// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Kritische PHP-Lücke bedroht viele Webseiten
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP veröffentlich. Die unter dem Namen “PHP2Shell” zusammengefassten Schwachstellen ermöglichen unauthentifizierten Angreifern das Ausführen von beliebigem Schadcode auf Servern. Aktuellen Informationen zufolge sind alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar.
Gefährdet sind laut php.net alle PHP-Installationen, die Webanfragen bearbeiten, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das Projekt bei mod_php, da eine nachgewiesene Sicherheitslücke besteht, bei der eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor Anwendungscode ausgeführt wird.
Im Wesentlichen beruht die Lücke auf einem Speicherfehler beim Upload-Handling. Er verrät vertrauliche Daten und erlaubt fremde Codeausführung. Provoziert ein Angreifer beim Upload von Dateien gezielt einen Fehler, “vergisst” PHP, seinen Arbeitsspeicher ordentlich aufzuräumen. Zuerst werden dadurch sensible Speicherreste in einem Cookie an den Angreifer verraten. Danach lässt sich der betreffende Speicherbereich so überschreiben, dass der Server fremde Befehle unkontrolliert als eigenen Programmcode ausführt.
Laut BSI sind zum aktuellen Zeitpunkt zwar noch keine bestätigten Ausnutzungen der Schwachstellen bekannt, jedoch gibt es bereits unbestätigte Berichte über existierende Exploits. Zudem ist es sehr wahrscheinlich, dass in Stunden, maximal aber Tagen automatisierte Bots auf die Suche nach anfälligen Webservern gehen und diese infiltrieren.
Auf ihrer Projektseite stellt PHP inzwischen Updates bereit, die die Fehler beheben. Es wird dringend angeraten, diese schnellstmöglich einzuspielen.
Weiterführende Links:
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html
https://cert.europa.eu/publications/security-advisories/2026-018
Laut einer Umfrage von Washington Post, ABC News und Ipsos lehnt eine deutliche Mehrheit der Amerikaner den Bau neuer Rechenzentren in den Vereinigten Staaten ab, glaubt, dass künstliche Intelligenz viele Arbeitsplätze vernichten wird, und kritisiert den Umgang von Präsident Donald Trump mit...
Der „leichtgewichtige VM-Manager“ von Canonical fährt mit einem knackigen Befehl ein komplettes Ubuntu hoch. Die neue Version kann das endlich auch mit Debian und Fedora. Obendrauf gibt es Availability Zones und einen neuen HCS-Treiber für Windows.
Grundlage der neuen Chips ist Googles Neural Processing Unit (NPU) Coral, deren Accelerator-Design im vergangenen Jahr unter Apache-2.0-Lizenz veröffentlicht wurde, was es anderen Firmen gestattet, die Technologie kostenfrei in ihre Prozessoren zu integrieren. Im aktuellen Fall ist es der...
Kinder-Smartwatches versprechen Eltern Sicherheit und ermöglichen Kindern erste Schritte in die digitale Welt. Gleichzeitig verarbeiten die vernetzten Uhren teils hochsensible Daten und können so selbst zum Sicherheitsrisiko werden, teilte das Bundesamt für Sicherheit in der Informationstechnik...