Was passiert ist

Am 21. Oktober veröffentlichte das PHP-Sicherheitsteam ein Bulletin zu zwei kritischen Schwachstellen, die eine Remotecodeausführung ohne Authentifizierung ermöglichen können, und rief alle Nutzer auf, sofort zu aktualisieren1. Betroffen sind alle PHP-Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Team bei mod_php: Dort wurde ein Exploit demonstriert, bei dem eine nicht authentifizierte Anfrage den Angriff auslöst, noch bevor Anwendungscode ausgeführt wird1.

Beide Fehler liegen im Interpreter selbst, daher sind Websites auf WordPress, Drupal, Laravel und jeder anderen PHP-Plattform gefährdet. Nach Einschätzung von Wiz laufen rund 70 % der Websites weltweit auf PHP2.

Mechanismus: zwei Fehler in der Speicherverwaltung

  • CVE-2026-109618, „RCE durch OOM-Beschädigung“. Die Behandlung von Speichermangel kann PHP abbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Die anschließende Bereinigung der Anfrage hält die beschädigten Daten für gültig1.
  • CVE-2026-109619, „RCE durch veralteten globalen Zustand“. Interner Anfragezustand überdauert die Freigabe des Speichers, auf den er verweist. Die nächste Anfrage, die im selben Worker landet, kann diesen Zustand vor der regulären Initialisierung verwenden1.

BleepingComputer weist darauf hin, dass beide Fehler eine gemeinsame Ursache haben: PHP kann Speicher beschädigt zurücklassen, wenn eine Anfrage abnormal endet4. Laut The Hacker News existierte der verwundbare Code über zehn Jahre und betrifft Versionen bis zurück zu PHP 5.45.

Die Rolle der KI

Die Schwachstellen fanden Forschende von Calif und Wiz mithilfe von KI-Werkzeugen, die Code schneller analysieren als Menschen und ältere Systeme. Calif-Forscher Ryan Austin nannte den Fund die schwerwiegendste Schwachstelle seiner Laufbahn; OpenAI, dessen Technologie eingesetzt wurde, sprach von einem der bedeutendsten Sicherheitsprobleme der jüngeren Zeit2. Nach Einschätzung von Wiz lag die Ausnutzungskette „an der Grenze dessen, was menschliche Forschende praktisch erreichen können“6. Die Kehrseite: OpenAI räumt ein, dass KI auch Angreifern hilft, Exploits schneller zu entwickeln2.

Leak, Angriffe und Reaktion der Behörden

Details gelangten vor dem geplanten Termin ins Netz, sodass PHP die Veröffentlichung vorziehen musste2. Cloudflare aktivierte etwa neun Stunden vor der Offenlegung schützende WAF-Regeln für alle Tarife, einschließlich des kostenlosen, und beobachtet, wie Angreifer ihre Payloads verändern, um die Regeln zu umgehen3. Cloudflare-Chef Matthew Prince berichtete von Tausenden Ausnutzungsversuchen vor der Ankündigung und Millionen danach; Amazon gab an, Angriffsversuche bereits einige Tage vor der öffentlichen Offenlegung gesehen zu haben2. watchTowr registriert Ausnutzungsversuche, bestätigte erfolgreiche Kompromittierungen gab es zum Zeitpunkt der Berichte jedoch nicht6.

Die US-amerikanische NSA forderte, Systeme abzuschalten, die nicht sofort aktualisiert werden können; das britische NCSC empfahl, Server auf Hintertüren zu prüfen. Vorsorglich nahmen Wikimedia, die finnische Regierung und die niederländische Cybersicherheitsbehörde einen Teil ihrer Systeme vom Netz2.

Was jetzt zu tun ist

  1. Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. PHP 8.1 und älter wird vom Projekt nicht mehr unterstützt; für 7.4, 8.0 und 8.1 wurden minimale Quellcode-Backports bereitgestellt, Distributionen erhielten die Patches vorab1.
  2. Wenn Hoster oder Dienstleister die Website betreuen, fragen Sie nach, ob die PHP-Korrekturen eingespielt sind. Ein Update von WordPress und Plugins löst das Problem nicht23.
  3. Wenn ein sofortiges Update nicht möglich ist, senken die temporären Maßnahmen aus dem Bulletin (memory_limit=-1 ohne Möglichkeit zum Überschreiben, niedriges post_max_size, session.upload_progress.enabled=0 mit Neustart der Worker) das Risiko, machen die Installation aber nicht sicher1. NCSC und NSA raten, die Website vorübergehend abzuschalten2.
  4. Prüfen Sie auf Spuren einer Kompromittierung und deaktivieren Sie die WAF während des Updates nicht23.
  5. Hüten Sie sich vor Phishing, das die aufsehenerregende Nachricht ausnutzen wird: E-Mails wie „Aktualisieren Sie Ihre Website dringend“, „Ihr Hosting wurde gehackt“ sowie Aufforderungen zur Passwortänderung sollten Sie über die offiziellen Kanäle des Dienstes überprüfen2.

Einschränkungen

Die Lage verändert sich: Die Daten zur Ausnutzung beruhen auf der Telemetrie einzelner Unternehmen, bestätigte Einbrüche wurden zum Zeitpunkt der Veröffentlichung nicht gemeldet, und die genaue Zahl verwundbarer Server ist unbekannt – die 70 % beschreiben die Verbreitung von PHP, nicht eine gemessene Verwundbarkeit6.

  1. [1] Security advisory: Critical remote code execution vulnerabilities, update nowPHP Group
  2. [2] What is PHP and why did it spark a global cyber-security scramble?BBC News
  3. [3] Cloudflare deploys protections against php2shell vulnerabilityCloudflare
  4. [4] PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
  5. [5] PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts EmergeThe Hacker News
  6. [6] PHP2Shell Patches Land as First Exploitation Attempts Hit SensorsSecurityWeek