php2shell: Millionen PHP-Dienste in Deutschland verwundbar

Die IT-Sicherheitsfirma Censys untersucht Server im Internet auf die eingesetzte PHP-Version. Bei den Scans sind global zig Millionen Systeme aufgetaucht, die noch PHP-Versionen einsetzen, die für php2shell anfällig sind. Hinter dem Namen stecken die zwei kritischen Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (jeweils CVSS 9.2, Risiko „kritisch“), über die Angreifer aus der Ferne Code einschleusen können.

Das lässt sich der Internetseite von Censys entnehmen. Der Scanner läuft seit dem Mittwoch dieser Woche und hat seitdem weltweit mehr als 41 Millionen PHP-Dienste mit anfälligen Versionsnummern erfasst. Zum Meldungszeitpunkt waren bereits viele mit Versionen ausgestattet, die die Sicherheitslücken „php2shell“ nicht mehr aufweisen. Seit Mittwoch wurden laut Censys knapp acht Millionen Dienste aktualisiert, damit sinkt die Zahl der anfälligen Dienste weltweit auf 33,5 Millionen.

Deutschland ist Zweiter

Gleich hinter den USA mit den meisten Systemen folgt bereits Deutschland. Dort hat Censys knapp 11 Millionen PHP-Dienste aufgespürt, davon rund 4,2 Millionen mit Versionsnummern, die als anfällig gelten.

Censys listet einige Einschränkungen zu den Scanergebnissen auf. Die wichtigste lautet, dass der Status der PHP-Instanz auf der gemeldeten Versionsnummer basiert. Linux-Distributionen portieren Sicherheitspatches aber auch auf ältere Fassungen zurück, sodass die Versionsnummer allein nicht zwingend etwas darüber aussagt, ob die gefundene Installation wirklich noch anfällig für php2shell ist.

Die Ergebnisse können zeitliche Verzögerungen aufweisen, da sie auf einem täglichen Snapshot basieren, der um stündliche Scans ergänzt wird. Außerdem feilt Censys an der Versionserkennung – rund 54 Prozent der PHP-Dienste verstecken ihre Versionsnummer und können daher nicht als anfällig oder gepatcht eingeordnet werden. Die Zählung umfasst erkannte Dienste, nicht Organisationen oder Maschinen – ein Server kann mehrere URLs hosten oder auf unterschiedlichen Ports weitere Dienste mit PHP anbieten. Censys weist ausdrücklich darauf hin, dass es sich um eine Schätzung handelt, um die Situation einzuordnen, und nicht um eine „Quelle der Wahrheit“.

Admins und IT-Verantwortliche sollen ihre Systeme daher direkt prüfen, schließt das IT-Sicherheitsunternehmen. Hierfür gibt es bereits einfache Hilfestellungen. Wichtig ist der Hinweis, dass PHP-Installationen auch unbemerkt als Abhängigkeit mit anderer Software auf die eigenen Server im Internet gelangen können. Daher sollten alle IT-Verantwortlichen mit Servern im Netz sicherheitshalber prüfen, ob sie nicht doch eine bislang unerkannte PHP-Installation betreiben. Abgesichert sind die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 7.4, 8.0 und 8.1 gibt es lediglich Korrekturen im Quellcode, aber keine fertigen Releases. Noch ältere Versionen bleiben ungepatcht.