Das Bundesamt für Sicherheit in der Informationstechnik hat am heutigen Mittwoch vor zwei kritischen Schwachstellen in der Programmiersprache PHP gewarnt und die Lage mit Warnstufe 3 (Orange) als außerordentlich hoch eingestuft. Weil Details vorzeitig an die Öffentlichkeit gelangten, blieb Betreibern kaum Zeit: Landesregierungen, Kommunen, Universitäten und Kliniken nahmen ihre Webangebote vorsorglich vom Netz. Am Nachmittag veröffentlichte das PHP-Projekt die Patches – für Millionen Websites beginnt damit die Frage, wie schnell ihr Hoster sie einspielt.
Zwei Speicherfehler, ein Name, der an Log4Shell erinnern soll: Unter „PHP2Shell" warnen Sicherheitsforscher, das PHP-Projekt und das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor den Schwachstellen CVE-2026-109618 und CVE-2026-109619. Beide stecken nicht in einem Modul oder einem Content-Management-System, sondern im Kern der Skriptsprache selbst 4 9. Das PHP-Sicherheitsteam bewertet sie mit 9,2 von 10 Punkten nach CVSS v4.0 9 10.
Zwei Speicherfehler im Kern der Sprache
Beide Lücken gehören zur Klasse der Speicherfehler. Bricht PHP die Bearbeitung einer Anfrage wegen eines schweren Fehlers ab – etwa weil der Speicher vollläuft –, bleiben interne Datenstrukturen halb aufgebaut oder bereits freigegeben zurück. Die nächste Anfrage im selben Arbeitsprozess greift auf diesen veralteten Zustand zu. Daraus lassen sich nach Angaben der Entdecker zwei Dinge bauen: das Auslesen von Arbeitsspeicher und das Ausführen beliebigen Codes aus der Ferne, ohne Anmeldung und ohne Zutun des Nutzers 2 9.
Praktisch heißt das: Ein Angreifer kann einen Server übernehmen, Datenbanken und Kundendaten abgreifen oder die Maschine für weitere Angriffe missbrauchen 3. Weil der Fehler unterhalb der Anwendungsebene liegt, hilft auch ein vollständig aktualisiertes WordPress, Drupal oder Joomla nicht – selbst eine schlichte „Hallo Welt"-Anwendung auf einer verwundbaren PHP-Version ist angreifbar 9.
Betroffen sind nach Angaben des PHP-Teams alle Installationen, die Web-Anfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das Projekt bei mod_php, weil dort ein Angriff abläuft, bevor überhaupt Anwendungscode startet 11. Die Entdecker von Wiz Research nennen alle Versionen ab PHP 5.4 als verwundbar, das BSI hält alle Versionen bis mindestens PHP 5 für betroffen 2 9. Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, die das Projekt am Mittwoch veröffentlichte 10.
Ein Leak, das den Zeitplan sprengte
Der ursprüngliche Zeitplan war eigentlich anders vorgesehen. Die Schwachstellen waren dem PHP-Team vertraulich gemeldet worden, die Veröffentlichung war für Donnerstag vorgesehen. Am Dienstagabend tauchten jedoch Details und Screenshots eines Exploit-Werkzeugs namens „PHP2Shell" auf der Plattform Hacker News auf; sie verbreiteten sich über soziale Netzwerke, bevor der Beitrag gelöscht wurde 11. Das PHP-Team zog den Termin daraufhin um einen Tag vor 4.
Der Zeitdruck ist keine Formalie. Cloudflare beobachtete nach eigenen Angaben bereits vor der offiziellen Veröffentlichung Angriffsverkehr gegen Kunden-Websites und aktivierte am Mittwochmorgen um 05:02 Uhr verwaltete Firewall-Regeln für alle Tarife 11. Das europäische CERT-EU meldete in seinem Advisory 2026-018 erste Proof-of-Concept-Exploits 11. Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA waren die beiden CVEs am Abend noch nicht gelistet 11.
Einschätzung des BSI
Das BSI stufte die Lage mit Warnstufe 3 von 4 – „Orange" – als außerordentlich hoch ein. Diese Stufe bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, weil eine massive Beeinträchtigung des Regelbetriebs droht 2 3. BSI-Vizepräsident Thomas Caspers sagte: „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren" 1.
Zuverlässige Workarounds sind nach Einschätzung der Behörde nicht bekannt. Für Systeme, die sich nicht sofort aktualisieren lassen, nennt die Warnung dennoch eine Option: „Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspielen des Patches erwogen werden, um eine Kompromittierung zu verhindern" 5. Das BSI weist zudem darauf hin, dass Anwendungen in Docker-Containern eigenständig neu gebaut werden müssen und Geräte mit eingebettetem PHP – etwa Firewalls – Firmware-Updates der Hersteller brauchen 11.
Von Wiesbaden bis Stuttgart: Behörden ziehen den Stecker
Genau diese Option haben am Mittwoch zahlreiche Betreiber gewählt. In Hessen waren das Landesportal hessen.de sowie die Seiten der Ministerien und der nachgeordneten Bereiche im „Hessen-Web" über Stunden nicht erreichbar; die Staatskanzlei sprach von einer rein vorsorglichen Maßnahme 6. Betroffen waren auch die Universitätskliniken Frankfurt und Marburg-Gießen, das Sana-Klinikum Offenbach, das Varisano-Klinikum Frankfurt-Main-Taunus, die Frankfurt University of Applied Sciences sowie die Städte Bad Homburg, Gießen und Langen 6.
In Baden-Württemberg nahm die Landesregierung die Homepages von Ministerien und Regierungspräsidien für mehrere Stunden vom Netz. „Die Maßnahme dient dem vorsorglichen Schutz der Infrastruktur, bis die Entwickler die erforderlichen Sicherheitsupdates bereitstellen", teilte das Staatsministerium mit 5. Offline gingen auch die Universitäten Heidelberg, Tübingen, Ulm, Konstanz und Mannheim, das Karlsruher Institut für Technologie, die DHBW Mosbach, die Hochschule Biberach und die HTWG Konstanz sowie die Unikliniken Heidelberg, Mannheim und Freiburg – letztere inklusive der Patienten-App „Meine Uniklinik" 7. Der Uniklinikverbund Mannheim-Heidelberg betonte, es handle sich nicht um einen Angriff; die Patientenversorgung sei nicht beeinträchtigt 7.
Baden-Württembergs Innenminister Manuel Hagel (CDU) sagte dem SWR, das Land arbeite mit Hochdruck an der Schließung der Lücke. Allein im vergangenen Jahr habe der volkswirtschaftliche Schaden durch Cyberangriffe in Baden-Württemberg 30 Milliarden Euro betragen. „Wir müssen deshalb jederzeit in der Lage sein, exponierte Systeme bei akuten Gefährdungen kurzfristig vom Netz zu nehmen, um Schaden abzuwenden" 5 7. Seiten, die nicht mit PHP laufen – etwa der Landtag –, blieben erreichbar 7.
Weitere Fälle: In Berlin nahm die Charité ihre Website vom Netz, die Freie Universität und die Humboldt-Universität wiesen auf Einschränkungen hin 5. In Brandenburg waren unter anderem die Universität Potsdam und das Ernst-von-Bergmann-Klinikum nicht erreichbar, ebenso der Landkreis Dahme-Spreewald 5. Mainz, Potsdam und Halberstadt schalteten ihre Portale ab, in Hannover die Üstra, in Bayern mehrere Ministerien, die Polizei und das Klinikum Nürnberg 3 5. International waren unter anderem die Niederlande mit dem Nationalen Cyber-Sicherheitszentrum und dem Hafen Rotterdam, Dänemark, Finnland, Japan und die Schweiz betroffen 3 11. Am Abend gingen vielerorts die ersten Seiten wieder online 7.
Wie viele Systeme betroffen sind
Eine belastbare Zahl der betroffenen Systeme gibt es nicht. Wiz Research schätzt, dass PHP auf rund 70 Prozent aller Websites läuft 9; allein mit WordPress werden weltweit 400 bis 500 Millionen Seiten betrieben 3. Das BSI spricht von „Webanwendungen weltweit", ohne eine Größenordnung zu nennen 2. Der Grund für die Unschärfe liegt in der Art der Verbreitung: PHP steckt in Shared-Hosting-Paketen, Containern, Control-Panels wie Plesk und cPanel und in Geräten, die damit nicht werben. Wer wissen will, ob seine Seite betroffen ist, muss beim Hoster nachfragen – oder selbst nachsehen.
Was Administratoren jetzt tun sollten
Für Administratoren gilt eine klare Reihenfolge. Zuerst den Patch einspielen – über die Paketquellen der Distribution oder direkt von php.net –, danach alle PHP-Worker und den Webserver neu starten. Ohne Neustart läuft der alte, verwundbare Code im Speicher weiter 11. Die installierte Version lässt sich verlässlich nur über eine Testdatei im Web-Root prüfen, nicht über php -v auf der Kommandozeile 11.
Der Patchstand ist uneinheitlich. Debian (12 und 13), Ubuntu (14.04 bis 26.10), Alpine, Plesk unter Linux, cPanel und DirectAdmin liefern gepatchte Pakete; Red Hat hat bis zum Abend nur das Modul php:7.4 für RHEL 8 aktualisiert, die SUSE-Pakete waren noch in der Qualitätssicherung 11. Für PHP 8.1 und älter gibt es kein offizielles Release mehr, nur Backports einzelner Distributionen oder ein Upgrade. Solche Systeme sollten isoliert oder vom Netz genommen werden 11.
Wer nicht umgehend patchen kann, findet in den Advisories Übergangsmaßnahmen: Session Upload Progress abschalten, Anfragegrößen begrenzen, notfalls Multipart-Anfragen am Webserver blockieren – was Uploads lahmlegt. Eine Web Application Firewall senkt das Risiko, ersetzt das Update aber nicht 11. Nach dem Update gehört der Blick in die Logs: PHP-Prozesse, die plötzlich Shells, curl, wget oder python starten, sind fast immer ein Angriff. War ein Server längere Zeit ungepatcht erreichbar, raten die Entdecker, Passwörter, Session-Tokens und API-Schlüssel vorsorglich zu wechseln 9 11.
Einordnung
Bemerkenswert ist, wie die Lücke gefunden wurde. Wiz Research setzte nach eigenen Angaben frontier KI-Modelle ein, um die über ein Jahrzehnt alten Fehler zu finden und zu einem funktionierenden Exploit zu verketten. Was früher Monate eines Spezialistenteams erfordert hätte, sei in einer Woche zu schaffen gewesen 9. Das verschiebt die Ökonomie von Angriff und Verteidigung: Komplexität schafft keinen Schutzzaun mehr.
Die Parallelen zu Heartbleed 2014 und Log4Shell 2021 sind bewusst gewählt – der Name PHP2Shell soll hier einen Parallele ziehen. Der Unterschied liegt jedoch in der Reichweite: PHP ist keine Bibliothek, die man mal eben ersetzen kann, sondern eine Sprache, auf der ein großer Teil des Webs gebaut ist. Wie schnell gepatcht wird, entscheidet sich nicht bei den großen Anbietern, sondern bei tausenden Hostern, Agenturen und Verwaltungen mit knapper IT-Besetzung.
Ob die Lücke bereits ausgenutzt wurde, ist offen. Bestätigte Kompromittierungen meldeten die Behörden heute noch nicht; die IHK Frankfurt schrieb am Nachmittag, es gebe keine bestätigten Berichte über erfolgreiche Angriffe 6. Das kann sich mit dem ersten funktionierenden Massenscanner ändern. Die eigentliche Lehre des Tages bleibt aber, dass Landesregierungen und Unikliniken binnen Stunden ihre Webseiten abschalten konnten. Keine Selbstverständlichkeit – es ist das Ergebnis eines Notfallplans, den viele kleinere Betreiber und Unternehmen in der Regel nicht haben.
Ähnliche Artikel
