Zwei Tage nach den Notfall-Patches für die kritischen PHP-Sicherheitslücken PHP2Shell hat das Sicherheitsunternehmen OX Security eine ernüchternde Zwischenbilanz gezogen. Von 1.974.890 über die Suchmaschine Shodan erfassbaren PHP-Instanzen in der betroffenen Versionsreihe hatten 24 Stunden nach dem Update am Mittwoch nur 14.151 die abgesicherten Versionen eingespielt. Das entspricht einer Patch-Quote von 0,7 Prozent.
Wie wir am Mittwochabend berichteten, hatte das PHP-Team gegen 16 Uhr deutscher Zeit außerplanmäßige Updates für die Lücken CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Beide ermöglichen unauthentifizierte Fernübernahme von Webservern und sind nach CVSS 4.0 jeweils mit 9,2 von 10 Punkten bewertet. Das Bundesamt für Sicherheit in der Informationstechnik stufte die Lage auf Warnstufe Orange.
Die von Moshe Siman Tov Bustan verantwortete OX-Analyse differenziert nach Plattform: Von 33.075 betroffenen WordPress-Installationen hatten 299 den Patch, bei 28.285 phpMyAdmin-Setups waren es 157. Bei Magento- und cPanel-Instanzen lag die Quote jeweils bei null. Der Report stützt sich auf einen fortlaufenden Shodan-Index von zuletzt 2,22 Millionen öffentlich sichtbaren PHP-Diensten.
Deutsche Hoster patchten binnen eines Tages
Deutlich besser steht die Lage bei den großen deutschen Webhostern. Hetzner spielte PHP 7.4 sowie die Versionen 8.0 bis 8.5 bereits am Mittwochabend ein, PHP 5.6 und 7.3 folgten am Donnerstagmorgen, wie das Fachportal severint.net dokumentierte. IONOS meldete bis Donnerstag um 10:02 Uhr UTC den Abschluss des Rollouts auf allen eigenbetriebenen Plattformen, STRATO hatte bereits am Mittwoch temporäre Firewall-Regeln als Übergangsschutz aktiviert und das offizielle Update anschließend nachgezogen.
Netcup nahm sein Webhosting zunächst vorsorglich komplett vom Netz und schaltete die Plattform erst gegen 22:51 Uhr am Mittwoch nach Einspielen des Patches wieder frei. Mittwald, All-Inkl und Domainfactory bestätigten bis zum Donnerstagabend den vollständigen Abschluss, Hostinger meldete die Fertigstellung für seine Managed-Pakete bis zum Donnerstagmorgen. „Every Hostinger hosting plan except VPS is already fully protected by the changes we made on October 21“, teilte der Anbieter in einem Statusbeitrag mit. Für VPS- und Self-Managed-Kunden bleibt die Pflicht zum eigenen Patch bestehen.
Of 1,974,890 measurable instances running versions in the affected range after 24 hours, just 14,151 were showing one of the newly patched PHP versions.
Massenangriff blieb vorerst aus
Trotz der Dringlichkeit zeichnet sich kein großflächiger Erfolg der Angreifer ab. Das niederländische Sicherheitsunternehmen Sansec revidierte seine Einschätzung am Donnerstag und stufte das Risiko einer Massenausnutzung niedriger ein als zunächst angenommen. Die im Umlauf befindlichen Public Exploits funktionierten nicht gegen eine Standard-PHP-Installation, sondern setzten eine zusätzliche lokale File-Inclusion-Schwachstelle in der Zielanwendung voraus. Breite Angriffswellen seien damit „less likely than we first expected“, so die Analyse der Sansec-Forscher.
Dass die Lücken bereits vor der offiziellen Veröffentlichung bekannt waren, bestätigte Amazon Threat Intelligence: Der Cloud-Anbieter beobachtete einen ersten Angriffsversuch bereits am 17. Oktober, vier Tage vor dem Patch. Cloudflare dokumentierte weitere Attacken ab 07:43 Uhr UTC am Mittwochmorgen, mehrere Stunden vor der 14-Uhr-UTC-Freigabe durch die PHP Group. In den Niederlanden gingen daraufhin das Tech-Portal Tweakers, die Zweite Kammer des Parlaments, das nationale Cybersecurity-Zentrum NCSC sowie das Fachmedium Security.NL vorsorglich offline.
Für Betreiber alter, offiziell nicht mehr unterstützter PHP-Versionen veröffentlichte der belgische Hoster Hosted Power unter dem Namen php_uploadprogress_guard eine freie Erweiterung auf GitHub, die den offiziellen Fix für die Versionen 5.6 bis 8.5 nachbildet. Shodan erfasste zum Zeitpunkt der Veröffentlichung weltweit rund 95.000 Nextcloud- und 76.000 pfSense-Oberflächen in offenen Netzen, dazu etwa 65.000 phpMyAdmin- und 62.000 XAMPP-Instanzen. CERT-EU hielt die Empfehlung aufrecht, betroffene Anwendungen notfalls vom Netz zu nehmen, bis ein Patch eingespielt sei.