BSI warnt nachdrücklich vor Schwachstellen in PHP

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei kritischen Schwachstellen in PHP, die weltweit betriebene Webanwendungen gefährden.

Die als CVE-2026-109618 und CVE-2026-109619 erfassten Lücken erreichen im CVSS 4.0 jeweils 9,2 von 10 Punkten. Angreifer könnten über die PHP-Schwachstelle aus der Ferne Schadcode auf Webservern ausführen. Das funktioniert nach den bisherigen Erkjenntnissen sogar ohne Anmeldung und ohne Mitwirkung eines Nutzers. Wegen ihrer möglichen Tragweite werden die Schwachstellen in der Berichterstattung auch „PHP2Shell“ genannt. Zum Zeitpunkt der aktualisierten BSI-Warnung waren zwar keine bestätigten Angriffe bekannt, doch lagen bereits unbestätigte Hinweise auf verfügbare Exploits vor.

Wie groß ist die von der PHP-Schwachstelle ausgehende Gefahr?

Nach Angaben des BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Gefährdet sind sämtliche Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Als besonders riskant gilt mod_php. Hier wurde ein Angriff demonstriert, bei dem bereits eine nicht authentifizierte Anfrage ausreicht, bevor Anwendungscode ausgeführt wird. Das vergrößert die Angriffsfläche erheblich.
Die mögliche Wirkung reicht weit über klassische PHP-Webseiten hinaus. PHP bildet die Grundlage zahlreicher verbreiteter Plattformen und Komponenten, darunter WordPress, TYPO3, Joomla, Magento und Nextcloud. Ein erfolgreicher Angriff könnte Webserver kompromittieren, Daten offenlegen oder manipulieren und weitere Schadsoftware nachladen. Das BSI bewertet die Kritikalität mit Stufe 3 („Orange“). Das heißt, Maßnahmen müssen unverzüglich ergriffen werden, weil massive Beeinträchtigungen des Regelbetriebs möglich sind.

Was Betreiber von websites mit PHP jetzt tun müssen

Für die unterstützten PHP-Zweige stehen inzwischen korrigierte Versionen bereit. Dabei handelt es sich um die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten zunächst alle öffentlich erreichbaren und intern genutzten PHP-Systeme vollständig erfassen, die tatsächlich eingesetzte Laufzeitumgebung bestimmen und anschließend unverzüglich auf eine der bereinigten Versionen aktualisieren. Danach ist der Patchstand anhand der offiziellen Hinweise zu verifizieren. Ein bloßes Aktualisieren des Content-Management-Systems oder einzelner Anwendungen genügt nicht, wenn die zugrunde liegende PHP-Laufzeit verwundbar bleibt.
Zusätzlich empfiehlt sich eine verstärkte Überwachung exponierter Server. Verantwortliche sollten Protokolle und Netzwerkverkehr auf ungewöhnliche Anfragen, unerwartete Prozesse, neue Dateien sowie verdächtige ausgehende Verbindungen prüfen. Falls ein Update kurzfristig nicht möglich ist, sind die vom Hersteller genannten Übergangsmaßnahmen umzusetzen. Sie ersetzen den Patch jedoch nicht. Besonders wichtig ist zudem, veraltete PHP-Versionen außer Betrieb zu nehmen. Für nicht mehr unterstützte Zweige stehen möglicherweise keine Sicherheitsupdates bereit. Wegen der öffentlich verfügbaren technischen Informationen und eines Proof of Concept ist schnelles Handeln entscheidend. Unternehmen sollten Aktualisierung und Kontrolle nicht im regulären Wartungsfenster aufschieben, sondern als akute Sicherheitsmaßnahme priorisieren.

Quelle: Bundesamt für Sicherheit in der Informationstechnik

About Author