Kritische Sicherheitslücken in PHP: Behörden mahnen zur sofortigen Aktualisierung

Das nationale Computer-Notfallteam der Philippinen (CERT-PH) hat Regierungsbehörden, Betreiber kritischer Infrastrukturen und Hosting-Anbieter dazu aufgerufen, zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP umgehend zu schließen. Die Schwachstellen, die unter dem Namen „PHP2Shell“ bekannt sind, ermöglichen es Hackern, Webserver ohne Passwortkontrolle zu übernehmen und Schadcode auszuführen.

Die beiden als CVE-2026-109618 und CVE-2026-109619 identifizierten Lücken weisen nach dem Common Vulnerability Scoring System (CVSS) in der Version 4.0 einen kritischen Wert von 9,2 auf. Laut CERT-PH besteht ein erhebliches Risiko für Regierungswebseiten, öffentliche Online-Dienste sowie Systeme des Privatsektors, einschließlich solcher, die über externe Hosting-Anbieter verwaltet werden. Zwar konnte das Team bisher keine bestätigten Angriffe auf philippinische Organisationen durch PHP2Shell feststellen, doch warnt die Behörde aufgrund öffentlich verfügbarer Forschungsergebnisse und Berichten über Angriffsversuche vor einer unmittelbaren Gefahr. Die Verfügbarkeit von öffentlich zugänglichen Proof-of-Concept-Materialien (PoC) senke die Hürde für potenzielle Angriffe erheblich, weshalb Organisationen davon ausgehen sollten, dass verwundbare, im Internet erreichbare Systeme entdeckt und gezielt angegriffen werden könnten.

Die technische Ursache der Schwachstellen liegt in der Speicherverwaltung von PHP. Die erste Lücke (CVE-2026-109618) tritt auf, wenn ein Server an Speicherplatzmangel leidet und unvollständige Daten verarbeitet werden. In solchen Fällen hinterlässt PHP bei bestimmten Operationen unvollständig aufgesetzte Anfragedaten, deren anschließende Bereinigung den Weg für die Ausführung von Schadcode ebnet. Die zweite Lücke (CVE-2026-109619) nutzt einen sogenannten „Use-after-free“-Fehler aus, bei dem PHP veraltete Daten aus früheren Besucheranfragen im Speicher behält, nachdem dieser bereits freigegeben wurde. Ein späterer Zugriff auf diese veralteten Referenzen kann laut Forschern ebenfalls zur Ausführung von Remote-Code und zum Abfluss sensibler Daten führen. Erfolgreiche Angriffe könnten es unbefugten Tätern ermöglichen, sensible Informationen wie Passwörter, Authentifizierungs-Token, API-Schlüssel oder Zertifikate zu stehlen, Webseiteninhalte zu manipulieren, Dienste gezielt zu stören oder den gehackten Server für weitere Angriffe zu missbrauchen. Da populäre Plattformen wie WordPress, Drupal und Joomla auf PHP basieren, sind weite Teile des Internets betroffen.

Die Entwickler von PHP haben bereits am 21. Oktober 2026 Notfall-Updates veröffentlicht, nachdem die Schwachstellen vor ihrer geplanten koordinierten Veröffentlichung bekannt wurden. Betroffene Administratoren sollten sicherstellen, dass sie die korrigierten Versionen PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 verwenden. Das CERT-PH betont ausdrücklich, dass das bloße Aktualisieren eines Content-Management-Systems (CMS) nicht ausreicht, da die Schwachstellen direkt die PHP-Laufzeitumgebung betreffen. Eine Aktualisierung eines CMS oder einer Webanwendung ohne die zugrunde liegende PHP-Installation behebt das Problem nicht. Besonders gefährdet seien Server, die Apache mod_php nutzen, da ein nachgewiesener Exploit hier bereits ausgelöst werden kann, bevor der eigentliche Code der Webseite ausgeführt wird. Sicherheitsforscher von Wiz konnten die Ausführung von Remote-Code bereits bei WordPress-, Drupal- und Joomla-Seiten demonstrieren, während Cloudflare über frühe Versuche berichtet hat, die Schwachstellen im Zeitraum der Bekanntgabe auszunutzen.

Für Organisationen, die noch ältere, nicht mehr unterstützte Versionen wie PHP 8.1 oder niedriger verwenden, wird dringend ein Upgrade auf aktuelle Versionen empfohlen. Bis eine Lösung implementiert ist, sollten der öffentliche Zugriff auf diese Systeme eingeschränkt werden. Das CERT-PH wies Regierungsstellen zudem an, auch verwaltetes Hosting, ausgelagerte Webentwicklung, Shared Hosting und kommerzielle Software, die PHP enthält, in ihre Sicherheitsbewertungen einzubeziehen. Das Team rät zudem dazu, Systeme auf verdächtige Webanfragen, ungewöhnliche Datei-Uploads, wiederholte Serverfehler, unerwartete Neustarts, unbefugte Dateien oder unerklärliche ausgehende Verbindungen zu überwachen. Temporäre Konfigurationsänderungen zur Risikominderung seien jedoch kein Ersatz für das Einspielen der Patches. Im Falle eines Verdachts auf eine Kompromittierung sollten betroffene Systeme isoliert, forensische Beweise gesichert, Incident-Response-Verfahren eingeleitet und alle potenziell exponierten Zugangsdaten wie Passwörter, Token, Schlüssel und Zertifikate umgehend ersetzt werden.