Wir möchten noch mal nachträglich das Thema PHP2Shell aufgreifen und unsere Kunden und Gäste informieren. Purwin-IT war und ist über das Thema informiert und hat die Lücke rechtzeitig, zum Zeitpunkt der verfügbaren Updates, auf allen betroffenen Systemen geschlossen.

PHP2Shell

Die aktuelle, kritische Sicherheitslücke in der Programmiersprache PHP wird unter dem Namen „PHP2Shell“ geführt und besteht aus den zwei Schwachstellen CVE-2026-109618 und CVE-2026-109619. Sie ermöglicht unauthentifizierten Angreifern das Ausführen von beliebigem Schadcode aus der Ferne (Remote Code Execution, RCE) direkt auf dem Webserver.

Zeitlicher Ablauf

Der Vorfall eskalierte innerhalb weniger Tage im Oktober 2026 zu einer globalen IT-Krise:

• 17. Oktober 2026: Erste geheime Angriffsversuche im Internet werden im Nachgang von Sicherheitsforschern (u. a. Amazon Threat Intelligence) registriert.
• 20. Oktober 2026: Das PHP-Projekt kündigt für den Folgetag ein koordiniertes Sicherheitsrelease an. Noch am selben Abend lecken die Details und CVE-IDs jedoch vorzeitig im Netz. Betreiber wie Cloudflare aktivieren sofort Schutzregeln, da bereits aktiver Angriffsverkehr gemessen wird.
• 21. Oktober 2026 (15:30/16:00 Uhr MEZ): Aufgrund des Leaks veröffentlicht das PHP-Team die Notfall-Updates einen Tag früher als geplant. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die EU-Behörde CERT-EU geben die Warnstufe Orange bzw. dringende Sicherheitswarnungen heraus.
• 21. bis 22. Oktober 2026: Zahlreiche Universitäten, Kliniken und Stadtverwaltungen nehmen ihre Webseiten vorsorglich komplett vom Netz. Große Webhoster beginnen mit der automatisierten Einspielung der Patches.

Warum ist die Lücke so gefährlich?

Die Schwachstelle wird mit einem extrem hohen CVSS-Wert von 9.2 (kritisch) bewertet und birgt aus drei Gründen eine neue Dimension der Cyberbedrohung:

• Keine Anmeldung erforderlich (Unauthenticated RCE): Angreifer müssen kein Passwort besitzen oder im System eingeloggt sein. Ein einziger präparierter HTTP-Request an die Webseite genügt, um die Lücke auszunutzen und den Server komplett zu übernehmen.
• Unabhängig von CMS-Sicherheit: Da der Fehler im Kern von PHP selbst liegt, nützt eine sichere Programmierung von WordPress, Joomla oder Typo3 nichts. Der Schadcode greift, noch bevor die eigentliche Webanwendung überhaupt ausgeführt wird. Zudem ist potenziell jede PHP-Version der letzten 10 Jahre (ab Version 5.4 aufwärts) betroffen.
• KI-gestützte Ausnutzung: Der über ein Jahrzehnt alte Fehler im PHP-Speicher-Management (OOM-Bedingungen und veraltete Request-Zustände) wurde unter Zuhilfenahme moderner KI-Modelle (OpenAI war an der Entdeckung beteiligt) aufgedeckt. Dadurch sank die Entwicklungszeit für einen funktionierenden Exploit von Monaten auf wenige Tage, was Angreifern eine extrem schnelle "Time-to-Exploit" bescherte.

Verfügbare Updates

Hinweis für ältere Versionen: Für die bereits aus dem Support gefallenen Versionen (PHP 8.1, 8.0 und 7.4) stellt das PHP-Team ausnahmsweise minimale Quellcode-Backports zur Verfügung. Purwin-IT hat diese verwendet, um auch diese Versionen rechtzeitig zu patchen und abzusichern.
 
Sie haben Fragen, dann sprechen Sie uns gerne an.