Zwei kritische Sicherheitslücken in PHP, PHP2Shell genannt, ermöglichen es, ohne Passwort die Kontrolle über einen Webserver zu übernehmen. Das PHP-Projekt hat am 21. Oktober 2026 um 16 Uhr (Pariser Zeit) die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, die diese PHP-Lücke schliessen. In der Schweiz empfiehlt das Bundesamt für Cybersicherheit (BACS), diese Updates sofort zu installieren.

PHP ist die Programmiersprache, mit der rund drei von vier Websites laufen, darunter alle WordPress-Websites. Die Lücke betrifft also die Website einer Gemeinde ebenso wie den Onlineshop eines KMU. In Frankreich wurden am selben Tag mehrere öffentliche Websites vorsorglich vom Netz genommen.

Was ermöglicht die Lücke PHP2Shell?

Die beiden Lücken erlauben es einem Angreifer, ohne Zugangsdaten eigene Programme auf dem Server auszuführen. Sie sind unter CVE-2026-109618 und CVE-2026-109619 erfasst und auf der üblichen Schweregradskala mit 9,2 von 10 bewertet. Der Angreifer schickt eine präparierte Anfrage, und der Angriff wird ausgelöst, noch bevor die Website die Anfrage verarbeitet.

Die Sicherheitsmitteilung von php.net beschreibt zwei unterschiedliche Mechanismen:

  • CVE-2026-109618: Wenn der Speicher knapp wird, kann PHP abbrechen, während die internen Daten einer Anfrage erst teilweise bereit sind. Die anschliessende Bereinigung kann diese ungültigen Daten dann als gültig behandeln.
  • CVE-2026-109619: Ein interner Zustand, der zu einer Anfrage gehört, kann nach der Freigabe ihres Speichers fortbestehen. Eine nachfolgende Anfrage, die vom selben Prozess verarbeitet wird, kann diesen veralteten Zustand wiederverwenden.

Betroffen sind alle gängigen Arten, PHP bereitzustellen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt stuft das Risiko mit mod_php als am höchsten ein. Nach eigenen Angaben verfügt es über einen nachgewiesenen Angriff, bei dem eine einzige Anfrage ohne Authentifizierung genügt.

Welches PHP-Update installieren?

Der einzige vollständige Schutz ist das PHP-Update auf die korrigierte Version des jeweiligen Zweigs. Die Tabelle fasst die Lage zusammen, wie sie php.net und Journal du Coin beschreiben.

Installierter ZweigZu installierende VersionBemerkung
PHP 8.58.5.12Unterstützter Zweig
PHP 8.48.4.27Unterstützter Zweig
PHP 8.38.3.36Unterstützter Zweig
PHP 8.28.2.35Ende der Updates am 31. Dezember
PHP 8.1, 8.0 und 7.4Keine neue offizielle VersionMinimale Patches des PHP-Sicherheitsteams, Pakete der Distributoren oder Migration

Die Linux-Distributionen und die Anbieter von Langzeitsupport haben die Patches im Voraus erhalten. Auf einem Linux-Server genügt es daher oft, das vom Distributor aktualisierte Paket zu installieren. Für PHP 8.1 und ältere Versionen veröffentlicht das Projekt keine Updates mehr, hat aber minimale Patches für alle bereitgestellt, die PHP selbst kompilieren.

Wer nicht sofort aktualisieren kann, verfügt über vorübergehende Massnahmen. Das PHP-Projekt hält fest, dass sie die Angriffsfläche für bestimmte Angriffswege verringern, eine Installation aber nicht sicher machen:

  • die Verfolgung des Upload-Fortschritts deaktivieren (session.upload_progress.enabled=0) und danach jeden PHP-Prozess neu starten;
  • die maximale Grösse der gesendeten Daten senken (post_max_size): 8M für eine Website ohne Datei-Uploads, 32M, wenn Uploads nötig sind;
  • das von PHP kontrollierbare Speicherlimit aufheben (memory_limit=-1), und zwar in einer Konfiguration, die die Anwendungen nicht ändern können.

Warum wurden in Frankreich öffentliche Websites abgeschaltet?

In Frankreich ist die Abschaltung ein Vorsichtsentscheid, nicht die Folge eines Eindringens. Das Innenministerium hat auf Ersuchen der nationalen Agentur für die Sicherheit der Informationssysteme (ANSSI) «sämtliche exponierten Websites» in den Wartungsmodus versetzt. Die Websites der Polizeipräfektur und mehrerer Präfekturen, des Wirtschaftsministeriums, von Météo-France und von Les Echos zeigten am 21. Oktober 2026 eine Wartungsmeldung an. Keine dieser Websites hat ein Eindringen gemeldet.

Der Grund liegt im zeitlichen Ablauf. Cloudflare, das den Datenverkehr eines grossen Teils des Webs filtert, blockierte bereits ab 5:02 Uhr (Pariser Zeit) Angriffsversuche, also neun Stunden vor der offiziellen Veröffentlichung. Das Unternehmen beobachtete zudem, wie die Angreifer ihre Methoden änderten, um seine Regeln zu umgehen. Die für Donnerstag vorgesehene Sperrfrist war bereits am Montag, 19. Oktober 2026, nach einem Beitrag im Forum Hacker News gefallen.

Andere europäische Länder reagierten auf dieselbe Weise, gemäss einer Übersicht der Nachrichtenagentur Reuters, die Journal du Coin zitiert. Die deutsche Bundesbehörde ITZBund deaktivierte mehrere Websites, Finnland schaltete die Webdienste des Staates ab, und in den Niederlanden waren der Hafen Rotterdam und das Portal Overheid.nl offline.

Was empfiehlt das Bundesamt für Cybersicherheit?

Das BACS hat am 21. Oktober 2026 eine Warnung veröffentlicht. Darin beschreibt es zwei kritische Schwachstellen, die es ermöglichen könnten, auf den betroffenen Servern ohne Authentifizierung Schadcode auszuführen. Das Amt empfiehlt, die betroffenen Systeme sofort zu aktualisieren.

Das BACS weist auf einen oft vergessenen Punkt hin: Über die Webserver hinaus müssen auch Anwendungen und Geräte überprüft werden, die PHP als integrierte Komponente verwenden. Das Amt nimmt zudem freiwillige Meldungen von Cybervorfällen aus der Bevölkerung, von Unternehmen und Behörden entgegen. Betreiber kritischer Infrastrukturen sind ihrerseits seit dem 1. April 2025 verpflichtet, ihm ihre Cybervorfälle zu melden.

Was ein KMU oder eine Gemeinde bei ihrem Hoster prüfen muss

Bei den meisten gehosteten Websites verwaltet der Hoster PHP und muss das Update einspielen. Für den Anfang genügt eine Frage: «Haben Sie den Patch für PHP2Shell eingespielt?» Die Sicherheit der Website erfordert anschliessend einige konkrete Prüfungen, gestützt auf die Empfehlungen des BACS und von php.net:

  • alle PHP-Installationen auflisten, auch jene, die in einer Drittsoftware versteckt sind: Statistiktool, Forum oder alte, vergessene Website;
  • die installierte Version erfragen und prüfen, ob es sich um 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 handelt;
  • bei einer Website, die noch mit PHP 8.1 oder älter läuft, die vorübergehenden Massnahmen umsetzen und eine Migration planen;
  • die Anwendungen und Geräte überprüfen, die PHP enthalten, wie es das BACS verlangt;
  • auf Anzeichen eines Angriffs achten: Datei-Uploads, gefolgt von gehäuften 500-Fehlern, ungewöhnlich grosse PHPSESSID-Cookies, PHP-Prozesse, die ohne Grund neu starten.

Eine durch Cloudflare geschützte Website profitiert von den Blockierregeln, die in allen Abonnements aktiv sind, auch in den kostenlosen. Dieser Filter ersetzt das Update nicht, da die Angreifer ihre Anfragen bereits anpassen. Diese Schritte entsprechen einfachen Massnahmen für die Cybersicherheit: Inventar, Updates und Überwachung.

Wie eine künstliche Intelligenz die Lücke fand

Die Fehler schlummerten seit über zehn Jahren im Kern von PHP, so Wiz Research, das Cybersicherheitsunternehmen hinter der Entdeckung. Sein Team fand die erste Lücke am 19. August mit seinem Tool Wiz Atlas und zwei KI-Modellen, Gemini 4 Argon von Google und GPT-5.6 Sol von OpenAI. Der Bericht wurde dem PHP-Projekt am 24. August übermittelt, die Empfangsbestätigung traf am 21. September ein.

Laut Wiz hat «ein einziger Forscher in einer Woche» die Arbeit geleistet, für die ein Spitzenteam mehrere Monate gebraucht hätte. Raluca Ada Popa, Sicherheitsverantwortliche für Gemini bei Google DeepMind, relativiert: Die KI habe auch dazu gedient, den Patch zu validieren und die Erkennungswerkzeuge zu entwickeln.

Was noch nicht bekannt ist

  • Keine der konsultierten Quellen berichtet von einer erfolgreichen Ausnutzung in der Schweiz oder von einer Schweizer Website, die vom Netz genommen wurde.
  • Die Zahl der noch verwundbaren Schweizer Websites ist nicht bekannt.
  • Das Ausmass der Angriffe bleibt unklar: Huntress hatte am Abend des 19. Oktober 2026 keine reale Ausnutzung festgestellt, während Cloudflare seit dem Morgen des 21. Oktober solche beobachtet.
  • Wie lange es dauert, bis die abgeschalteten Websites wieder online sind, hängt von der Zahl der zu bearbeitenden Server ab: einige Stunden, manchmal Tage, wenn Fachanwendungen getestet werden müssen.

Quellen