PHP-Lücke wird ausgenutzt: Websites ohne Update sind jetzt offen
Die US-Behörde CISA führt die beiden PHP2Shell-Lücken seit dem 26. Oktober als aktiv ausgenutzt; ein Forscher belegt erfolgreiche Angriffe, zudem gibt es eine dritte Lücke ohne Patch.
Ein Sicherheitsforscher von Perplexity hat am 24. Oktober in drei Testsystemen 35 erfolgreiche Angriffe über eine der beiden PHP2Shell-Lücken aufgezeichnet, zwei Tage später nahm die US-Cybersicherheitsbehörde CISA beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Damit ist die Frage, ob Angriffe gelingen, beantwortet: Ungepatchte Server lassen sich übernehmen.
Was passiert ist
PHP läuft auf rund 70 Prozent aller Websites, darunter Onlineshops, Kundenportale und viele Systeme auf Basis von WordPress. Die Updates erschienen am 21. Oktober. Laut Amazon begannen die Angriffsversuche schon vier Tage vorher. Forscher der TU Delft zählten mehr als 50.000 Angriffsanfragen von über 600 Adressen aus 70 Ländern, 171 davon schickten Schadcode mit. Die erfolgreichen Angriffe betrafen PHP 8.4.26 auf einem Apache-Server; der Forscher weist darauf hin, dass seine Testsysteme einfacher konfiguriert waren als viele Produktivserver. Nicht alles hält der Prüfung stand: Sophos stufte frühere Meldungen auf erfolglose Versuche herab, Palo Alto Networks zog die Verbindung zu einem Einbruch bei einer europäischen Behörde zurück. Wie viele Systeme tatsächlich übernommen wurden, hat CISA nicht gesagt. US-Bundesbehörden müssen bis zum 29. Oktober patchen. Am 23. Oktober veröffentlichte das PHP-Team zudem Schutzhinweise für eine weitere Lücke, für die es noch kein Update gibt; sie ist nur bei einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode ausnutzbar.
Was daraus folgt
Einordnung: Mit dem Nachweis erfolgreicher Angriffe verschiebt sich das Risiko von der Theorie in den Betrieb. Wer bis jetzt nicht aktualisiert hat, muss davon ausgehen, dass Angreifer seinen Server bereits geprüft haben. Für Onlinebanking selbst ist das Risiko begrenzt, weil große Banken ihre Kernsysteme meist nicht auf frei zugänglichen PHP-Servern betreiben. Gefährdet sind eher die Ränder: Shops, Zahlungsseiten kleiner Händler, Agenturen, Kommunen und Dienstleister, über die Kundendaten oder manipulierte Zahlungsformulare abfließen können. Für Unternehmen wird damit die Frage nach Wartungsverträgen konkret: Wer seine Website von einer Agentur betreuen lässt, sollte wissen, wann diese aktualisiert hat. Dass Sicherheitsfirmen Meldungen zurückziehen mussten, zeigt zugleich, wie wenig über das tatsächliche Ausmaß bekannt ist.
Was sich konkret ändert
- Website-Betreiber
- PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren; Systeme ohne Updates laut Fachleuten vom Netz nehmen und auf Spuren eines Einbruchs prüfen.
- Unternehmen mit Agentur
- Beim Dienstleister nachfragen, ob und wann die Updates eingespielt wurden; das Risiko trägt der Betreiber der Website.
- Nutzer
- Bei Bezahlseiten kleinerer Shops auf ungewohnte Formulare achten; Kartendaten möglichst über bekannte Zahlungsdienste eingeben.
Worauf zu achten ist
- Meldungen über bestätigte Einbrüche bei Unternehmen oder Behörden im DACH-Raum
- Update für die dritte, noch offene PHP-Lücke
- Neue Warnungen des BSI zum Patch-Stand deutscher Server
Quellen
- The Register: CISA confirms PHP2Shell under attack as researchers clock successful exploits (27.10.2026)
- BleepingComputer: CISA confirms PHP2Shell vulnerabilities now exploited in attacks (27.10.2026)
- CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog
- Federal News Network: CISA gives agencies days to patch critical PHP bugs