Gravierende Sicherheitslücke bedroht Millionen Webseiten

Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Auf PHP setzen aber auch andere populäre Content-Management-Systeme auf wie Moodle, Joomla!, Typo3 und Drupal.

In Europa waren am Mittwoch unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Belgien betroffen. Der US-Geheimdienst National Security Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn hatten dringend zu diesem Schritt geraten.

Die Sicherheitslücke könne es Hackern ermöglichen, sich "direkten Zugriff" auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA. "Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen", erklärte das BSI.

Warnung bereits am Dienstag

Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam schlug auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm und hat eine offizielle Cybersicherheitswarnung herausgegeben. In Österreich verbreitete unter anderem das nationale Computer Emergency Response Team CERT.at die Warnung und verwies auf die Updates zur Abhilfe gegen das Problem.

Das neue, in diesem Monat in Betrieb gegangene Bundesamt für Cybersicherheit habe bereits am Dienstag in Abstimmung mit CERT.at als Partner eine Information herausgegeben, dass ein "kritisches PHP-Sicherheitsupdate" bevorsteht, hieß es am Mittwochabend auf APA-Anfrage aus dem Innenministerium. Dieses Update wurde am Mittwoch veröffentlicht und nochmals ein Hinweis darauf via CERT.at an Seitenbetreiber verschickt. Generell sei empfohlen, "sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden", heißt es bei CERT.at als zusätzlichen Rat.

Lage kritisch eingestuft

In seiner veröffentlichten Warnung ordnete das deutsche BSI das Risiko mit der Warnstufe "3/Orange" als außerordentlich hoch ein. Dies bedeutet, dass unverzüglich Gegenmaßnahmen ergriffen werden müssen, da eine massive Beeinträchtigung des Regelbetriebs droht. Das BSI wies in seiner Mitteilung explizit darauf hin, dass von den Schwachstellen ein herausragendes Bedrohungspotenzial ausgeht.

Das Amt machte deutlich, wie ernst die Lage ist, falls nicht umgehend Sicherheitsupdates installiert werden können: "Alternativ kann eine vorübergehende Trennung des Webservers vom Internet bis zum Einspringen des Patches erwogen werden, um eine Kompromittierung zu verhindern, sollten Patches nicht kurzfristig installiert werden können."

Fehler ermöglicht vollständige Serverübernahme

Dass Betreibern von Internetangeboten explizit geraten wird, ihre Server im Zweifel komplett vom Netz zu nehmen, unterstreicht die Dringlichkeit der Lage. Unter dem Namen "PHP2Shell" warnen Sicherheitsexperten vor gleich zwei kritischen Schwachstellen im Kern der Software, die unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 registriert wurden.

Das Gefahrenpotenzial dieser Lücken ist immens: Kriminelle Akteure können die Schwachstelle ausnutzen, um ohne vorherige Anmeldung aus der Ferne einen eigenen Schadcode auf den betroffenen Servern auszuführen (Remote Code Execution). In der Praxis ermöglicht dies Angreifern, die vollständige Kontrolle über eine Website zu übernehmen, sensible Datenbanken und Kundendaten abzugreifen oder die Infrastruktur für weitere Cyberattacken zu missbrauchen.

Da detaillierte Informationen zur Schwachstelle unbeabsichtigt vorab an die Öffentlichkeit gelangten, steht die gesamte globale IT-Branche unter erheblichem Zeitdruck. Branchenexperten befürchten, dass Kriminelle bereits in Kürze automatisierte Skripte einsetzen werden, um ungeschützte Server im Internet im Sekundentakt aufzuspüren und zu kapern.

Höchste Alarmbereitschaft für Seitenbetreiber

Für Betreiber von Webseiten, Onlineshops und digitalen Unternehmensplattformen, die technisch auf PHP aufsetzen, gilt derzeit höchste Dringlichkeit, die eine sofortige Reaktion erfordert. IT-Experten raten dringend dazu, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen.

Verfügbare Patches und Sicherheitsupdates für die PHP-Umgebung sowie für genutzte Content-Management-Systeme müssen ohne jeden Verzug eingespielt werden. Ältere PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, stellen ein unkalkulierbares Risiko dar und sollten isoliert oder umgehend aktualisiert werden.

Sicherheitsupdate veröffentlicht

Die Entwickler des PHP-Projektes haben am Mittwochnachmittag aktualisierte Versionen der Webskriptsprache veröffentlicht, in denen die Sicherheitslücken geschlossen wurden. Der Expertendienst Heise Security warnte die Website-Betreiber, dass funktionierende Exploits in Stunden-, spätestens Tagesfrist erscheinen würden. Wer das Risiko einer Kompromittierung nicht eingehen wolle, habe nur eine Option, nämlich die mit PHP betriebenen Web-Server vom Netz zu trennen, solange das Update nicht installiert wurde.

Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC zwar kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund.

Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten. Die Entwickler der Programmiersprache sowie Hosting-Anbieter weltweit arbeiten rund um die Uhr daran, die Lücken zu schließen.

"Gravierendstes Sicherheitsproblem in Programmiersprache seit mehr als einem Jahrzehnt"

Der für die PHP-Stiftung tätige Softwareentwickler Volker Dusch sagte dem "Wall Street Journal", es handle sich um das gravierendste Sicherheitsproblem in der Programmiersprache seit mehr als einem Jahrzehnt. OpenAI sprach ebenfalls "von einer der folgenschwersten Sicherheitslücken der jüngeren Vergangenheit". Zugleich zeige sich, dass KI inzwischen in der Lage sei, weltweit relevante Schwachstellen aufzudecken.

Der KI-Experte Ethan Mollick von der US-Elitehochschule University of Pennsylvania warnte zugleich, dass Unternehmen Mühe hätten, mit dem Tempo der Updates Schritt zu halten, die zum Schutz vor KI-gestützten Cyberangriffen erforderlich seien. Auch Verbraucher würden nun die Erfahrung machen, "dass alles häufig und schnell aktualisiert wird", schrieb er auf X.

Fehler mit Hilfe von KI entdeckt

Die Schwachstelle in PHP wurde mithilfe künstlicher Intelligenz entdeckt, wie zwei Cybersicherheitsunternehmen in unabhängigen Berichten mitteilten. Calif erklärte in einem Blogbeitrag, man habe die Schwachstellen am 1. August mit Hilfe eines großen Sprachmodells entdeckt und arbeite seitdem an einer Lösung. Das zu Alphabet gehörende Cybersicherheitsunternehmen Wiz erklärte in einem Blogbeitrag, dass auch es die Schwachstellen mit Hilfe von "Wiz Atlas", seinem autonomen KI-Tool zur Schwachstellenforschung, sowie Googles "Gemini 4 Argon" und OpenAIs "GPT-5.6 Sol" entdeckt habe.

Die Schwachstellen blieben mehr als ein Jahrzehnt lang im PHP-Quellcode verborgen und wären für einen menschlichen Hacker außerordentlich kompliziert auszunutzen gewesen, hieß es in dem Beitrag von Wiz. "Vor dem Zeitalter der KI wäre diese manuelle Arbeit schwer umzusetzen und noch schwerer zu skalieren", hieß es. "Mit KI ist dies kein Hindernis mehr." Calif und Wiz gaben an, sich bei der Entdeckung untereinander sowie mit dem PHP-Team und OpenAI abgestimmt zu haben.

Amazon meldet Angriffsversuche

In einem Blogbeitrag am späten Mittwoch erklärte CJ Moses, Sicherheitschef bei Amazon, das Sicherheitsteam des Technologieriesen habe am 17. Oktober - vier Tage vor der öffentlichen Bekanntgabe - einen Versuch entdeckt, die Schwachstellen gegen eines seiner "Honeypot"-Systeme auszunutzen. Der Angriff auf das System stammte von einer anonymen Internetadresse, was darauf hindeute, dass die Aktivität von einem Angreifer durchgeführt wurde, so Moses. Er fügte hinzu, es sei unklar, wie der Angreifer von den Schwachstellen erfahren habe, während diese noch unter einer Veröffentlichungssperre standen.

Am Mittwoch folgten weitere Versuche durch mehrere Akteure, bevor die Sperrfrist endete. Amazon erklärte, es sei noch unklar, ob einer der Versuche bei echten Websites funktioniert hätte, und fügte hinzu, dass die Schwachstellen "mittlerweile in großem Umfang in freier Wildbahn ausgenutzt werden".