PHP-Sicherheitslücken: Websites weltweit offline

PHP-Sicherheitslücken: Websites weltweit offline

Was ist passiert

Am Mittwoch (22. Oktober 2026) wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP bekanntgegeben. Diese Schwachstellen ermöglichen Angreifern, ohne Passwort Schadcode auf Webservern auszuführen. Die betroffenen Systeme sind in der Schweiz betroffen.

Wichtigste Details mit Datum

Die ersten Hinweise auf die Schwachstellen erschienen am 20. Oktober 2026. Der offizielle Patch wurde am 21. Oktober 2026 um 16:00 Uhr MESZ veröffentlicht. Die betroffenen Websites waren vor diesem Zeitpunkt bereits vom Netz genommen.

Was ist neu

Die beiden kritischen Lücken tragen die CVE-Nummern CVE-2026-109618 und CVE-2026-109619. Sie werden von Experten als "php2shell" bezeichnet, da sie Schadcode ausführen lassen.

• CVE-2026-109618 (Speicherverwaltung): Wenn ein PHP-Skript an sein Speicherlimit stößt, bricht die Ausführung ab und der Speicher wird aufgeräumt. Ein Angreifer kann diesen Prozess manipulieren, um Schadcode auszuführen.
• CVE-2026-109619 (Fehler-Handling): Daten aus einer alten Anfrage bleiben im Speicher hängen und werden bei der nächsten Anfrage fälschlicherweise als aktuell behandelt. Dies erlaubt das Einschleusen von Schadcode.

Die Schwachstellen betreffen nicht nur aktuelle PHP-Versionen, sondern ziehen sich bis zurück zu PHP 5.4 (2012) zurück. Viele Webserver laufen noch mit älteren Versionen ohne reguläre Sicherheitsupdates.

Warum relevant, für wen

PHP ist das Fundament, auf dem ein großer Teil des Webs gebaut ist. Rund 70 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, nutzen PHP. Content-Management-Systeme wie WordPress, Drupal, Joomla und Magento basieren darauf.

Die Schwachstellen sind besonders relevant für:

• Schüler und Studenten: Die betroffenen Institutionen (Uni Genf, EPFL) warnen vor einem Sicherheitsrisiko.
• Unternehmen: Viele Shops und Onlineshop-Vertriebe nutzen PHP. Ein gehackter Shop verliert Kundendaten, Reputation und Vertrauen.
• Öffentlichkeit: Millionen von Websites sind potenziell betroffen.

Was ist noch unklar

Die genaue Anzahl der weltweit betroffenen Websites ist derzeit nicht vollständig bekannt. Zwar wurden 100'000 Schweizer Websites von Cyon abgeschaltet, aber es liegen keine belastbaren Zahlen zu bestätigten Kompromittierungen vor. Andere Sicherheitsforscher haben in ihren überwachten Netzwerken noch keine Ausnutzung festgestellt.

Wie geht es weiter: Schritte und Termine

Basierend auf den Quellen stehen folgende Schritte zur Verfügung:

• Aktualisierung: Der einzige bekannte vollständige Patch ist PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Diese müssen manuell auf dem Server installiert werden.
• Hoster kontaktieren: Wer nicht selbst für den Server verantwortlich ist, sollte seinen Hoster fragen, ob die Sicherheitsupdates bereits installiert sind.
• Betroffene Systeme prüfen: Shopbetreiter sollten Bestellungen aus der Zeit des Unterbruchs prüfen, da Zahlungsbestätigungen nicht ankamen und Kontaktformulare fielen aus.
• Cloudflare: Das Unternehmen hat bereits Firewall-Regeln ausgerollt, die bekannte Angriffsmuster blockieren. Solche Schutzmassnahmen können das Risiko verringern, ersetzen aber kein Sicherheitsupdate.

Die Quellen erwähnen keine weiteren spezifischen Termine oder Maßnahmen für den 23. Oktober 2026.