// LINUXNEWS.DE — LINUX & OPEN SOURCE
PHP2Shell: Kritische Sicherheitslücken in PHP geschlossen
Die PHP-Entwickler haben am heutigen 21. Oktober außerplanmäßige Sicherheitsupdates veröffentlicht, die zwei kritische Schwachstellen in der weitverbreiteten Skriptsprache schließen. Die unter dem Namen PHP2Shell zusammengefassten Sicherheitslücken ermöglichen es Angreifern unter bestimmten Voraussetzungen, ohne vorherige Anmeldung Schadcode auf einem Webserver auszuführen. Beide Schwachstellen erreichen auf der CVSS-Skala einen sehr hohen Schweregrad von 9,2 von maximal 10 Punkten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte bereits im Vorfeld vor möglichen großflächigen Angriffen gewarnt.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen nicht einzelne Webanwendungen, sondern den PHP-Interpreter selbst. Damit sind grundsätzlich alle ungepatchten PHP-Installationen gefährdet, die Webanfragen verarbeiten. Das gilt unabhängig davon, ob die Webseiten mit WordPress, Drupal, Joomla oder einer selbst entwickelten Anwendung betrieben werden. Auch Onlineshops und andere PHP-basierte Webdienste können betroffen sein. Nach Angaben der Sicherheitsforscher von Wiz, die die Lücken bereits Mitte August entdeckt hatten, reichen die zugrunde liegenden Fehler bis zu PHP 5.4 zurück.
Besonders hoch schätzen die Entwickler das Risiko für Server ein, die PHP als Apache-Modul mod_php ausführen. Hier wurde bereits nachgewiesen, dass ein einzelner präparierter HTTP-Aufruf ausreichen kann, um einen Angriff auszulösen. Aber auch Installationen mit PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed gelten als gefährdet. Neben der Ausführung von Schadcode ist unter bestimmten Umständen auch das Auslesen sensibler Daten aus dem Arbeitsspeicher möglich. Dazu gehören beispielsweise Passwörter und Zugangsschlüssel.
Mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stehen mittlerweile korrigierte Versionen bereit. Die PHP-Entwickler empfehlen ausdrücklich, diese unverzüglich einzuspielen. Ältere PHP-Versionen bis einschließlich 8.1 erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Allerdings können Linux-Distributionen und Anbieter mit Langzeitunterstützung die Korrekturen auf ältere Paketversionen zurückportieren.
Handlungsbedarf besteht insbesondere für Betreiber eigener Webserver und selbst gehosteter Dienste. Wer WordPress oder eine andere PHP-Anwendung bei einem Webhoster betreibt, sollte überprüfen, ob der Anbieter die PHP-Laufzeit bereits aktualisiert hat. Ein Update der Webanwendung allein beseitigt die Schwachstellen nicht. Wer die PHP-Version über die Paketverwaltung seiner Linux-Distribution bezieht, sollte die entsprechenden Sicherheitsupdates des Distributors installieren. Für gewöhnliche Webseitenbesucher besteht dagegen kein unmittelbarer Aktualisierungsbedarf auf dem eigenen Rechner.
Wie ernst die Sicherheitsbehörden die Situation nehmen, zeigte sich bereits vor der Veröffentlichung der Updates. Verschiedene Behörden, Universitäten und andere Einrichtungen nahmen ihre Webseiten vorsorglich vom Netz. Auch das britische National Cyber Security Centre empfiehlt Betreibern, gefährdete Systeme gegebenenfalls vorübergehend abzuschalten, falls eine kurzfristige Aktualisierung nicht möglich ist. Nach Angaben des PHP-Projekts gibt es keine vollständige alternative Schutzmaßnahme, die das Einspielen der Sicherheitsupdates ersetzen könnte.
Bemerkenswert ist zudem die Rolle künstlicher Intelligenz bei der Entdeckung der Schwachstellen. Neben den Sicherheitsforschern von Wiz waren auch Mitarbeiter von OpenAI beteiligt. Dabei kamen leistungsfähige KI-Modelle zum Einsatz, die halfen, seit vielen Jahren vorhandene Fehler aufzuspüren und deren Ausnutzbarkeit nachzuweisen.
Und schon wieder brennt ein dreiviertel des Internets… 🙂