Sicherheitslücken bedrohen Websites

„PHP2Shell“

Zwei am Mittwoch einer großen Öffentlichkeit bekanntgewordene schwere Sicherheitslücken mit großem Schadpotenzial haben weltweit für Aufregung gesorgt. Zahlreiche Institutionen schalteten vorsorglich ihre Websites ab. Betroffen ist die weit verbreitete Programmiersprache PHP. Die Entwickler kündigten bereits an, dass eine neue Version zur Behebung der Sicherheitslücken verfügbar sei. Sie appellierten an alle Nutzer und Nutzerinnen, das Update sofort durchzuführen.

Online seit heute, 17.30 Uhr

Neben Regierungswebsites in vielen Teilen der Welt waren auch viele Institutionen wie Universitäten nicht über ihre Website erreichbar. Ein großer Teil des gesamten Internets – von einfachen Blogs über große Nachrichtenportale bis zu komplexen Onlineshops und Content-Management-Systeme wie WordPress – basiert auf der verbreiteten Programmiersprache PHP.

Schätzungen von Fachleuten zufolge werden allein mit WordPress weltweit zwischen 400 und 500 Millionen Websites betrieben. Auf PHP setzen aber auch andere populäre Content-Management-Systeme auf, zum Beispiel Moodle, Joomla!, Typo3 und Drupal.

Schwachstelle durch KI entdeckt

Nach Angaben aus dem Weißen Haus wurde die US-Regierung über PHP-Sicherheitslücken bereits vergangenen Freitag informiert. Es würden derzeit Auswirkungen auf Regierungssysteme und kritische Infrastruktur geprüft. Aufgedeckt wurden die Lücken mit Künstlicher Intelligenz (KI) von OpenAI durch Cybersicherheitsforscher der Unternehmen Calif und Wiz entdeckt.

Das Cybersicherheitsunternehmen Wiz bezeichnete sie als die „schwerwiegendsten Sicherheitslücken, die jemals von dieser Technologie entdeckt wurden“. Den Unternehmen zufolge waren die Schwachstellen mehr als ein Jahrzehnt unentdeckt geblieben, berichtete die BBC.

Hohes Bedrohungspotenzial

Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnete das Risiko mit der Warnstufe „3/Orange“ als außerordentlich hoch ein und gab eine offizielle Cybersicherheitswarnung heraus.

Es müssten unverzüglich Gegenmaßnahmen ergriffen werden, da eine starke Beeinträchtigung des Regelbetriebs drohe. Von den Schwachstellen gehe ein hohes Bedrohungspotenzial aus. Sollten nicht umgehend Sicherheitsupdates installiert werden, wurde empfohlen, die Webserver vorübergehend vom Internet zu trennen.

Es ist noch nicht klar, welche Versionen der Programmiersprache betroffen sind, aber das Computer-Notfallteam der EU (CERT-EU) erklärte, dass alle Versionen ab PHP 5 betroffen sein könnten – das 2004 veröffentlicht wurde. Die PHP Foundation hat das Update jedoch nur für die neuesten Versionen veröffentlicht – Nutzer von PHP 8.1 oder älter werden daher aufgefordert, ein Upgrade durchzuführen.

Großer Zeitdruck

Unter dem Namen „PHP2Shell“ warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden. IT-Fachleute befürchteten aufgrund des Bekanntwerdens der Sicherheitslücken, dass Hacker diese ausnutzen und innerhalb kurzer Zeit automatisierte Skripte einsetzen, um ungeschützte Server aufzuspüren. Es bestand daher ein großer Zeitdruck, zu reagieren.

Denn kriminelle Akteure könnten die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen. Dadurch könnte die vollständige Kontrolle über eine Website übernommen, sensible Datenbanken und Kundendaten abgegriffen und die Infrastruktur für weitere Cyberattacken missbraucht werden.

Für normale Internetnutzer und -nutzerinnen besteht beim alltäglichen Surfen auf dem Smartphone und PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein – etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Websites.