufforderte, die Aktualisierungen unverzüglich anzuwenden.
WordPress, Joomla und E-Commerce: Welche Seiten sind betroffen?
Das Besondere an PHP2Shell ist, dass Sicherheitslücken nicht unbedingt von der Software abhängen, die zum Erstellen der Website verwendet wurde.
WordPress, Joomla, Drupal, Magento und benutzerdefinierte PHP-Anwendungen kann aufgedeckt werden, wenn anfällige Versionen der Sprache verwendet werden.
Das bedeutet, dass eine Website mit aktualisierten Themes, Plugins und einem aktualisierten CMS nicht automatisch geschützt ist. Wenn der Server weiterhin eine inkorrekte PHP-Version verwendet, kann das Risiko bestehen bleiben.
Laut offiziellen Warnmeldungen sind mehrere Ausführungsumgebungen potenziell betroffen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko besteht bei Apache-Konfigurationen mit mod_php, wo die Ausnutzung bereits vor der Ausführung des Website-Codes nachgewiesen wurde.
Für Unternehmen können die Folgen nicht nur die Verfügbarkeit von Seiten beeinträchtigen, sondern auch Kundendaten, verbundene Systeme und die Kontinuität von Online-Diensten.
Welche PHP-Versionen wurden aktualisiert?
Offizielle Korrekturen sind in den folgenden Versionen verfügbar:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Installationen, die älter als die korrekten Versionen des jeweiligen Zweigs sind, sollten überprüft und aktualisiert werden.
Besonders problematisch ist PHP 8.1 und ältere Versionen, da diese vom PHP-Projekt keine regelmäßigen Updates mehr erhalten. Einige Anbieter stellen zwar Korrekturen speziell für diese Umgebungen bereit, Sie sollten jedoch deren Verfügbarkeit prüfen und eine Migration auf unterstützte Versionen planen.
Die Intervention muss sich auf das Umfeld beziehen, in dem sich der Standort befindet: Ein Update von WordPress oder dessen Plugins allein behebt das Problem mit PHP2Shell nicht..
Gab es bereits Angriffe?
Erste Informationen über die Sicherheitslücken wurden am 20. Oktober öffentlich bekannt, noch vor der Veröffentlichung der Sicherheitspatches.
Mehrere spezialisierte Unternehmen, darunter watchTowr, Wolkenflare und Patchstack haben über beobachtete Ausnutzungsversuche ihrer Infrastruktur berichtet.
Es ist wichtig, diese Versuche von erfolgreichen Kompromittierungen zu unterscheiden: Öffentliche Berichte allein erlauben es uns nicht, zu quantifizieren, wie viele Websites tatsächlich kompromittiert wurden.
Die italienische Cybersicherheitsbehörde CSIRT Italien hob ebenfalls die Kritikalität der Sicherheitslücken und die Notwendigkeit eines schnellen Eingreifens hervor.
Vorübergehende Schutzmaßnahmen können einige Angriffsmöglichkeiten reduzieren, das Problem aber nicht vollständig beseitigen. Die von den Entwicklern vorgeschlagene Lösung bleibt die’Anwenden von Sicherheitskorrekturen auf PHP.
Was das für Ihr Unternehmen bedeutet
Die Entdeckung von PHP2Shell verdeutlicht, wie sehr die Sicherheit einer Website von der Infrastruktur abhängt, auf der sie gehostet wird, und nicht nur von den im Administrationsbereich sichtbaren Aktualisierungen.
Um das Risiko zu verringern, sollten Unternehmen drei Bereiche angehen:
- Überprüfen Sie Ihre PHP-Version und Ihre Hosting-Umgebung., Fragen Sie Ihren Lieferanten, ob die Korrekturen bereits vorgenommen wurden.
- Planen Sie das Update und prüfen Sie die Kompatibilität., insbesondere im Hinblick auf E-Commerce, kundenspezifische Plugins und Integrationen mit Managementsoftware.
- Überprüfen Sie die Systeme nach der Operation, um die korrekte Funktion der Website zu überprüfen und etwaige Anomalien in den Protokollen und Dateien zu analysieren.
Für ein Unternehmen bedeutet die Sicherung seiner Website den Schutz von Daten, Betriebsabläufen und der Zuverlässigkeit der den Kunden angebotenen Dienstleistungen.
DigiFe unterstützt Unternehmen bei der Überprüfung und Verwaltung der Website-Sicherheit., Identifizierung von Schwachstellen, veralteten Konfigurationen und erforderlichen Maßnahmen zur Aktualisierung der Infrastruktur.
Entdecken Sie den Service von DigiFe Cybersicherheit um den Sicherheitsstatus Ihrer Unternehmenswebsite zu beurteilen.
