Das PHP-Entwicklerteam hat am Mittwochnachmittag Notfall-Updates für zwei kritische Sicherheitslücken in der weltweit verbreiteten Skriptsprache veröffentlicht. Die unter dem Namen „PHP2Shell“ zusammengefassten Schwachstellen CVE-2026-109618 und CVE-2026-109619 erlauben die vollständige Fernübernahme eines Webservers, ohne dass sich Angreifer anmelden oder mit Nutzern interagieren müssten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Gefahr am Vormittag auf Warnstufe 3/Orange ein, die zweithöchste Stufe seines Warnsystems.
Beide Lücken sind nach dem CVSS-Standard mit 9,2 von 10 Punkten bewertet und betreffen praktisch jede PHP-Installation, die Webanfragen verarbeitet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Die vier zeitgleich freigegebenen Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen beide Bugs. Für ältere, nicht mehr offiziell unterstützte Zweige bis hinunter zu PHP 7.4 veröffentlichte die PHP Foundation lediglich Quellcode-Patches.
„Diese Sicherheitslücken sind sehr ernst, denn PHP läuft auf einem großen Teil der Webserver weltweit“, sagte Felix Kuhlenkamp, Sicherheitsreferent beim Branchenverband Bitkom, dem Fachportal ingenieur.de. Nach Darstellung des BSI könnten Angreifer über die beiden Lücken komplette Server übernehmen, Datenbanken abziehen oder die Infrastruktur für Folgeangriffe missbrauchen.
Hunderte Millionen Webseiten im Zugriff
Allein das Content-Management-System WordPress treibt nach Branchenschätzungen zwischen 400 und 500 Millionen Webseiten weltweit, wie ZDFheute berichtet. Hinzu kommen weitere PHP-basierte Plattformen wie Drupal, Joomla, Typo3 und Moodle sowie die Shop-Systeme Shopware, Magento und WooCommerce. Da die Fehler in der PHP-Engine selbst liegen, sind auch sauber gepflegte Installationen dieser Produkte betroffen. Das Loch lässt sich nicht durch Updates der Anwendung schließen, nur durch eine aktualisierte PHP-Version darunter.
In Deutschland reagierten Kommunen, Universitäten und Krankenhäuser bereits am Dienstagabend und Mittwochmorgen auf die BSI-Empfehlung. Mehrere Verwaltungen, darunter laut dem Nachrichtenportal Nius auch die Stadt Mainz, nahmen Webdienste vorsorglich vom Netz. Teile der kommunalen Infrastruktur standen damit schon vor Erscheinen der Patches offline.
Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich.
Das PHP-Team hatte den Termin bereits am Montag für Mittwoch, 16 Uhr deutscher Zeit, angekündigt und Admins damit ein knappes Zeitfenster für die Vorbereitung gelassen. Der Sicherheitsanbieter Patchstack meldete nach eigenen Angaben noch am Mittwochmorgen erste automatisierte Scans auf PHP-Systeme. Das BSI empfiehlt in seiner Cyber-Sicherheitswarnung mit der Kennziffer 2026-297981-1032, die Updates sofort einzuspielen oder - falls das nicht möglich ist - betroffene Webserver bis zum Patch vom Netz zu nehmen.
Die Namenswahl „PHP2Shell“ spielt bewusst auf Log4Shell an, die Java-Lücke vom Dezember 2021, die seinerzeit weltweit Behörden und Konzerne in Alarmbereitschaft versetzt hatte. Ob die aktuelle Lücke eine vergleichbare Welle an Zweit- und Drittangriffen auslöst, hängt nun vor allem davon ab, wie schnell die geschätzt mehreren hundert Millionen PHP-Server weltweit gepatcht werden. Bei Log4Shell waren noch Monate nach dem ersten Patch ungepatchte Systeme kompromittiert worden.