So betreffen dich die gefährlichen PHP-Sicherheitslücken

• Die Sicherheitslücke «php2shell» besorgt IT-Experten weltweit.
• Viele Laien verstehen angesichts der Fülle an Informationen nur Bahnhof.
• 20 Minuten bringt Licht ins Dunkel: Gefordert sind jetzt vor allem Website- und Blog-Betreiber, deren Angebote auf der Programmiersprache PHP basieren.
• Sie müssen dringend Sicherheitsupdates installieren. Privatpersonen sollten in der nächsten Zeit besonders wachsam sein.

Kritisch, gefährlich und schwerwiegend. So nennen IT-Expertinnen und -Experten die Sicherheitslücke «php2shell». Zahlreiche Websites sind bereits offline gestellt worden. Vorsorglich, wie es heisst. Darunter solche von Universitäten, Behörden und Spitälern. Server-Betreiber sind zum raschen Handeln aufgefordert. Grund: Die PHP-Lücke ermöglicht die Übernahme ganzer Server.

Viele News-Updates, viele offene Fragen

Seit Bekanntwerden der Sicherheitslücke überschlagen sich die Nachrichten. Doch nicht jeder kommt mit. «Ich verstehe null», schreibt etwa 20-Minuten-Userin calme. Sie ist damit nicht allein. Auch User Chilli74 verrät, keine Ahnung zu haben, genauso wie User Lorbass: «Offenbar weiss hier jeder, was PHP ist. Kann das einmal jemand erklären?» Und User Pov26 will wissen: «Ist das nun so, dass einfach auf jeder Website so Malware sein kann?» 20 Minuten klärt die drängendsten Fragen.

Was ist PHP überhaupt?

PHP ist eine Open-Source-Programmiersprache, die vor allem für Webentwicklung genutzt wird. Sie läuft typischerweise auf einem Webserver und erzeugt dort dynamische Inhalte, bevor eine fertige HTML-Website an den Browser gesendet wird. Das heisst, sie passt die Inhalte auf den User zugeschnitten an. Ein Grossteil der dynamischen Websites basiert darauf. Schätzungen zufolge setzen rund 70 Prozent des Internets auf PHP. Auch das Content-Management-System WordPress. IT-Fachleute schätzen, dass allein damit weltweit 400 bis 500 Millionen Webseiten betrieben werden, schreibt Tagesschau.de.

Um welche Sicherheitslücke geht es?

Die aktuellen Meldungen betreffen die Sicherheitslücke «php2shell». Dabei handelt es sich genau genommen um zwei Schwachstellen, wie das Bundesamt für Cybersicherheit Bacs schreibt. Diese können es «Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen». Die beiden Schwachstellen betreffen das Speichermanagement und die Fehlerbehandlung.

Wie gefährlich ist das?

Das Gefahrenpotenzial dieser Lücken ist riesig. IT-Experte Dennis-Kenji Kipker von der Hochschule Bremen bezeichnet die Sicherheitslücke gegenüber «Bild» als eine der schwerwiegendsten der vergangenen fünf Jahre: «Wer in diese Sicherheitslücke kommt, hat quasi den Schlüssel zum ganzen Haus.» Angreifer können damit zum Beispiel Dateien lesen oder verändern, Daten stehlen, Schadsoftware installieren, die Website ausser Betrieb setzen oder die vollständige Kontrolle übernehmen. Tatsächlich versuchen Cyberkriminelle seit Bekanntwerden der Sicherheitslücke, sie auszunutzen, wie Zahlen des Netzwerkservices Cloudflare zeigen.

Was heisst das für mich? Kann ich noch durchs Internet surfen?

Ja. Sofern du nicht selbst eine Website oder einen Blog betreibst, die beziehungsweise der auf PHP basiert, besteht kein Handlungsbedarf (siehe Box). Du kannst ohne Probleme mit dem Smartphone, Laptop oder PC im Internet surfen. Denn das Problem liegt nicht auf deinem Endgerät, sondern auf Servern im Hintergrund. Allerdings kann es vorkommen, dass du Websites ansteuerst, die vorübergehend offline sind.

Du solltest zudem in der nächsten Zeit besonders wachsam sein. Denn oft folgen auf das Ausnutzen von Sicherheitslücken Phishing-Wellen. Deshalb solltest du etwa eingehende Mails besonders gut prüfen und besser zweimal hinschauen. Gleiches gilt für angeblich dringende «Sicherheits-Updates», zu denen du aufgerufen wirst. Überhaupt solltest du beim Klicken auf E-Mail-Links besondere Vorsicht walten lassen. Zudem ist es möglich, dass die Angreifer über den Schadcode Zugriff auf die Datenbanken von zum Beispiel Onlineshops erlangen. Dadurch könnten sensible Kundendaten, Passwörter oder Kontaktdaten abfliessen.

Schwachstellen tragen kryptische Bezeichnungen

Die Schwachstellen bezeichnen Fachleute mit CVE-2026–109618 und CVE-2026–109619. Beide ordnet das Bacs mit 9,2 als «kritisch» ein. Entsprechend sollten umgehend Gegenmassnahmen ergriffen werden. Angreifer können die Schwachstellen ohne Anmeldung aus der Ferne ausnutzen, um eigenen Schadcode auf betroffenen Servern auszuführen, was von Fachleuten «Remote Code Execution» oder RCE genannt wird. Hinter den für Laien kryptischen Bezeichnungen stecken zwei Gefahren:

• CVE-2026–109618: Bei der ersten Lücke wird der Speicher knapp (Out of Memory). PHP bricht dann nicht sauber ab und verarbeitet danach fehlerhafte Speicherinformationen.
• CVE-2026–109619: Bei der zweiten Lücke «vergisst» PHP nach einer Anfrage, bestimmte alte Informationen aufzuräumen. Bei einer späteren Anfrage kann es diese alten, eigentlich ungültigen Informationen weiterverwenden. Das kann laut Bacs «bei einer späteren Anfrage die Ausführung von Schadcode ermöglichen».

Problematisch ist in diesem Fall auch, dass die Details der Lücke vorab unbeabsichtigt an die Öffentlichkeit gelangten.

Das gilt für Website-Betreiber

Seit Mittwochnachmittag sind Sicherheitsupdates, sogenannte Patches, verfügbar. Das Bacs empfiehlt, sie unverzüglich zu installieren. Die Aktualisierungen müssen manuell installiert werden. Automatische Updates greifen hier nicht. Genauso wenig wie eine Web Application Firewall. Eine Anleitung für das richtige Vorgehen findest du hier.

Wann wird die Gefahr vorüber sein?

Das lässt sich kaum vorhersagen. Wie die Nachrichtenagentur DPA unter Berufung auf Fachleute schreibt, läuft «die weltweite Welle automatisierter Angriffe» derzeit an und werde voraussichtlich noch über Wochen und Monate hinweg andauern, «da Angreifer unermüdlich nach ungepatchten Systemen suchen». Entwarnung könne erst gegeben werden, wenn die breite Masse der Webhoster und Systemadministratoren die Sicherheitsupdates eingespielt habe.

Digital-Push

Wenn du den Digital-Push abonnierst, bist du über News und Gerüchte aus der Welt von Whatsapp, Tiktok, Instagram, Samsung, Apple und Co. informiert. Auch erhältst du Warnungen vor Viren, Trojanern, Phishing-Attacken und Ransomware als Erster. Weiter gibt es Tricks, um mehr aus deinen digitalen Geräten herauszuholen.

So gehts: Installiere die neuste Version der 20-Minuten-App. Tippe unten auf «Profil», dann aufs «Einstellungen»-Zahnrad und schliesslich auf «Push-Mitteilungen». Wähle hier die gewünschten Themen aus.

Betreibst du eine Website oder Ähnliches mit PHP?

Ja.

Fee Anabelle Riebeling (fee) arbeitet seit 2014 für 20 Minuten. Sie ist stv. Leiterin Wissen/AI, Data und Leiterin des Fachgremiums Faktencheck & Verifikation.