PHP2Shell: Zwei kritische Lücken gefährden 22,6 Millionen Systeme weltweit

Am 21. Oktober 2026 haben das PHP-Projekt und die Cyber-Abteilung der US-Bundespolizei FBI vor erheblichen Sicherheitslücken in der Programmiersprache PHP gewarnt. Da PHP nach Angaben von W3Techs auf fast 70 Prozent aller Websites weltweit als technologisches Rückgrat fungiert, löste der Alarm bei Behörden und Unternehmen weltweit Hektik aus.

Schwachstellen ermöglichen unbefugte Codeausführung

Unter der Bezeichnung PHP2Shell wurden zwei kritische Sicherheitslücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 bekannt, die jeweils mit einem Schweregrad von 9,2 von 10 eingestuft sind. Sie erlauben eine Codeausführung aus der Ferne ohne vorherige Authentifizierung, noch bevor Anwendungscode greift. Entdeckt worden waren die Lücken bereits im August von den Sicherheitsfirmen Wiz und Calif unter Einsatz von KI-Modellen von OpenAI und Google.

Nach Angaben des Analyseunternehmens Cribl gelangten technische Details am Abend des 20. Oktober vorzeitig in einem Entwicklerforum an die Öffentlichkeit.

Das PHP-Projekt zog daraufhin die Veröffentlichung von Notfall-Patches um einen Tag auf den Nachmittag des 21. Oktober vor und stellte Updates für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit. Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Aktualisierungen mehr.

Am 23. Oktober empfahl das Projekt zudem eine Konfigurationsänderung bezüglich einer Lücke im Session-Upload-Progress. Laut dem Sicherheitsanbieter Sansec reicht der betroffene Code bis zur Version PHP 5.4 aus dem Jahr 2012 zurück; verwundbar sind unter anderem verbreitete Systeme wie WordPress, Magento, Drupal, Joomla, Nextcloud und phpMyAdmin.

Millionen exponierter Systeme und unmittelbare Angriffswellen

Palo Alto Networks identifizierte weltweit über 22,6 Millionen exponierte Instanzen, darunter Umgebungen mit PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed sowie Container- und CI/CD-Pipelines. Jack Hughes von der Forschungseinheit Unit 42 betonte, dass über ein Drittel dieser Systeme auf nicht mehr patchbarer Software laufe und die vollständige Bereinigung Monate beanspruchen werde.

Die Ausnutzung der Lücken setzte umgehend ein. Amazon registrierte nach eigenen Angaben externe Angriffsversuche bereits ab dem 17. Oktober, vier Tage vor der offiziellen Offenlegung.

Angesichts der rasanten Zunahme von Angriffen auf IT-Infrastrukturen rückt die proaktive Absicherung von Unternehmensdaten immer stärker in den Fokus. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Sicherheitslücken effektiv schließen können. IT-Sicherheits-Leitfaden jetzt kostenlos herunterladen

Der CISO von Amazon, CJ Moses, erklärte hierzu, künstliche Intelligenz senke die Kosten für die Erstellung von Exploits drastisch; kritische Lücken in internet-exponierten Systemen müssten künftig stündlich gepatcht werden.

Matthew Prince, Chef des Netzwerkanbieters Cloudflare, berichtete von zehntausenden Angriffsversuchen innerhalb von 45 Minuten nach der Veröffentlichung der Schwachstellen, die später in die Millionen gingen.

Nach Angaben des IT-Sicherheitsunternehmens Check Point sahen sich 8 Prozent der beobachteten Finanzdienstleister und 10 Prozent der Unternehmen branchenübergreifend mit Exploit-Versuchen konfrontiert. Bislang meldete jedoch weder eine US-Bank noch eine Kreditgenossenschaft eine erfolgreiche Kompromittierung, und auch die US-Behörde CISA hatte bis zur Warnung keine Ausnutzung registriert.

Reaktionen im internationalen Finanzsektor

Finanzinstitute und Regulierungsbehörden reagierten mit Sofortmaßnahmen. Die New Yorker Finanzaufsicht NY-DFS wies beaufsichtigte Unternehmen an, die Lücken unverzüglich zu schließen oder Systeme vorübergehend vom Netz zu nehmen. Die MSU Federal Credit Union schaltete ihre Website sowie das digitale Banking ab dem 21. Oktober für rund 24 Stunden vollständig offline, um die Systeme zu patchen.

Wer die Sicherheit der eigenen Unternehmenssysteme verbessern möchte, sollte auch die neuesten gesetzlichen Anforderungen und technologischen Risiken im Blick behalten. Ein aktueller Experten-Report klärt auf, welche rechtlichen Pflichten und Cyberrisiken Unternehmer jetzt kennen müssen, um proaktiv geschützt zu bleiben. Gratis-Report zu Cyber Security Awareness sichern

In Südkorea entdeckte die Aufsichtsbehörde Financial Supervisory Service die Lücke am 21. Oktober und empfahl umgehende Prüfungen. Die Großbank KB Kookmin identifizierte fünf betroffene Dienste, von denen zwei sofort behoben und drei bis zur Bereinigung ausgesetzt wurden, während Woori zwei externe Dienste absicherte. Shinhan, Hana und NongHyup meldeten keine bestätigte Gefährdung.

Moody's Ratings warnte am 23. Oktober davor, dass die wachsende Kluft zwischen der KI-gestützten Entdeckung von Schwachstellen und den internen Reparaturzeiten strukturelle Kreditrisiken für Banken schaffe, insbesondere bei älteren IT-Systemen.

Francisco Donoso, Sicherheits-CTO des Versicherers Beazley, hob hervor, dass KI-gestützte Verfahren eine neue Realität schaffen: Häufig würden Administratoren PHP in Netzwerk-Appliances übersehen, während sie reguläre Webserver absichern.