PHP-Sicherheitslücke: Internet-Kollaps abgewendet – Wie schlimm war es wirklich?

Nachgefragt: Was war da los? Wie konnte das Internet „gerettet“ werden? Wie lassen sich solche Pannen vermeiden?

Dieser Vorfall hat Millionen von Webseitenbetreibern aufgeschreckt und einmal mehr die Verletzlichkeit von IT-Systemen offenbart: Am 20. Oktober 2026 wurden Informationen über zwei kritische Schwachstellen in der Programmiersprache PHP, mit der ein Großteil der Internetseiten (etwa über WordPress, Joomla, TYPO3, Drupal, Shopsysteme etc.) betrieben wird, vorzeitig öffentlich. Einen Tag später veröffentlichte das PHP-Sicherheitsteam entsprechende Sicherheitsupdates an die Administratoren und Rechenzentren, damit sie die Lücken schließen können.

Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden inzwischen häufig unter dem Namen „PHP2Shell“ zusammengefasst.

Das Problem: Ein Angreifer hätte unter bestimmten Voraussetzungen eigenen Code auf einem verwundbaren Server ausführen können, sagt die Agentur der Europäischen Union für Cybersicherheit (ENISA).

Besonders brisant: Die Schwachstelle liegt im PHP-Kern, nicht beispielsweise in einem bestimmten WordPress-Plugin. Deshalb waren offenbar grundsätzlich sehr unterschiedliche PHP-basierte Anwendungen betroffen.

Programmierer der PHP Foundation rettet das Internet

Zum Glück konnte eine Cyber-Katastrophe abgewendet werden, auch durch den Einsatz des Programmierers Volker Dusch, der von der PHP Foundation mit der hochverantwortungsvollen Aufgabe beauftragt wurde und im WDR zum „Retter des Internets“ ernannt wurde: „Einer muss es ja machen“, erklärt er im Interview mit dem Sender. „Ich war jede Woche 70 bis 80 Stunden damit beschäftigt. In einer solchen Phase muss man gucken, dass man auch nach vielen Stunden Arbeit noch klar im Kopf ist und die richtigen Entscheidungen trifft – weil es einfach wichtig ist.“

Über das Gespräch kam also heraus: Das Problem trat offenbar bereits vor Wochen auf und wurde auch seitdem bearbeitet: „In der Programmiersprache waren deutlich mehr Sachen als normalerweise üblich zu ändern“, so Dusch im WDR-Gespräch weiter. Erst vor wenigen Tagen wurde dies öffentlich.

Und was hätte passieren können, wenn niemand eingegriffen hätte? „Hacker hätten auf den Websites Texte ändern oder Sachen veröffentlichen können, die dort nicht hingehören“, erklärt der IT-Experte weiter. Oder arglose User hätten Schadsoftware auf ihre Geräte herunterladen können, mit denen die Hacker dann „persönliche Daten ausgespäht und sie missbraucht hätten“, so Duch.

Chaos Computer Club: Noch einmal Glück gehabt

Also: „Wir sind noch einmal mit einem blauen Auge davon gekommen“, meint beispielsweise auch der Chaos Computer Club (CCC), will aber keine Entwarnung geben.

Gegenüber dem MDR erklärte beispielsweise das Mitglied Jochim Selzer, Angriffe auf die PHP-Sicherheitslücke seien „ins Leere“ gelaufen. Viele Systeme müssten jedoch nachträglich abgesichert und aktualisiert werden. Gleichzeitig rechnet der CCC damit, dass vergleichbare Situationen künftig häufiger auftreten könnten, weil Schwachstellen schneller entdeckt und mit automatisierten beziehungsweise KI-gestützten Werkzeugen auch schneller von Angreifern ausgenutzt werden können

Was ist nun zu tun?

Die Verbraucherzentrale beispielsweise empfiehlt: Wer eine Internetseite mit PHP betreibt, sollte die Empfehlungen des BSI befolgen.

Eine Abschaltung der Webseite sei nicht automatisch ein Zeichen dafür, dass die Seite gehackt wurde, sondern könne vielmehr eine reine Vorsichtsmaßnahme sein, beruhigt die Verbraucherzentrale.

Die europäischen Cybersicherheitsbehörden ENISA, CERT-EU, Europol und die nationalen CSIRT-Netzwerke empfehlen eine sehr klare Reihenfolge:

1. Herausfinden, wo PHP eingesetzt wird.
2. Internetseitig erreichbare Systeme priorisieren.
3. Sicherheitsupdates installieren.
4. Nicht patchbare Systeme isolieren oder vom Internet trennen. 

Weiterer Hinweis: Nur weil eine Webseite aktuell funktioniert, bedeutet das nicht, dass sie sicher ist.

Die Behörden empfehlen daher, auch Systeme zu überprüfen, die auf älteren oder scheinbar unproblematischen PHP-Versionen laufen.

Verschiedene Sicherheitsorganisationen empfehlen ergänzend:

1. Hoster fragen

Wer nicht selbst für den Server verantwortlich ist, sollte sofort beim Webhoster beziehungsweise IT-Dienstleister klären:

• Welche PHP-Version läuft auf dem Server?
• Ist die aktuelle Sicherheitsversion installiert?
• Wurde das Update bereits durchgeführt?
• Sind auch Datenbanken, CMS und Plugins aktuell?
• Hat der Anbieter Auffälligkeiten festgestellt?

Gerade bei kleinen Unternehmen ist das wahrscheinlich der wichtigste erste Schritt.

2. Nicht nur die Hauptwebseite überprüfen

PHP kann beispielsweise auch in

• WordPress,
• Onlineshops,
• Kundenportalen,
• Formularsystemen,
• internen Webanwendungen,
• älteren Webseiten,
• Subdomains,
• Testsystemen

laufen.

Deshalb empfehlen die Experten ein vollständiges Systeminventar.

3. Sicherheitsupdate installieren

Ein Update ist die einzige Maßnahme, die die Schwachstellen vollständig beseitigt.

4. Wenn kein Update möglich ist: Webseite abschalten

Was sollte langfristig besser werden?

Dazu erklären mehrere Experten: 

1. Vollständiges IT-Inventar

Unternehmen sollten jederzeit wissen:
Welche Server habe ich? Welche Software läuft darauf? Welche PHP-Version? Welche Plugins? Welche Schnittstellen?
Genau dieses fehlende Wissen ist laut Bitkom eines der größten Probleme. 

2. Schnellere Patch-Prozesse

Sicherheitsupdates sollten nicht erst Wochen später installiert werden.
Bei einer kritischen Schwachstelle wie PHP2Shell zählt im Extremfall jede Stunde.
Bitkom warnt, dass Angreifer Schwachstellen heute mit automatisierten und KI-gestützten Werkzeugen wesentlich schneller finden können. 

3. Veraltete Software konsequent ersetzen

Ein besonders großes Problem sind alte PHP-Versionen, die vom Entwickler nicht mehr unterstützt werden.
Hier sollte nicht dauerhaft mit irgendwelchen Übergangslösungen gearbeitet werden. Stattdessen sollte ein Upgrade auf eine unterstützte Version geplant werden. CERT-EU

4. Backups

Ein aktuelles, getestetes Backup gehört zum Pflichtprogramm.
Dabei sollte insbesondere darauf geachtet werden, dass Backups nicht einfach dauerhaft vom gleichen kompromittierten Server erreichbar sind.

5. Logs und Monitoring

Experten empfehlen, Serverprotokolle nicht nur im Ernstfall anzuschauen.
Verdächtige Login-Versuche, ungewöhnliche Requests, neue Dateien oder unbekannte Prozesse können wichtige Hinweise auf einen Angriff liefern.

6. Web Application Firewall

Sicherheitsexperten empfehlen zusätzlich Schutzmechanismen wie eine Web Application Firewall (WAF).
Cloudflare hat beispielsweise unmittelbar nach Bekanntwerden der Schwachstellen spezielle Schutzregeln gegen PHP2Shell bereitgestellt. 

Eine WAF ersetzt allerdings nicht das PHP-Update.

Quelle: WDR / MDR / ENISA / Bitkom e.V. / Verbraucherzentrale
bearb: KA
Foto: KI geniert mit Adobe Firefly

Weitere Nachrichten gibt es unter www.anzeiger24.de und Deutschland-News

Du hast einen Tipp, eine Anregung, zu welchem Thema wir einmal recherchieren sollten?

Schreib uns an [email protected]. Deine Zuschrift wird streng vertraulich behandelt!

Ihr wollt uns Eure Meinung sagen? Gerne per Mail an

[email protected]

oder als Kommentar bei Facebook
unter DeinHilden, DeinLangenfeld, DeinMonheim, DeinHaan oder DerLeverkusener.

Euch hat unser Beitrag gefallen? Dann liked und teilt ihn gerne.