PHP2Shell
PHP2Shell ist die Bezeichnung für zwei Remote-Code-Execution-Sicherheitslücken im Interpreter der Programmiersprache PHP, die am 21. Oktober 2026 öffentlich bekannt wurden. Das Computer Emergency Response Team der Europäischen Union führt die Sicherheitslücken als CVE-2026-109618 und CVE-2026-109619.[1]
Entdeckung und Methodik
[Bearbeiten | Quelltext bearbeiten]Die PHP Foundation stufte die Sicherheitslücken, die alle Versionen ab PHP 5 (seit 2004) betreffen, mit einem CVSS-Rating von 9,2 als kritisch ein und veröffentlichte am 20. Oktober 2026 eine entsprechende Warnmeldung. Die ursprünglich für den 22. Oktober 2026 geplante Bereitstellung von Patches für Versionen ab PHP 8.2 wurde vorgezogen, da Informationen über die Sicherheitslücke durch ein Leak in einschlägigen Foren bekannt geworden waren,[2] und für den 21. Oktober 2026 um 16:00 Uhr MESZ angekündigt. Tatsächlich erfolgte die Veröffentlichung dann unangekündigt etwa 20 Minuten vor diesem Zeitpunkt.
Der Name PHP2Shell stammt von dem geleakten Werkzeug zur Ausnutzung der Sicherheitslücken und ist angelehnt an die Sicherheitslücke log4shell. Ausgehend von dessen Funktionalität des Werkzeugs wurden Proof of Concepts veröffentlicht, die den genutzten Angriffsvektor beschreiben sollen. Demnach soll eine multipart-POST-Anfrage mit einem Feld namens PHP_SESSION_UPLOAD_PROGRESS an die Fortschrittsanzeige für Uploads in der Session session.upload_progress, die ab PHP 5.4 standardmäßig aktiv ist, den Exploit ermöglichen.[3]
Die Lücke liegt in der Speicherverwaltung der Skriptsprache und ist ausnutzbar, wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt. Unter bestimmten Bedingungen wird ein Ausführungsfehler erzeugt und durch Fehler beim automatischen Aufräumen des Speichers können Angreifer diesen auslesen, freigeben und eigenen Schadcode auf dem Webserver ausführen. Dabei sind mehrere Tausend HTTP-Anfragen nötig, um eine der Schwachstellen auszulösen, danach arbeitet die Remote-Codeausführung zuverlässig und eignet sich somit für automatisierte Attacken wie Heartbleed.[4]
Auswirkungen
[Bearbeiten | Quelltext bearbeiten]
Da PHP nach Schätzungen auf 70 % bis 75 % der Webserver eingesetzt wird und Webanwendungen wie z. B. WordPress, Drupal, Joomla und Magento auf PHP basieren, wurde die potentielle Reichweite der Sicherheitslücke auf hunderte von Millionen Websites eingeschätzt. Palo Alto Networks identifizierte mehr als 22,6 Millionen Internet-Webserver mit potentiell verwundbarer PHP-Software.[5]
Der DNS- und Internetsicherheitsdienst Cloudflare bestätigte am 21. Oktober 2026 beginnende Angriffe auf Webseiten durch die PHP-Lücken und leitete Maßnahmen ein.[6] Ein sofortiges Update der Systeme bei Verfügbarkeit veröffentlichter Patches wurde empfohlen.[7] Da für eine Vielzahl älterer PHP-Versionen bislang keine Patch-Updates verfügbar sind, wurde geraten, gefährdete Applikationen zu isolieren und zunächst aus öffentlichen Netzwerken zu entfernen.[1]
In Deutschland rief das Bundesamt für Sicherheit in der Informationstechnik dazu auf, unmittelbare Ressourcen bereitzuhalten, um die Patches umgehend zu installieren, da großflächige KI-gestützte Angriffe zu erwarten seien.[8] Die Städte Mainz, Münster und Dresden deaktivierten ihre Onlinedienste, in Hessen, Thüringen, Bayern und Baden-Württemberg gingen diverse Regierungs- und Behördenseiten vom Netz und zahlreiche Kliniken und Universitäten deaktivierten oder sperrten ihre Webseiten.[9]
In den Niederlanden wurden verschiedene bedeutende Webseiten und -dienste vorsorglich vom Netz genommen, darunter das Bürgerportal der niederländischen Regierung MijnOverheid.nl, der Authentifizierungsdienst DigiD und die Webseiten von RTL Nederland.[10]
In Finnland wurden alle Netzwerkdienste der Regierung ebenfalls für den gesamten eingehenden Datenverkehr gesperrt.[11]
Weblinks
[Bearbeiten | Quelltext bearbeiten]
- Website PHP2Shell, betrieben von wiz.io
- Bundesamt für Sicherheit in der Informationstechnik: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, 21. Oktober 2026
Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- 1 2 Critical Vulnerabilities in PHP. CERT-EU, 20. Oktober 2026
- ↑ PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert. The Hacker News, 20. Oktober 2026
- ↑ php2shell, die Nginx- und Apache-Regeln, die PHP-Angriffe vor dem Patch blockieren. Pasquale Pillitteri, 21. Oktober 2026
- ↑ php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP. heise online, 21. Oktober 2026
- ↑ PHP vulnerability 2026 explained: What happened with 'PHP2Shell', how it affects millions of sites, and what precautions you must take. Clarin, 21. Oktober 2026
- ↑ Cyber agency warns websites may go dark as PHP prepares critical fix Reuters, 21. Oktober 2026
- ↑ Critical security issue affecting PHP. NCSC, 21. Oktober 2016
- ↑ PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig. BSI, 21. Oktober 2026
- ↑ Programmiersprache PHP: IT-Sicherheitslücke! Charite schaltet Website ab. Weitere Behörden und Städte ziehen den Stecker. Bild, 21. Oktober 2026
- ↑ Websites van overheid en in onderwijs offline vanwege lek, risico op hacks. NOS, 21. Oktober 2026
- ↑ Valtion julkisen verkon palveluja ajetaan alas varotoimena – taustalla varautuminen PHP-haavoittuvuuksiin. Valtori, 21. Oktober 2026
