Die als „php2shell“ bezeichneten Sicherheitslücken in PHP sorgen international für Einschränkungen bei öffentlichen Webangeboten. Mehrere Linux-Distributionen stellen inzwischen aktualisierte Pakete bereit. Gleichzeitig melden Sicherheitsunternehmen zahlreiche Angriffsversuche. Ob Systeme erfolgreich kompromittiert wurden, bleibt unklar.
Die PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 haben weltweit Warnungen von Behörden ausgelöst. Auch die PHP-Entwickler veröffentlichten eine dringende Sicherheitsmitteilung. Unter dem Namen „php2shell“ sorgen die Schwachstellen für große Probleme bei Betreibern von Webseiten und Onlinediensten.
Da zunächst nicht überall aktualisierte PHP-Pakete verfügbar waren, nahmen zahlreiche Organisationen ihre Webangebote vorsorglich vom Netz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die US-Sicherheitsbehörde CISA hatten entsprechende Schutzmaßnahmen empfohlen.
Behörden und Einrichtungen schalten Webangebote ab
Die Auswirkungen waren in mehreren europäischen Ländern sichtbar. Reuters berichtete über abgeschaltete Regierungsseiten in Dänemark, Finnland, Frankreich und den Niederlanden. Auch in Deutschland waren öffentliche Einrichtungen betroffen. Nach Angaben der dpa nahm die Berliner Charité ihren Webauftritt vollständig vom Netz. Beim Hauptstadtportal berlin.de wurden Teile des Angebots abgeschaltet, die Freie Universität Berlin schränkte IT-Dienste ein. Die Internetwache der Berliner Polizei war ebenfalls nicht erreichbar.
Weitere Einschränkungen gab es bei Behörden- und Polizeiwebseiten unter anderem in Bayern und Niedersachsen. Einzelne Angebote im Norden Deutschlands waren laut NDR inzwischen wieder erreichbar.
Die Abschaltungen dienen der Vorsorge. Sie sind für sich genommen kein Hinweis darauf, dass die betroffenen Einrichtungen angegriffen oder ihre Systeme kompromittiert wurden.
Sicherheitsunternehmen melden Millionen Angriffsversuche
Parallel zu den Schutzmaßnahmen beobachten IT-Sicherheitsunternehmen zahlreiche Versuche, die Schwachstellen auszunutzen. Cloudflare registrierte laut Reuters Millionen entsprechender Anfragen. Diese sollen bereits rund zehn Stunden vor der Veröffentlichung der technischen Details begonnen haben.
Amazon berichtete sogar von verdächtigen Aktivitäten vier Tage vor der Offenlegung. Wie mögliche Angreifer vorab an Informationen gelangt sein könnten, ist unklar. Nach Angaben des Unternehmens könnten sich die frühen Versuche auch gegen eine andere Schwachstelle beim Hochladen von Dateien gerichtet haben.
Während Amazon von einer breiten Ausnutzung spricht, liegen den hier zugrunde liegenden Angaben zufolge keine bestätigten Berichte über erfolgreiche Angriffe vor. Die Zahl der registrierten Versuche lässt daher bislang keine verlässlichen Rückschlüsse auf das Ausmaß möglicher Kompromittierungen zu.
Linux-Distributionen liefern Sicherheitsupdates aus
Inzwischen haben mehrere Linux-Distributionen aktualisierte PHP-Pakete bereitgestellt. Dazu zählen Debian, Fedora, Gentoo, Ubuntu und Red Hat. Auch Slackware und SUSE haben Updates veröffentlicht.
Die vorgezogene Offenlegung der Schwachstellen hat die Bereitstellung offenbar erschwert: Nicht alle Distributionen konnten unmittelbar zum Bekanntwerden der Lücken fertige Pakete anbieten. Für IT-Verantwortliche steht damit die Aktualisierung betroffener Installationen im Mittelpunkt. Dabei sollten sie auch prüfen, auf welchen Systemen PHP überhaupt vorhanden ist. Die Software kann als Abhängigkeit anderer Anwendungen installiert worden sein, ohne dass Betreiber sie bewusst eingerichtet haben.
Das betrifft neben klassischen Webservern auch kleinere private Systeme, etwa Raspberry Pis und andere Einplatinencomputer, die als Mini-Server laufen. Auch solche Installationen können bei der Bestandsaufnahme leicht übersehen werden.
Sladjan ist Webdesigner, Frontend-Entwickler und WordPress-Experte mit dem Schwerpunkt Full Site Editing (FSE). Als Webenthusiast arbeitet er seit 2006 mit HTML und CSS und ab 2016 mit WordPress. Seit 2018 arbeitet er mit WooCommerce und erstellt kleine, minimalistische und responsive Websites sowie kleinere Online-Shops. Seit 2019 ist er Zertifizierter SEM-Manager & Webanalyst (Webmasters Akademie) und seit 2024 Geprüfter Webdesigner (OfG).
![Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀](https://www.webnumerus.de/wp-content/uploads/2026/05/Aufbau_CSS-Selektor-300x225.jpg "Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀")
Schreiben Sie einen Kommentar