// HEISE ONLINE — CYBERSECURITY
PHP2Shell: Die Schonfrist ist vorbei
Die PHP-Lücke hat am 21. Oktober etliche Websites vom Netz gezwungen. Wir brauchen eine andere Kultur im Umgang mit solchen Lücken, findet Tobias Glemser.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Sogar die Tagesschau und die Zeitungen berichten: Zwei kritische PHP-Schwachstellen haben große Teile des Internets zeitweise lahmgelegt. Die Sicherheitsforschung wurde dabei erheblich durch künstliche Intelligenz unterstützt. Das eigentlich Interessante ist aber nicht die Schwachstelle selbst. Vielmehr zeigt der Fall, wie wenig Zeit künftig zwischen der Veröffentlichung eines Sicherheitsupdates und dessen Ausnutzung bleiben dürfte. Für schlecht gewartete Software wird das zunehmend zum Problem.
Tobias Glemser ist BSI-zertifizierter Penetrationstester und Geschäftsführer der secuvera GmbH. Seit über 20 Jahren arbeitet er in der Cybersicherheit. Privat ist er unter anderem bei OWASP engagiert.
Am 21. Oktober waren zahlreiche Webseiten und Onlinedienste in Deutschland nicht erreichbar. Behörden, Hochschulen, Krankenhäuser und Unternehmen nahmen ihre Systeme vorsorglich vom Netz. Auch das Portal des Bundesamtes für Sicherheit in der Informationstechnik (BSI) war zeitweise betroffen. Ursache waren zwei kritische Schwachstellen in PHP, einer der weltweit meistverwendeten Programmiersprachen für Webanwendungen.
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Voraussetzungen die Ausführung beliebigen Programmcodes auf betroffenen Servern, ohne dass sich ein Angreifer zuvor authentifizieren muss. Die Auswirkungen können entsprechend gravierend sein.
Trotzdem sind solche Schwachstellen zunächst nichts grundsätzlich Neues. Fehler bei der Speicherverwaltung, Use-after-free-Schwachstellen und Remote Code Execution kennen wir seit Jahrzehnten. Auch kritische Schwachstellen in weit verbreiteter Software sind kein neues Phänomen.
Warum also diese Aufregung? Und warum mussten so viele Betreiber ihre Systeme abschalten?
Die Antwort liegt weniger in den beiden Schwachstellen selbst als in der veränderten Geschwindigkeit, mit der Schwachstellen heute analysiert und ausgenutzt werden können.
Die Vorgeschichte beginnt bereits 2024. Nach einem externen Sicherheitsaudit entdeckte ein PHP-Entwickler Hinweise auf einen Fehler im Speichermanagement. Über eine mögliche Ausnutzung wurde schon damals nachgedacht, nachweisen ließ sie sich zunächst nicht. Wie wäre das wohl im Sommer 2026 gewesen?