php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen

Seit dem gestrigen Mittwoch warnen Behörden weltweit in selten erlebtem Ausmaß vor den schwerwiegenden PHP-Lücken CVE-2026-109618 und CVE-2026-109619, die den Spitznamen „php2shell“ erhalten haben. Die PHP-Entwickler haben dazu eine dringende Sicherheitsmitteilung veröffentlicht. Ähnliche Verunsicherung gab es bisher etwa bei den Sicherheitslücken Heartbleed oder Shellshock in der Bash.

Viele Webseiten offline

Viele Organisationen haben mangels verfügbarer aktualisierter PHP-Pakete ihre Webauftritte vorsorglich vom Netz genommen – das hat es in diesem Ausmaß noch nicht gegeben. Das war eine Empfehlung etwa des Bundesamts für Sicherheit in der Informationstechnik (BSI), die US-amerikanische IT-Sicherheitsbehörde CISA stimmte darin überein. Dass die Organisationen das umgesetzt haben, zeigt, dass die IT-Sicherheit inzwischen ernst genommen wird.

Der Ratschlag fand international Gehör. Global gingen Regierungsseiten vom Netz und in den Wartungsmodus. Reuters listet konkret Dänemark, Finnland, Frankreich und die Niederlande auf. In Deutschland hat etwa die Charité ihre Seiten komplett vom Netz genommen, beim Hauptstadt-Portal berlin.de waren Teile abgeschaltet, und die Freie Universität Berlin schränkte ihre IT-Dienste ein, berichtete die dpa. Auch die Internetwache der Berliner Polizei war demnach nicht erreichbar. Ebenso waren in den Bundesländern Webauftritte von Behörden oder Polizei nicht erreichbar, etwa in Bayern oder in Niedersachsen. Erste Webseiten im Norden sind inzwischen wieder online, weiß der NDR.

Aufgrund der derzeitigen massiven Schwemme an KI-Funden zu gravierenden Sicherheitslücken könnte das jedoch nicht bei diesen einem Mal bleiben. Möglicherweise war das nur der Auftakt zu einer neuen regulären Abwehrmaßnahme, die künftig häufiger zu sehen sein wird.

Massive Exploit-Versuche

IT-Sicherheitsexperten beobachten seit Mittwoch viele Exploit-Versuche. Ob diese erfolgreich sind, ist bislang unklar; Amazon spricht inzwischen von einer breiten Ausnutzung in freier Wildbahn. Es liegen zum Meldungszeitpunkt allerdings keine Berichte von erfolgreichen Angriffen vor.

So berichtet das Web-Infrastruktur- und Web-Sicherheitsunternehmen Cloudflare laut Reuters von Millionen Angriffsversuchen, die bereits rund zehn Stunden vor der Veröffentlichung der Details der „php2shell“-Lücken um 16 Uhr unserer Zeit begonnen haben. Amazon will sogar Angriffsversuche vier Tage vor der Veröffentlichung von Informationen zu der Lücke gesehen haben. Wie der Angreifer vorab an Exploit-Informationen gelangte, ist laut Amazon unklar, möglicherweise war das auch ein Exploit-Versuch auf eine andere File-Upload-Schwachstelle.

Aktualisierte PHP-Installationspakete langsam verfügbar

Aktualisierte PHP-Pakete sind im Laufe des Mittwochabends langsam eingetrudelt. Die vorgezogene Veröffentlichung zu den Lücken hat offenbar die Maintainer in Bredouille gebracht. Die Debian-Pakete waren nach 21 Uhr verfügbar, Fedora hat auch noch gestern die Pakete vor die Tür gebracht, Gentoo ebenfalls, ebenso Ubuntu und Red Hat. Slackware legte kurz vor Meldungszeitpunkt nach, SUSE hat ebenfalls erst seit Kurzem neue Pakete bereitgestellt.

IT-Verantwortliche sollten nun also zügig die Updates installieren. Admins sollten zur Sicherheit prüfen, ob sie unwissentlich PHP auf ihren Systemen laufen haben. Das kann beispielsweise auch bei vielen Bastlern der Fall sein, die Raspberry-Pi- oder andere Single-Board-Computersysteme als Mini-Server im Einsatz haben. Dort wird PHP bei einigen Programmen als Abhängigkeit mitinstalliert, was die Betreiber dann nicht zwingend mitbekommen.